Una donna riceveva un sms apparentemente dalla propria banca con cui veniva informata di una disposizione di pagamento effettuata a suo nome con l’indicazione del numero a cui rivolgersi nell’ipotesi in cui l’operazione non fosse a lei riconducibile. La malcapitata chiamava quello che riteneva essere l’ufficio frodi e veniva convinta a dirottare una somma tramite bonifico su un nuovo conto corrente asseritamente aperto a suo nome e ad autorizzare un pagamento che, successivamente, scopriva essere relativo ad un acquisto su e-commerce. La donna – evidentemente vittima di “vishing/SMS spoofing” – perdeva oltre 5 mila euro e ne chiedeva il rimborso che, però, veniva negato dalla banca.
La vicenda giunge al Collegio di coordinamento dell’ABF che, con la decisione n. 4274 del 12.05.2026 (testo in calce), rigetta il ricorso della correntista, in quanto ritiene gravemente colposa la sua condotta anche in relazione agli obblighi di cui all’art. 7, comma 2 del d.lgs. n. 11/2010 (ossia l’adozione di tutte le ragionevoli misure idonee a proteggere le credenziali di sicurezza personalizzate). Ella, infatti, ha comunicato ad un terzo sconosciuto – sebbene qualificatosi come operatore dell’ufficio frodi della banca – i codici OTP ricevuti. Inoltre, appare irrealistico pensare che, per bloccare un addebito non autorizzato, si debba provvedere ad eseguire un’operazione di pagamento. Invece, nessuna responsabilità è ravvisabile in capo all’intermediario resistente, il quale ha dimostrato che le due operazioni contestate (il bonifico e il pagamento tramite carta) sono state regolarmente autenticate, eseguite e contabilizzate.
La decisione è interessante perché enuncia due principi di diritto su questioni oggetto di decisioni contrastanti da parte dei collegi territoriali in materia di autenticazione a due fattori (SCA) e CVV dinamico. Giova ricordare che il CVV (acronimo di Card Verification Value) è il numero di tre cifre che si trova sul retro del bancomat e serve per autorizzare il pagamento; il CVV dinamico – qui in rilievo – non è presente fisicamente sulla carta e viene generato al momento di realizzare un acquisto on line.
Una delle questioni controverse è se, una volta avuto accesso al conto con un unico fattore (le credenziali), sia ammissibile il riutilizzo di esso in combinazione con un secondo elemento di autenticazione per autorizzare l’operazione (ad esempio, l’OTP tramite sms). Secondo il Collegio, risulta conforme al quadro normativo la procedura che consente ai clienti di accedere al conto con un unico fattore di autenticazione e di eseguire un’operazione di pagamento riutilizzando detto fattore insieme con un secondo elemento di autenticazione (di diversa natura), ma a determinate condizioni; ad esempio, nel caso in cui l’accesso e il pagamento avvengano nella stessa sessione oppure l’associazione dei fattori utilizzati produca il dynamic linking.
Il Collegio si pronuncia anche sulla seconda questione dibattuta relativa al CVV e chiarisce che configura un sistema di autenticazione a doppio fattore (SCA), per autorizzare le operazioni di pagamento, l’utilizzo di un CVV dinamico, generato nella fase di accesso all’area riservata del cliente, accompagnato dall’inserimento di un OTP inviato via SMS.
| I Contratti, Direzione scientifica: Breccia Umberto, Carnevali Ugo, D’Amico Giovanni, Macario Francesco, Granelli Carlo, Ed. IPSOA, Periodico. Rivista di dottrina, giurisprudenza e pratiche contrattuali nazionali e internazionali, arbitrato e mediazione. Scarica gratuitamente un numero omaggio |
La vicenda
Una donna riceveva un SMS apparentemente inviato dal suo istituto bancario, con il quale veniva informata dell’addebito di un bonifico di 199 euro a suo carico; nel messaggio, si esortava il destinatario a contattare il numero indicato nel caso in cui la disposizione bancaria non fosse a lui attribuibile. La correntista contattava il suddetto numero, parlava con un sedicente operatore, il quale la informava di una frode in atto a suo danno per l’importo di 199 euro e di 1.900 euro e le evidenziava la necessità di bloccare gli addebiti. Pertanto, le chiedeva la terza lettera della password di accesso all’home banking, al fine di riconoscere il suo account bancario, dopodiché le rappresentava la necessità di aprire un nuovo conto corrente su cui girare le somme (poco più di 4 mila euro) e veniva convinta ad effettuare un altro bonifico di circa 800 euro a favore del nuovo conto. La donna veniva avvertita che anche su un altro conto presso un diverso intermediario erano in atto degli addebiti e veniva persuasa ad effettuare un bonifico di 850 euro e dopo si avvedeva che si trattava di un pagamento e-commerce di pari importo disposto con la sua carta e da lei mai autorizzato. Infine, l’operatore la invitava a disinstallare l’applicazione e ad attendere le credenziali del nuovo conto corrente. Non avendo ricevuto nulla, la donna contattava il numero verde della sua banca e apprendeva di essere stata vittima di una truffa. Ella, dunque, si rivolgeva al proprio istituto di credito ma insoddisfatta dell’interlocuzione con la sua banca, adiva l’Arbitro Bancario Finanziario (ABF) chiedendo la ripetizione del controvalore dei pagamenti fraudolenti oltre alla refusione delle spese legali.
