Phishing e vishing, codici OTP comunicati al truffatore integrano colpa grave dell’utilizzatore (ABF Collegio di Milano n. 1103 del 07.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento a distanza, spetta all’intermediario provare che le operazioni contestate siano state correttamente autenticate, registrate e contabilizzate e che non vi siano stati malfunzionamenti dei sistemi, secondo quanto richiesto dall’art. 10 del D.lgs. n. 11/2010. Ove tale prova sia fornita mediante evidenze di strong customer authentication realizzata con almeno due fattori indipendenti, l’operazione non può qualificarsi senz’altro come non autorizzata. La comunicazione a terzi, da parte dell’utilizzatore, dei codici OTP destinati a rimanere riservati integra violazione degli obblighi di custodia e di diligente utilizzo posti dall’art. 7 del D.lgs. n. 11/2010 e costituisce colpa grave idonea a escludere il diritto al rimborso. La valutazione della colpa grave non si fonda su automatismi, ma va condotta caso per caso, alla luce del contenuto dei messaggi di conferma effettivamente ricevuti dall’utente.

Il Fatto

Il ricorrente disconosce due operazioni eseguite il 29.03.2020 tramite home banking: una ricarica di carta da € 2.450,00 e un bonifico istantaneo da € 14.901,60, per un totale di € 17.351,60. Espone di aver ricevuto il giorno prima un SMS esca, apparentemente proveniente dall’intermediario, che lo invitava a inserire le credenziali in un link, e di averlo ignorato. Il 29.03.2020 veniva contattato da un sedicente addetto dell’ufficio antifrode che, conoscendo i suoi dati, gli prospettava due bonifici sospetti già bloccati e gli chiedeva conferma del blocco. Riceveva così codici a sei cifre, in coda agli SMS autentici dell’intermediario, e li comunicava telefonicamente.

Resosi conto della truffa, bloccava l’applicazione e la carta, si recava in filiale e sporgeva denuncia-querela. Chiedeva in via principale la restituzione integrale, assumendo la natura non autorizzata delle operazioni; in via subordinata, la ripartizione proporzionale del danno. L’intermediario si opponeva, sostenendo la corretta autenticazione e la condotta gravemente negligente del cliente.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo: le operazioni rientrano nel D.lgs. n. 11/2010, come modificato dal D.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366 (PSD2) e del Regolamento delegato UE 2018/389. Richiama il riparto probatorio fissato dall’art. 10: prima l’intermediario deve dimostrare autenticazione, registrazione e contabilizzazione; solo dopo, l’onere di provare dolo o colpa grave dell’utilizzatore. Richiama sul punto il Collegio di Coordinamento, decisione n. 22745/2019.

Sul piano dell’autenticazione forte, le evidenze documentali mostrano un accesso all’home banking alle ore 15:22:48 da IP riconducibile all’operatività abituale e tramite dispositivo associato al cliente, con PIN e OTP. La ricarica delle 15:25 e il bonifico delle 15:29 risultano autorizzati con lo stesso meccanismo, previa ricezione di SMS e notifiche push recanti importo, tipologia di operazione e beneficiario. La prova dell’intermediario è dunque adeguata.

Il Collegio passa quindi alla colpa grave. Il cliente ha ammesso di aver comunicato telefonicamente a un terzo due codici a sei cifre, “senza fare troppa attenzione agli interi testi”. I messaggi contenevano però indicazioni chiare e parlanti sulla natura dispositiva delle operazioni. La vicenda rientra nelle tecniche di sms spoofing e vishing, che secondo l’orientamento consolidato dei Collegi possono essere particolarmente insidiose, specie quando i messaggi fraudolenti si inseriscono in conversazioni con comunicazioni genuine. Tuttavia, precisa il Collegio, la colpa grave non si valuta per automatismi.

Accanto al messaggio civetta con link estraneo all’intermediario e agli errori grammaticali dei messaggi truffaldini, sono pervenuti al cliente messaggi “parlanti” di conferma delle operazioni, successivi e autonomi. La loro comunicazione a terzi viola gli obblighi di custodia e di diligente utilizzo dell’art. 7 e integra colpa grave. Non superano il quadro probatorio né la deduzione sugli accessi da IP diversi, posto che le operazioni sono state eseguite dal dispositivo associato previa autenticazione forte, né il tempestivo blocco degli strumenti, che non incide sulla condotta antecedente. Il ricorso è quindi respinto.