Truffa da reset credenziali e cambio device concorso di colpa paritario (ABF Collegio di Napoli n. 4043 del 07.05.2026)

Principi di diritto (Massima)
La circostanza che la procedura di strong customer authentication sia stata rispettata nella fase di associazione del nuovo dispositivo non esonera l’intermediario da responsabilità. La banca è tenuta a osservare le raccomandazioni EBA sul cambio di device, prevedendo un intervallo temporale prima che il nuovo dispositivo diventi operativo e inviando un avviso tempestivo al dispositivo già registrato. Ove tali cautele manchino, e non sia attivata la procedura di recall del bonifico, la condotta dell’intermediario è negligente e concorre, in misura paritaria con la condotta imprudente del cliente che abbia trasmesso i codici di registrazione e di attivazione, alla causazione del danno.

Il Fatto

Il ricorrente, titolare di conto corrente presso la banca, riceve una telefonata da un numero riconducibile all’intermediario. Il chiamante dimostra di conoscere tutti i suoi dati bancari e anagrafici e lo induce a resettare la password di accesso all’internet banking, prospettando l’urgenza di bloccare tre bonifici verso un IBAN estero. Il ricorrente segue le indicazioni e clicca su un link contenuto in una mail riferibile al dominio dell’intermediario.

Verificata l’impossibilità di accedere all’app, il cliente denuncia l’accaduto alle Autorità e reclama la restituzione della somma sottratta. Ottenuto il rifiuto della banca, si rivolge all’Arbitro. L’intermediario eccepisce la conformità della procedura di autenticazione e di pagamento alla normativa tecnica e qualifica la condotta del ricorrente come gravemente colposa, per aver dato seguito a una telefonata proveniente da una filiale non competente e per aver comunicato al truffatore il codice di registrazione e il codice di attivazione del token virtuale.

La motivazione del Collegio

Il Collegio inquadra la fattispecie nel D. Lgs. n. 11/2010, come modificato dal D. Lgs. n. 218/2017 di recepimento della PSD 2, e richiama gli artt. 97 e 98 della PSD2, l’art. 10-bis del D. Lgs. n. 11/2010, le norme tecniche EBA recepite con il Regolamento Delegato UE 2018/389 e i criteri interpretativi dell’EBA, in particolare il parere del 21 giugno 2019.

Dalla documentazione informatica emerge che la truffa si è consumata grazie alla dissociazione del device originario e all’associazione di un nuovo dispositivo nella disponibilità del truffatore. L’associazione è avvenuta tramite un codice di registrazione inviato via mail e un codice di attivazione inviato via SMS, entrambi indirizzati al ricorrente. Sotto questo profilo, la procedura risulta conforme alla normativa tecnica e nessun addebito può muoversi alla banca.

Accertata la compliance alla SCA, il Collegio passa a distribuire la colpa tra le parti. Rileva la condotta negligente del consumatore, che ha trasmesso al truffatore i codici ricevuti su strumenti in suo esclusivo possesso.

Ma la condotta dell’intermediario non è esente da censure. Le raccomandazioni EBA impongono di prevedere uno spazio temporale idoneo prima che il nuovo device sia operativo e di inviare tempestivamente un avviso al dispositivo personale già registrato. Nel caso concreto l’operazione è avvenuta a soli sei minuti dal cambio di device e non risulta alcun SMS alert al dispositivo originario. A ciò si aggiunge il mancato avvio tempestivo della procedura di recall del bonifico.

Le parti hanno dunque contribuito in egual misura all’evento dannoso. La banca è tenuta a risarcire il 50% del danno, pari a € 1.050,00 sul complessivo € 2.100,00, oltre interessi legali dalla data del reclamo. Il Collegio accoglie parzialmente il ricorso e pone a carico dell’intermediario il contributo di € 200,00 alle spese della procedura e il rimborso di € 20,00 al ricorrente.