L’intermediario deduceva che:
-
la prima operazione era un bonifico effettuato dal dispositivo abituale della cliente (per l’importo di 4.255,77 euro),
-
la seconda era un pagamento effettuato con la carta di debito della stessa (per l’importo di 850 euro).
Ambedue le operazioni erano state correttamente registrate ed autenticate con l’inserimento delle credenziali, secondo la banca, la cliente, evidentemente vittima di “vishing/SMS spoofing”, aveva serbato una condotta connotata da colpa grave. Inoltre, l’intermediario evidenziava di essersi attivato tempestivamente, bloccando il conto e tentando di recuperare le somme sottratte pari a oltre 5 mila euro e, quindi, chiedeva il rigetto delle domande della ricorrente.
Premessa: di cosa si occupa l’arbitro bancario finanziario (ABF)
L’ABF è l’Arbitro Bancario Finanziario ed è stato istituito dalla Banca d’Italia (ex art. 128 bis TUB) e non va confuso con l’ACF, quest’ultimo è l’Arbitro delle Controversie Finanziarie ed è stato istituito dalla Consob (delibera n. 19602/2016 poi modificata con delibera n. 21867/2021). Ambedue sono organismi deputati alla risoluzione alternativa delle controversie che possono sorgere tra i clienti e gli intermediari e il ricorso rappresenta una condizione di procedibilità per l’azione giudiziaria. La differenza precipua tra i due organismi riguarda l’ambito applicativo, infatti, il risparmiatore si rivolge:
-
all’ABF, in caso di prestazione di operazioni e servizi bancari e finanziari, a titolo di esempio, per i conti correnti, le carte di credito o il bancomat, i mutui, le segnalazioni alla Centrale dei Rischi et cetera,
-
all’ACF, in caso di servizi o attività con finalità di investimento, come la negoziazione o il collocamento di titoli, la consulenza in materia di investimenti, la gestione di patrimoni e così via.
Le decisioni assunte dall’ABF non sono vincolanti, pertanto, sia il cliente che l’intermediario hanno facoltà di ricorrere al giudice. La procedura è semplice, poco costosa e non necessita dell’assistenza di un difensore. Prima di depositare il ricorso, è necessario aver presentato un reclamo all’intermediario e non devono essere pendenti altri procedimenti giudiziali e stragiudiziali1.
Nel caso di specie, la questione è stata rimessa al Collegio di coordinamento dell’ABF, si tratta di un organo che decide i ricorsi su questioni di particolare importanza oppure su problematiche che hanno generato diversi orientamenti tra i collegi territoriali. L’ABF, infatti, si articola in 7 collegi territoriali (Bari, Bologna, Milano, Napoli, Palermo, Roma e Torino). Nella fattispecie in esame, il Collegio di Milano, presso cui la donna ha presentato il ricorso, vista la presenza di decisioni difformi da parte dei vari collegi territoriali “sulla questione relativa all’applicabilità dell’art. 10 del Regolamento Delegato UE n. 2018/389, come modificato dal Regolamento Delegato UE n. 2022/2360, nonché la rilevanza della questione legata alla natura del CVV dinamico quale fattore di autenticazione”, ha sospeso il procedimento e rimesso gli atti al Collegio di Coordinamento ai fini della decisione.
Disciplina sui servizi di pagamento e autenticazione forte (SCA)
In via preliminare giova indicare la normativa su cui si registrano le decisioni discordanti dei vari collegi ABF, si tratta di due direttive sui servizi di pagamento nel mercato interno:
La succitata disciplina prevede una serie di obblighi per fruitori e prestatori.
