Spoofing su numero certificato e secure call non provano autenticazione forte (ABF Collegio di Napoli n. 3516 del 21.04.2026)

Principi di diritto (Massima)
Quando il processo di secure call è aggirato mediante spoofing del numero telefonico certificato, il fattore di autenticazione di possesso risulta compromesso e la prova della Strong Customer Authentication offerta dall’intermediario è insufficiente. In tale fattispecie la condotta fraudolenta non opera sul versante della colpa grave del cliente, ma su quello dell’autenticazione dell’operazione. La compromissione del fattore di possesso va equiparata alla mancanza di autenticazione dell’operazione di pagamento ai sensi dell’art. 10, d.lg. n. 11 del 2010, con conseguente diritto del cliente al rimborso delle somme sottratte. Il principio è assimilabile a quello elaborato in tema di sim swap fraud.

Il Fatto

La società ricorrente, titolare di un conto corrente con funzioni di internet banking, riceveva il 20 giugno 2025 tre sms con cui la banca comunicava l’inserimento di bonifici da € 8.100,00, € 1.900,00 e € 2.700,00, mai disposti. Subito dopo i primi messaggi veniva raggiunta da un sedicente operatore dell’intermediario, che la intratteneva in una conversazione di oltre un’ora e trentaquattro minuti, fornendole dati riservati del conto e convincendola della genuinità della chiamata.

Terminata la telefonata, il cliente contattava il reale Servizio Antifrode chiedendo il blocco dei bonifici. Dall’estratto conto emergeva che il bonifico di € 1.900,00 era stato recuperato perché giroconto verso altro conto del cliente, quello di € 2.700,00 era stato stornato per mancanza di provvista, mentre quello da € 8.100,00 restava sottratto. Il ricorrente chiedeva quindi il rimborso di quest’ultimo importo, riconducendo la vicenda al fenomeno del phishing.

La motivazione del Collegio

La banca deduceva che le operazioni erano state eseguite tramite il sistema di autenticazione forte previsto contrattualmente, che richiede l’inserimento di User ID e password, la chiamata dal numero certificato al Numero Verde e, per le operazioni dispositive, un ulteriore codice OTP generato tramite secure call. Dai log risultava una secure call delle 12:44, l’accesso all’area riservata, la disposizione del bonifico delle 12:59 e la validazione tramite secure call delle 13:01.

Il Collegio rileva che risultano assolti i fattori della conoscenza e del possesso richiesti dal regolamento 389/2018/UE. La difesa del ricorrente si appunta però proprio sul fattore di possesso: i tabulati del gestore telefonico documentano chiamate verso il numero verde dell’intermediario solo alle 11:51 e alle 11:52, dunque ben prima dell’esecuzione del bonifico, e una telefonata ricevuta alle 11:54 e protratta per oltre un’ora e mezza. Al momento dell’esecuzione dell’operazione, quindi, l’utenza certificata era impegnata in un’altra conversazione.

Il passaggio centrale della decisione riguarda la possibilità, per un truffatore, di eseguire uno spoofing verso l’intermediario, facendo comparire nel processo di autorizzazione di secure call come numero chiamante quello del cliente. In tal modo viene meno il fattore di autenticazione di possesso legato al numero di cellulare, secondo un meccanismo del tutto assimilabile alla sim swap fraud, già esaminata dal Collegio di Torino, decisione n. 4920 del 2024, nella quale il fattore di possesso viene compromesso mediante appropriazione del numero certificato.

Il Collegio richiama quindi l’orientamento secondo cui la sim swap fraud opera non sul versante della colpa grave del cliente, ma su quello dell’autenticazione, rendendo insufficiente la prova della SCA offerta dall’intermediario. Rilevano, da un lato, il rischio di impresa connesso all’affidamento parziale a terzi – l’operatore telefonico – della procedura di autenticazione e, dall’altro, l’eventuale emersione di fenomeni di phishing. In tale fattispecie la sostituzione della sim card va equiparata alla mancanza di autenticazione dell’operazione di pagamento ai sensi dell’art. 10, d.lg. n. 11 del 2010.

A eguale soluzione il Collegio giunge nel caso sottoposto, in cui il presidio del fattore di possesso è aggirato tramite spoofing verso il numero di secure call. Il ricorso è pertanto accolto integralmente, con accertamento del diritto della società ricorrente alla restituzione di € 8.100,00 e condanna dell’intermediario al contributo alle spese della procedura e al rimborso della somma versata per la presentazione del ricorso.