Vishing e comunicazione volontaria degli OTP: la condotta dell’utente integra colpa grave (ABF Collegio di Bologna n. 2538 del 18.03.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento non autorizzate, l’intermediario assolve l’onere probatorio previsto dall’art. 10 del d.lgs. n. 11/2010 dimostrando l’avvenuta autenticazione mediante credenziali e OTP inviato al numero certificato, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di anomalie nei sistemi. Accertato ciò, la comunicazione volontaria a terzi dei codici dispositivi strettamente personali, indotta da sollecitazione telefonica fraudolenta (vishing), integra di regola colpa grave dell’utilizzatore ai sensi dell’art. 12 del d.lgs. n. 11/2010, atteso il carattere notorio e diffuso di tali modalità fraudolente. La dedotta pressione psicologica non esclude la gravità della negligenza quando l’utente abbia fornito tutti gli elementi necessari per l’accesso e l’autorizzazione nonostante i plurimi alert ricevuti e la disponibilità di presidi di verifica dell’autenticità del contatto.

Il Fatto

Il ricorrente chiede il rimborso di euro 1.819,00, relativi a un’operazione di pagamento online eseguita il 5 agosto 2025 e disconosciuta. Espone di aver ricevuto, in serata, una chiamata da un soggetto qualificatosi come operatore bancario, che lo informava di presunte transazioni sospette e lo induceva a comunicare i codici OTP ricevuti via SMS, rappresentando che servissero a bloccare frodi in corso. Riferisce di aver ricevuto un SMS antifrode relativo all’operazione e di aver risposto “NO”, senza che ciò impedisse l’esecuzione. Due ulteriori operazioni di importo minore sono state rimborsate dall’intermediario.

Il ricorrente qualifica l’evento come vishing e sostiene che la comunicazione dell’OTP sotto inganno non provi un’autorizzazione consapevole, assumendo che incomba sull’intermediario l’onere di provare la colpa grave. L’intermediario chiede il rigetto, deducendo l’avvenuta autenticazione in regime di Strong Customer Authentication e producendo i log di accesso, l’associazione di un nuovo dispositivo e le evidenze sugli OTP.

La motivazione del Collegio

La controversia è disciplinata dal d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218, di recepimento della direttiva (UE) 2015/2366 (PSD2). Ai sensi dell’art. 10, incombe sull’intermediario l’onere di provare che l’operazione sia stata autenticata, correttamente registrata e contabilizzata e che non abbia subito malfunzionamenti. Il Collegio ritiene tale onere assolto: l’intermediario ha documentato l’autenticazione mediante credenziali corrette e OTP inviato al numero certificato del ricorrente, la corretta associazione del nuovo dispositivo e l’assenza di anomalie nei sistemi.

Resta da verificare se la perdita sia imputabile all’intermediario o ricorra un’ipotesi di dolo o colpa grave dell’utilizzatore, ai sensi dell’art. 12 del medesimo decreto. È pacifico che il ricorrente abbia comunicato a terzi credenziali e codici OTP. La fattispecie si inquadra nel fenomeno del vishing, ossia nella sollecitazione telefonica volta a indurre l’utente a rivelare dati riservati.

Il Collegio richiama l’orientamento consolidato dei Collegi ABF secondo cui, in presenza di comunicazione volontaria di codici dispositivi strettamente personali, la condotta integra di regola colpa grave, atteso il carattere notorio e diffuso di tali modalità fraudolente. Nel caso concreto assumono rilievo l’associazione di un nuovo dispositivo preceduta da invio di OTP, la ricezione di notifiche e SMS relativi sia all’enrollment sia all’operazione e la disponibilità del c.d. “bollino di sicurezza”, che consente di verificare in tempo reale l’effettiva provenienza della chiamata da un operatore autorizzato.

Il ricorrente stesso riferisce di aver interagito con il sedicente operatore durante l’accesso all’applicazione: in tale contesto avrebbe potuto avvalersi del presidio per verificare l’autenticità del contatto. La sua presenza, oggetto di preventiva informazione alla clientela, rende concretamente attuabile una condotta improntata a ordinaria diligenza anche in un contesto di sollecitazione telefonica. La diffusione del phishing telefonico è tale che i Collegi ABF ritengono da tempo sufficiente una media diligenza a scongiurare il pericolo (ex multis, Collegio di Milano n. 887 del 07 febbraio 2019, Collegio di Bologna n. 26184 del 12/12/2019).

La dedotta pressione psicologica, pur comprensibile sul piano soggettivo, non appare idonea, alla luce delle circostanze oggettive richiamate, a escludere la gravità della negligenza, avendo il ricorrente fornito a terzi tutti gli elementi necessari per l’accesso e l’autorizzazione nonostante i plurimi alert ricevuti. La perdita economica è dunque imputata al ricorrente per colpa grave ai sensi dell’art. 12 del d.lgs. n. 11/2010. Il ricorso è rigettato.