I fruitori dei servizi di pagamento devono usare gli strumenti in modo corretto e diligente, conservare i codici necessari al sicuro ed informare tempestivamente i prestatori in caso di uso fraudolento; in particolare, secondo l’art. 7 c. 2 d.lgs. 11/2010, il cliente “non appena riceve uno strumento di pagamento, adotta tutte le ragionevoli misure idonee a proteggere le credenziali di sicurezza personalizzate”;
I prestatori dei servizi di pagamento (PSP, acronimo di Payments Services Provider) devono adottare adeguati sistemi di sicurezza che impediscano a terzi l’accesso ai dispositivi personali degli utilizzatori; tra le varie norme si citano le seguenti:
-
“qualora l’utente di servizi di pagamento neghi di aver autorizzato un’operazione di pagamento già eseguita o sostenga che questa non sia stata correttamente eseguita, è onere del prestatore di servizi di pagamento provare che l’operazione di pagamento è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti” (così dispone l’art. 10 c. 1 d. lgs. 11/2010);
-
“i prestatori di servizi di pagamento applicano l’autenticazione forte del cliente quando l’utente: a) accede al suo conto di pagamento on-line; b) dispone un’operazione di pagamento elettronico; c) effettua qualsiasi azione, tramite un canale a distanza, che può comportare un rischio di frode nei pagamenti o altri abusi” (art. 10-bis d. lgs. 11/2010 introdotto dalla direttiva “PSD2”).
L’intermediario non è soggetto ai doveri sopradescritti solo se l’operazione contestata è stata direttamente disposta dal titolare dello strumento di pagamento benché in conseguenza di una frode perpetrata da terzi.
In materia di autenticazione forte viene in rilievo il Regolamento delegato UE 2018/389 che integra la direttiva (UE) 2015/2366 (PSD2) per quanto riguarda le norme tecniche di regolamentazione per l’autenticazione forte del cliente e gli standard aperti di comunicazione comuni e sicuri. L’autenticazione forte (SCA, ossia “Strong Customer Authentication”) postula la presenza di almeno due dei seguenti tre fattori: conoscenza, inerenza, possesso (art. 4 Regolamento cit.)
In particolare, l’art. 10 Regolamento cit. dispone quanto segue.
“I prestatori di servizi di pagamento sono autorizzati a non applicare l’autenticazione forte del cliente, a condizione di rispettare i requisiti di cui all’articolo 2 e al paragrafo 2 del presente articolo, se l’utente dei servizi di pagamento è limitato nell’accesso a uno dei seguenti elementi online o a entrambi senza che siano divulgati dati sensibili relativi ai pagamenti:
-
il saldo di uno o più conti di pagamento designati;
-
le operazioni di pagamento eseguite negli ultimi 90 giorni attraverso uno o più conti di pagamento designati.
Ai fini del paragrafo 1, i prestatori di servizi di pagamento non sono esenti dall’applicazione dell’autenticazione forte del cliente se una delle seguenti condizioni è soddisfatta:
-
l’utente del servizio di pagamento accede online alle informazioni di cui al paragrafo 1 per la prima volta;
-
sono trascorsi più di 90 giorni dall’ultima volta che l’utente del servizio di pagamento ha avuto accesso online alle informazioni di cui al paragrafo 1, lettera b), ed è stata applicata l’autenticazione forte del cliente”.
La questione controversa: il “riutilizzo” di uno dei due fattori
Nel caso in cui le operazioni siano state svolte con il contributo causale del cliente solo parziale va escluso che le suddette operazioni siano considerate come eseguite personalmente. Ad esempio, se il cliente inserisce uno solo dei fattori di autenticazione, la transazione non si intende per ciò solo autorizzata. Infatti, la disciplina speciale (PSD2) dispone che il consenso debba essere prestato nella forma stabilita tra il pagatore e il prestatore del servizio, l’intermediario è tenuto a provare di aver applicato l’autenticazione forte (SCA) in tutte le fasi delle operazioni contestate.
Nella vicenda che ci occupa, nel giorno della truffa erano stati effettuati vari accessi dall’applicazione presente sul dispositivo della cliente, tra cui quello prodromico all’esecuzioni delle due operazioni disconosciute. Tale accesso è stato autorizzato solo con l’inserimento dell’username e della password. Viene qui in rilievo il succitato art. 10 del Regolamento delegato UE 2018/389 (vedasi paragrafo precedente) che stabilisce il regime di esenzione dalla SCA.
In particolare, la questione da risolvere è la seguente:
-
occorre chiarire se, una volta avuto accesso al conto con un unico fattore (le credenziali), sia ammissibile il riutilizzo di esso in combinazione con un secondo elemento di autenticazione per autorizzare l’operazione.
