Un sms apparentemente inviato dalla banca, un recapito da chiamare per disconoscere un pagamento e la successiva comunicazione di codici OTP a un falso addetto antifrode: è questa la sequenza esaminata nella decisione n. 4274 del 12 maggio 2026 del Collegio di coordinamento dell’Arbitro Bancario Finanziario, secondo la documentazione disponibile. Il ricorso della correntista è stato rigettato: non è stato disposto il rimborso di una perdita superiore a 5 mila euro. Al centro del provvedimento non c’è soltanto la ricostruzione di una truffa digitale, ma anche il confine fra gli obblighi di protezione dell’intermediario e le cautele richieste al cliente nella gestione delle credenziali personali.
La cliente aveva ricevuto un messaggio che segnalava una disposizione di pagamento a suo nome e indicava un numero da contattare nel caso in cui non riconoscesse l’operazione. Dopo avere telefonato, stando alla ricostruzione riportata, sarebbe stata indotta a effettuare un bonifico verso un conto presentato come aperto a suo nome e ad autorizzare un ulteriore pagamento, poi collegato a un acquisto online. La dinamica viene ricondotta al vishing e allo SMS spoofing: nel primo caso il raggiro si svolge per telefono, attraverso un interlocutore che si accredita come operatore della banca; nel secondo, il messaggio viene costruito per apparire come una comunicazione autentica dell’istituto.
Il Collegio ha considerato gravemente colposa la condotta della correntista, che aveva comunicato a uno sconosciuto i codici OTP ricevuti, benché l’interlocutore si fosse qualificato come componente dell’ufficio frodi. Gli OTP, cioè codici temporanei utilizzati per confermare accessi o operazioni, costituiscono infatti credenziali di sicurezza personalizzate. Nella motivazione richiamata dalla documentazione rileva anche un criterio di plausibilità: per bloccare un addebito non autorizzato non risulterebbe ragionevole eseguire, a propria volta, un’operazione di pagamento. Il passaggio distingue la pressione psicologica tipica delle frodi dalla valutazione richiesta al cliente quando gli viene chiesto di compiere atti che, anziché interrompere il rischio, producono nuovi trasferimenti di denaro.
Non è stata invece riconosciuta una responsabilità dell’intermediario. La banca, secondo quanto riferito, ha dimostrato che il bonifico e il pagamento con carta erano stati autenticati, eseguiti e contabilizzati regolarmente. La pronuncia richiama inoltre l’obbligo previsto dall’articolo 7, comma 2, del decreto legislativo n. 11/2010, citato nel dossier, di adottare ragionevoli misure per preservare le credenziali di sicurezza personalizzate. L’esito del ricorso si fonda dunque sulla combinazione tra la prova tecnica fornita dalla banca sulle operazioni e la valutazione della condotta della cliente nella comunicazione dei codici.
La decisione affronta anche due profili sui quali, nella ricostruzione proposta, erano emersi orientamenti non uniformi fra i collegi territoriali: l’autenticazione a due fattori e il CVV dinamico. Il Collegio ritiene compatibile con il quadro normativo una procedura che permetta l’accesso al conto con un solo fattore e consenta poi di autorizzare il pagamento riutilizzando quel fattore insieme a un secondo elemento di natura diversa. La soluzione, precisa il provvedimento, è ammessa alle condizioni indicate: accesso e pagamento nella stessa sessione, oppure associazione dei fattori tale da realizzare il dynamic linking, ossia il collegamento dell’autenticazione a una specifica operazione.
Quanto al CVV dinamico, la pronuncia chiarisce che può integrare un sistema di autenticazione a doppio fattore l’impiego di un codice generato durante l’accesso all’area riservata del cliente, accompagnato dall’inserimento di un OTP ricevuto via SMS. A differenza del CVV tradizionale, stampato sulla carta, quello dinamico non è fisicamente disponibile sullo strumento di pagamento e viene generato per l’acquisto online. Il caso lega quindi il mancato rimborso alla comunicazione degli OTP e alla prova dell’autenticazione delle operazioni contestate, offrendo al tempo stesso un chiarimento sulle modalità di combinazione dei fattori di sicurezza nei pagamenti digitali.
