Recupero credenziali tramite truffa telefonica e password temporanea quale fattore SCA (ABF Collegio di Bologna n. 1298 del 13.02.2026)

Principi di diritto (Massima)
Nelle procedure di recupero o rigenerazione delle credenziali di accesso all’home banking, la password temporanea inviata tramite SMS può qualificarsi come elemento di conoscenza ai fini della Strong Customer Authentication, in coerenza con una lettura funzionale della PSD2. OTP e password temporanea, pur trasmessi sul medesimo canale, assolvono a funzioni differenti: il primo è preordinato alla convalida tecnica di uno specifico passaggio autorizzativo, la seconda, una volta acquisita e digitata dall’utente, opera come informazione conosciuta dal medesimo. Il processo di autenticazione va pertanto valutato nel suo complesso, tenendo conto della sequenza e della funzione dei fattori impiegati. La comunicazione a terzi di una pluralità di credenziali e codici di sicurezza integra violazione degli obblighi di custodia posti a carico dell’utilizzatore dagli artt. 7 e 12 del d.lgs. n. 11/2010, con conseguente imputazione della perdita all’utilizzatore stesso, in assenza di profili di responsabilità dell’intermediario.

Il Fatto

La ricorrente riferisce di aver ricevuto, nel luglio 2025, una chiamata da un numero che riteneva riconducibile al centralino della banca. L’interlocutore, qualificatosi come operatore, prospettava un presunto bonifico sospetto di euro 1.490,00 e la necessità di procedere con urgenza allo storno. Dopo insistenti richieste, la cliente comunicava il codice utente e successivamente il codice OTP ricevuto via SMS.

Al termine della conversazione la ricorrente constatava tre bonifici, per complessivi euro 1.949,00, e sporgeva denuncia. La banca eccepiva che tutte le fasi erano state autorizzate mediante SCA e che la frode si era perfezionata attraverso una procedura di recovery completata con la collaborazione attiva della cliente, della cui condotta sottolineava la grave negligenza. La ricorrente contestava la ricostruzione, segnalava difformità sul numero di cellulare e riferiva di aver rifiutato una proposta transattiva. Il ricorso non veniva accolto.

La motivazione del Collegio

Il Collegio muove dalla disciplina applicabile, individuata nel d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366. La questione centrale riguarda la validità delle operazioni disconosciute e la conformità del sistema di sicurezza alla normativa.

Dagli atti emerge una sequenza definita: accesso all’applicazione con credenziali già in uso, avvio della rigenerazione della password, assegnazione di una password temporanea, conferma mediante OTP e ulteriori comunicazioni ai recapiti certificati. Il Collegio richiama l’orientamento di altri collegi (Milano, Torino, Palermo) che ha escluso la SCA quando password temporanea e OTP transitano sul medesimo canale SMS, ma dichiara di aderire all’indirizzo espresso dal Collegio di Bologna nelle decisioni n. 3540/2023, n. 6405/2023 e n. 1131/2025. In questa prospettiva la password temporanea costituisce un elemento di conoscenza “estemporaneo”, funzionalizzato all’accesso iniziale e al successivo cambio della password.

Quanto alla provenienza della chiamata, il Collegio rileva che la circostanza non è adeguatamente provata. Mancano riscontri oggettivi, come un estratto delle chiamate in ingresso rilasciato dall’operatore telefonico o la stampa del registro chiamate. La sola schermata prodotta non basta, considerata la notoria possibilità di alterazione del numero chiamante. Il contenuto della comunicazione, come descritto, non integra un elemento oggettivo di riferibilità del contatto alla banca, sicché difetta un affidamento qualificato sull’origine della stessa.

La valutazione si concentra quindi sulla condotta dell’utilizzatore nella gestione delle credenziali. La comunicazione a terzi di una pluralità di codici di sicurezza, valutata in termini oggettivi, integra una violazione degli obblighi di custodia e assume rilievo ai sensi dell’art. 12 del d.lgs. n. 11/2010, con imputazione della perdita alla ricorrente. Il Collegio esclude pertanto profili di responsabilità dell’intermediario e non accoglie il ricorso.