Un sms apparentemente inviato dalla banca, un numero da contattare per disconoscere un pagamento e la successiva comunicazione di codici OTP a un interlocutore presentatosi come addetto antifrode: è la sequenza al centro della decisione n. 4274 del 12 maggio 2026 del Collegio di coordinamento dell’Arbitro Bancario Finanziario, come riportata nella documentazione. Il ricorso della correntista è stato rigettato e il rimborso per una perdita superiore a 5 mila euro è stato negato.
La cliente aveva ricevuto un messaggio che segnalava una disposizione di pagamento a suo nome e indicava un recapito da chiamare qualora l’operazione non fosse stata riconosciuta. Dopo la telefonata, secondo la ricostruzione, era stata convinta a disporre un bonifico verso un conto presentato come aperto a suo nome e ad autorizzare un pagamento poi collegato a un acquisto online. La vicenda viene qualificata come un caso di vishing e SMS spoofing: un messaggio costruito per apparire proveniente dall’istituto e una telefonata nella quale l’interlocutore assume l’identità di un ufficio della banca.
Il Collegio ha ritenuto gravemente colposa la condotta della correntista per aver comunicato a uno sconosciuto i codici OTP ricevuti, pur se l’interlocutore si era qualificato come operatore dell’ufficio frodi. Nella decisione pesa anche un elemento di plausibilità richiamato nella documentazione: per bloccare un addebito non autorizzato non sarebbe ragionevole dover eseguire un’operazione di pagamento.
Non è stata invece ravvisata una responsabilità dell’intermediario. La banca, secondo quanto riferito, ha dimostrato che il bonifico e il pagamento con carta erano stati regolarmente autenticati, eseguiti e contabilizzati. La pronuncia richiama inoltre l’obbligo, indicato nell’articolo 7, comma 2, del n. 11/2010 citato nel dossier, di adottare ragionevoli misure per proteggere le credenziali di sicurezza personalizzate.
La decisione affronta anche due questioni sulle quali, stando alla ricostruzione proposta, vi erano orientamenti contrastanti tra i collegi territoriali: l’autenticazione a due fattori e il CVV dinamico. Il Collegio considera conforme al quadro normativo una procedura che consenta l’accesso al conto con un solo fattore e l’autorizzazione del pagamento attraverso il riutilizzo di quel fattore insieme a un secondo elemento di natura diversa. Tale soluzione è ammessa alle condizioni indicate, fra cui l’accesso e il pagamento nella stessa sessione oppure l’associazione dei fattori idonea a produrre il dynamic linking.
Sul CVV dinamico, la pronuncia chiarisce che può configurare un sistema di autenticazione a doppio fattore l’uso di un codice generato durante l’accesso all’area riservata del cliente, accompagnato dall’inserimento di un OTP ricevuto via SMS. Diversamente dal CVV tradizionale, il codice dinamico non è presente fisicamente sulla carta e viene generato per l’acquisto online.
Il caso esaminato dall’ABF lega quindi l’esito del ricorso sia alla comunicazione degli OTP sia alla prova dell’autenticazione delle due operazioni contestate. La decisione offre inoltre un chiarimento sulle modalità con cui possono essere combinati i fattori di autenticazione nei pagamenti digitali.