Le indicazioni dell’Autorità bancaria europea (EBA)
Sulla questione è intervenuta l’Autorità bancaria europea (EBA, European Banking Authority) i cui chiarimenti non sono vincolanti – si tratta di soft law – ma rappresentano interpretazioni autorevoli in materia. Ebbene, l’EBA, nel 2018, ha ribadito che:
-
il regime di autenticazione forte (ex art. 4 Regolamento delegato) deve essere rispettato sia nella fase di accesso che nella fase di disposizione del pagamento,
-
uno dei fattori utilizzati al momento dell’accesso può essere riutilizzato nell’ambito della medesima sessione per disporre un’operazione di pagamento, purché l’associazione di entrambi i fattori produca il dynamic linking, ossia occorre che l’elemento di collegamento dinamico sia presente e collegato al pagamento stesso (art. 97 PSD2, art. 5 Reg. delegato).
Facciamo un esempio.
Il cliente accede inizialmente tramite autenticazione a due fattori (SCA), inserisce le credenziali (nome utente e password) (fattore di conoscenza) e un OTP ricevuto tramite sms (fattore di possesso), prima consulta gli estratti conto e, poi, all’interno della medesima sessione (che termina dopo 5 minuti) dispone un pagamento. Ai fini della SCA, è sufficiente il fattore di conoscenza (già utilizzato per l’accesso) in combinazione con il fattore di possesso utilizzato per l’esecuzione dell’operazione.
Nel 2018 l’EBA ha considerato ammissibile il riutilizzo, in fase dispositiva, del fattore di autenticazione utilizzato in fase di accesso, fase in cui erano stati usati due fattori ed era stato riutilizzato uno di tali fattori per eseguire il pagamento.
Nel 2020 l’EBA ha affrontato la questione dell’accesso avvenuto con un solo fattore da riutilizzare per il compimento della successiva operazione dispositiva. Il principio del riutilizzo, in fase dispositiva, del fattore di autenticazione utilizzato in fase di accesso, trova applicazione anche quando l’accesso al conto non sia presidiato da SCA, in quanto riconducibile a una delle ipotesi per le quali è prevista l’esenzione ai sensi dell’art. 10 del Regolamento delegato.
Le decisioni contrastanti dei vari collegi territoriali ABF
Nonostante le indicazioni fornite dall’Autorità bancaria europea (EBA) si registrano due orientamenti contrastanti:
-
alcuni Collegi territoriali dell’ABF hanno ritenuto conforme al quadro normativo e al regime di esenzione previsto dall’art. 10 del Regolamento delegato, la procedura che consente al cliente, al momento dell’accesso all’area riservata preliminare alla effettuazione di un’operazione di pagamento, di riutilizzare uno solo dei fattori di autenticazione impiegati in un precedente accesso, eseguito nell’arco di 180 giorni (Coll. Roma, dec. n. 7918/2024; n. 3963/2024); il suddetto “riutilizzo” si considera ammissibile sia che l’accesso al conto sia avvenuto con una SCA completa, sia che esso sia avvenuto con esenzione da SCA qualora si tratti di accesso informativo e sempre rispettando le condizioni previste dall’art. 10 Regolamento delegato (Coll. Torino, dec. n. 9093/2024; n. 9705/2024);
-
altri Collegi, invece, hanno ritenuto che il regime di esenzione dalla SCA, disciplinato dal richiamato art. 10, operi solo per gli accessi di carattere informativo di cui al comma 1 di detta disposizione, eseguiti entro 180 giorni rispetto al primo (Coll. Milano, ex multis, dec. n. 5970/2025; n 3619/2025; n. 93/2025; n. 10636/2024, n. 8155/2024 e n. 7574/2024; Coll. Bologna, dec. n. 11652/2024, n. 9591/2024; Coll. Bari, dec. n. 6380/2024).
La posizione assunta dal Collegio di Coordinamento: il primo principio di diritto
Il Collegio di coordinamento alla luce dei chiarimenti forniti dall’Autorità bancaria europea enuncia il seguente principio di diritto:
“È conforme al quadro normativo di riferimento la procedura adottata dall’intermediario che consente ai clienti di accedere al conto con un unico fattore di autenticazione (in applicazione del regime di esenzione di cui all’art. 10 del Regolamento Delegato (UE) 2018/389) e di eseguire un’operazione di pagamento riutilizzando detto fattore insieme con un secondo elemento di autenticazione (di diversa natura), a condizione che:
-
l’accesso e il pagamento avvengano nella stessa sessione;
-
l’associazione dei fattori utilizzati produca il dynamic linking (di cui all’art. 5 degli RTS – Regulatory Technical Standards/PSD2);
-
non si tratti del primo accesso al conto da parte dell’utente (nel qual caso è necessaria l’adozione della SCA);
-
non siano decorsi più di 180 giorni dall’ultima applicazione della SCA”.
