Truffa telefonica con spoofing e colpa grave del cliente nella cessione dell’OTP (ABF Collegio di Milano n. 4443 del 15.05.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento on line disconosciute, qualora l’intermediario dimostri che l’operazione è stata autenticata mediante strong customer authentication a doppio fattore — nella specie codice OTP inviato via sms sull’utenza dell’utente e codice statico 3DS — la prova dell’autenticazione costituisce prius logico rispetto alla valutazione della condotta del cliente. Spetta allora all’utilizzatore allegare e provare l’assenza di colpa grave. Integra colpa grave la condotta del cliente che, a seguito di artifizi e raggiri di terzi, consenta l’utilizzo dei codici dispositivi dello strumento di pagamento, in violazione degli obblighi di custodia e segretezza imposti dall’art. 7 d.lgs. n. 11/2010. Il rischio di frode esterna non è, di per sé, sufficiente a fondare la responsabilità del prestatore di servizi di pagamento.

Il Fatto

La ricorrente riceveva, il 2 settembre 2025, una telefonata da un numero apparentemente corrispondente all’utenza fissa dei Carabinieri di Brescia. Un sedicente maresciallo la avvisava di una presunta transazione illecita sulla sua carta di debito e la invitava a proseguire la conversazione su Whatsapp, dove, tramite videochiamata, le riferiva con esattezza i suoi dati personali e quelli della carta, chiedendole il codice OTP per bloccare il pagamento.

La ricorrente interrompeva la conversazione e bloccava la carta, ma il 4 settembre 2025 verificava l’addebito di € 2.424,00 per un’operazione del 02.09.2025 delle ore 16:57. Presentava reclamo e denuncia, senza esito. Adiva quindi l’Arbitro chiedendo il rimborso e contestando l’idoneità della documentazione prodotta dalla banca. L’intermediario eccepiva che la biometria era stata disabilitata dalla cliente il 17/01/2025 e che l’operazione era stata autenticata con OTP e 3DS, chiedendo il rigetto o il concorso di colpa.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva 2015/2366/Ue. Ribadisce che la strong customer authentication richiede almeno due fattori indipendenti tra conoscenza, inerenza e possesso, e che gli artt. 97 e 98 della direttiva PSD2 e l’art. 10-bis d.lgs. n. 11/2010 ne impongono l’adozione per l’accesso al conto, la disposizione di operazioni e ogni azione a distanza che comporti rischio di frode.

Le tracciature informatiche dimostrano che la transazione è stata autenticata mediante digitazione dell’OTP ricevuto sull’utenza univocamente riferibile alla ricorrente — elemento di possesso — e inserimento del codice statico 3DS, elemento di conoscenza. La conformità a SCA rende irrilevante la contrapposta rappresentazione delle parti sulle modalità di autenticazione: che la biometria fosse o meno attiva non incide, perché il doppio fattore è comunque documentato.

Accertata l’autenticazione, il Collegio verifica i profili di colpa grave, richiamando la decisione del Collegio coordinatore n. 22745/2019, secondo cui la prova di autenticazione è prius logico rispetto a tale valutazione. Osserva che la frode si è svolta su un canale non riferibile all’intermediario: una chiamata e una chat in apparenza riconducibili ai Carabinieri, con chiari indici di anomalia, tra cui l’uso di una piattaforma di messaggistica con numero mobile, messaggi con errori grammaticali e tono allarmistico e intimidatorio.

Il Collegio rileva inoltre che la prima chiamata al servizio clienti risulta effettuata alle ore 16:57, lo stesso minuto dell’operazione, rendendo verosimile che la banca abbia appreso della frode solo nel momento in cui il pagamento veniva eseguito, senza possibilità di recupero trattandosi di transazione e-commerce. Su queste basi ritiene sussistente la colpa grave della cliente, che con la propria condotta ha permesso la consumazione della truffa, e non accoglie il ricorso.