Spoofing e OTP: SCA provata, alert mancanti e corresponsabilità del cliente (ABF Collegio di Palermo n. 2238 del 12.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate eseguite mediante internet banking, il prestatore di servizi di pagamento che invoca la colpa grave dell’utente deve anzitutto provare l’adozione della strong customer authentication (SCA), nella fase di accesso e in quella di autorizzazione delle singole disposizioni, secondo il d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2 e del Regolamento Delegato UE 2018/389. Accertata la SCA, la condotta del cliente va valutata caso per caso: la comunicazione telefonica del codice OTP al sedicente operatore integra un profilo di colpa, ma non esclude il concorso dell’intermediario quando la truffa si avvale del ID caller spoofing, cioè della spendita del numero telefonico riconducibile alla banca, che abbassa la soglia di allerta dell’utente. Il difetto di prova sull’invio degli alert relativi ad alcune operazioni impone inoltre di porre a carico dell’intermediario la totalità del pregiudizio per le disposizioni non coperte da notifica. Il blocco prolungato del conto, ove non provato il danno, non dà luogo a risarcimento.

Il Fatto

Il ricorrente chiede la restituzione di € 7.707,53, importo di tre operazioni di pagamento eseguite da terzi il 1° luglio 2025 tramite l’applicazione di internet banking. Il giorno precedente era stato contattato da un sedicente operatore che gli aveva proposto investimenti e l’attivazione di un fido; il giorno successivo una sedicente operatrice, da un numero riconducibile all’intermediario, lo informava di movimenti sospetti e lo induceva a comunicare un codice ricevuto via SMS. Insospettito, il ricorrente accedeva al conto e riscontrava le disposizioni non autorizzate, chiedeva il blocco di conto e carte, sporto denuncia e domandato il rimborso.

L’intermediario, dopo un primo parziale riaccredito poi stornato, chiede il rigetto del ricorso: sostiene che l’enrollment dell’app su nuovo dispositivo e le operazioni siano avvenute con SCA a doppio fattore e che il cliente abbia tenuto condotta gravemente colposa comunicando l’OTP. Sul blocco del conto eccepisce la mancata trasmissione del modulo di disconoscimento.

La motivazione del Collegio

Il Collegio individua la questione preliminare nella verifica della SCA, da accertare tanto nella fase di accesso quanto in quella di autorizzazione delle singole operazioni. Estende il controllo anche ai due movimenti prodromici di creazione della provvista (un giroconto di € 5.000,00 e una ricarica di € 4.400,00), privi di autonomo depauperamento ma non autorizzati personalmente dal ricorrente.

Dai log depositati emerge che l’enrollment del nuovo device è avvenuto con elemento di conoscenza (dati personali e PIN) e elemento di possesso (OTP via SMS); le disposizioni risultano autenticate con SmartCode e push autorizzativa. La prova della SCA è dunque raggiunta, e solo a questo punto diventa esaminabile la colpa grave dell’utente, secondo il richiamato Collegio di Coordinamento n. 22745/2019.

Quanto alla condotta, il ricorrente ammette di aver comunicato il codice all’interlocutrice. Il Collegio valorizza però il contesto: la chiamata proveniva da utenza riferibile all’intermediario, la metodologia è quella del ID caller spoofing, non risultano SMS civetta nella chat genuina. Da qui la corresponsabilità al 50%.

Il ragionamento si completa sull’alert system. Non è provato l’invio delle notifiche per il primo giroconto e per la prima e la terza disposizione online, mentre risultano inviate quelle per la ricarica e per la seconda operazione. La seconda operazione non è quindi coperta da alert precedente. Il Collegio riconosce così l’intero importo della seconda operazione (€ 2.194,92) e il 50% della prima e della terza (€ 2.756,30), per € 4.951,22.

Respinta la domanda di risarcimento per il blocco trimestrale del conto, non essendovi prova di danni, e disattesa la richiesta di spese di assistenza professionale: l’intermediario ha riscontrato il reclamo nei termini e non emerge alcun contegno gravemente scorretto o dilatorio, secondo i criteri del Collegio di Coordinamento n. 4580 del 12 maggio 2025.