Truffa nella vendita online: se la banca informa che l’OTP autorizza un pagamento, la colpa grave è del cliente (ABF Milano 4697/2026)
Arbitro Bancario Finanziario, Collegio di Milano, decisione n. 4697 del 26 maggio 2026 (seduta 6 maggio 2026) — Pres. Tina, Rel. Bartolomucci
I fatti
La ricorrente aveva pubblicato un annuncio su una piattaforma di compravendita online. Contattata da un sedicente acquirente, veniva invitata a proseguire la conversazione su WhatsApp e a cliccare su un link che la indirizzava a un sito apparentemente legittimo, in realtà fraudolento. Inseriti i dati della carta e un codice OTP ricevuto sul telefono, si accorgeva di aver autorizzato inconsapevolmente un pagamento di 350,00 euro. Bloccava la carta, disconosceva l’operazione e sporgeva denuncia, chiedendo poi all’ABF il rimborso dell’importo.
L’intermediario si opponeva evidenziando che l’operazione era stata correttamente autenticata con inserimento delle credenziali, che la truffa si era svolta su un sito estraneo alla propria sfera di competenza, e che il messaggio contenente l’OTP informava espressamente la cliente che l’inserimento del codice avrebbe autorizzato l’operazione. Rilevava inoltre che lo strumento utilizzato (carta bancomat priva di IBAN) non poteva in alcun modo ricevere accrediti, smentendo così la versione della cliente secondo cui pensava di dover solo “verificare la propria identità”.
La decisione
Il Collegio richiama il quadro normativo della PSD2 (d.lgs. 11/2010, come modificato dal d.lgs. 218/2017): l’autenticazione forte del cliente (SCA) richiede almeno due fattori indipendenti tra conoscenza, possesso e inerenza. Nel caso di specie, l’operazione risultava autenticata tramite il codice OTP ricevuto via SMS (fattore di possesso) e un ulteriore codice noto solo alla cliente (fattore di conoscenza): la SCA risultava quindi rispettata, il che costituisce, secondo l’orientamento del Collegio di Coordinamento (decisione n. 22745/2019), un prius logico rispetto alla verifica della colpa grave.
Quanto alla colpa grave, il Collegio rileva che la cliente non ha fornito alcuna prova documentale della telefonata truffaldina né del registro delle chiamate, elemento che secondo l’orientamento consolidato del Collegio impedisce di verificare se il numero fosse riconducibile all’intermediario e se fosse configurabile un legittimo affidamento. Dall’esame del messaggio SMS risulta inoltre che né il mittente né il link erano riconducibili alla banca, bensì alla piattaforma di vendita online, e che il testo del messaggio conteneva parole sospette tali da dover suscitare dubbi. Decisivo, infine, il rilievo che l’intermediario aveva inviato due messaggi che comunicavano espressamente la natura autorizzativa dell’operazione, oltre a precisare che lo strumento non fosse abilitato a ricevere accrediti: la cliente era dunque stata adeguatamente informata delle conseguenze delle proprie azioni.
Quando il messaggio OTP informa espressamente il cliente che l’inserimento del codice autorizza un pagamento, e lo strumento utilizzato non è comunque idoneo a ricevere accrediti, la condotta del cliente che clicca su un link sospetto e completa l’operazione è connotata da colpa grave, che esclude il diritto al rimborso.
L’esito
Il Collegio non accoglie il ricorso.
Perché questa decisione conta, in pratica
Nelle truffe da finta vendita online, la difesa del cliente si gioca sulla prova: senza registro delle chiamate, screenshot della conversazione o altri elementi che colleghino il truffatore all’intermediario, l’ABF tende a ritenere la condotta del cliente gravemente colposa, specie quando il messaggio OTP avverte chiaramente della natura autorizzativa dell’operazione. Conservare ogni traccia della comunicazione con il presunto acquirente è essenziale per sostenere il reclamo.