Nessuna responsabilità della banca nel caso di specie
Nella fattispecie oggetto di scrutinio e, in base al principio sopra espresso, risulta che il procedimento adottato dall’intermediario sia conforme alla normativa vigente in materia di autenticazione forte (SCA). Dall’istruttoria è emerso che l’accesso è avvenuto con l’inserimento di un solo fattore (le credenziali), in quanto nei 180 giorni precedenti vi era stato un accesso avvenuto con l’autenticazione a doppio fattore.
Il procedimento dell’intermediario per l’autorizzazione della prima operazione – rivelatasi fraudolenta – è stato conforme alla normativa:
-
per autorizzare il bonifico di 4.225,77 euro è stato riutilizzato il fattore di conoscenza (le credenziali) unitamente al fattore di possesso (OTP inviato via sms sul dispositivo della cliente), la quale ha dichiarato di aver autorizzato l’operazione,
In relazione alla seconda operazione disconosciuta, ossia il pagamento di e-commerce per 850 euro con carta di debito, l’intermediario ha chiarito che il procedimento deve seguire questi passaggi: richiede l’accesso con le credenziali, la creazione di un CVV dinamico tramite l’inserimento del codice OTP ricevuto via sms sul dispositivo del cliente, immissione dei dati della carta (il numero della stessa, PAN, Primary Account Number, la scadenza il CVV dinamico) e conferma con un ulteriore OTP; sempre secondo le deduzioni della banca, l’inserimento del CVV dinamico rappresenta il primo fattore (fattore di conoscenza) mentre l’OTP è il secondo fattore (fattore di possesso).
Il CVV dinamico è un valido fattore di autenticazione
Per chi non lo sapesse, il CVV, acronimo di Card Verification Value, è un codice di sicurezza di tre cifre, solitamente, è stampato sul retro della carta e serve per proteggere gli acquisti in rete. Oltre al CVV tradizionale stampigliato sulla carta, esiste il CVV definito “dinamico” che non è presente fisicamente sulla carta e viene generato al momento di realizzare un acquisto on line.
L’art. 97 c. 2 della direttiva PSD2 fa riferimento al collegamento dinamico disponendo che, nel caso dell’avvio di un’operazione di pagamento elettronico a distanza, i prestatori di servizi di pagamento applicano l’autenticazione forte del cliente che comprenda elementi che colleghino in maniera dinamica l’operazione a uno specifico importo e a un beneficiario specifico.
In relazione alla natura del CVV dinamico come fattore di autenticazione si registrano due orientamenti contrastanti:
-
secondo un indirizzo, l’utilizzo del CVV dinamico rientra in una modalità autorizzativa conforme all’autenticazione a due fattori (SCA) (in tal senso, Coll. Roma, dec. 8237/2025; Coll.Torino, dec. 5101/2025; dec. 1709/2025; Coll. Napoli, dec. 3006/2025; Coll. Bari, dec7097/2025; Coll. Palermo, dec. 7200/2025);
-
secondo un altro orientamento, l’utilizzo del CVV dinamico, invece, non è conforme (Coll. Bologna, dec. 2856/2025; Coll. Milano, dec. 5970/2025; dec. 3619/2025; dec. 3554/2024; dec. 8153/2024; Coll. Palermo, dec. 2775/2025; dec. 2318/2025).
Il Collegio di coordinamento richiama le indicazioni fornite dall’Autorità bancaria europea (EBA) secondo cui l’autenticazione a due fattori deve essere garantita in ogni procedimento che comporta un’operazione di pagamento. Come abbiamo detto, la SCA richiede il ricorso a due di tre fattori (conoscenza, possesso, inerenza). A titolo di esempio, il possesso riguarda qualcosa che solo il cliente possiede, ma non solo in senso fisico, infatti, è ammesso il ricorso ad un mezzo affidabile che permetta la generazione o la ricezione di un elemento di validazione dinamica del dispositivo.
Tornando al CVV:
-
se è stampato sulla carta, non costituisce un valido fattore di autenticazione (CVV “tradizionale”),
-
se è dinamico può rappresentare un fattore di possesso (CVV dinamico),
-
se viene inviato separatamente è da equipararsi ad un codice PIN per una nuova carta ed integra un fattore di conoscenza.
Il secondo principio di diritto
Il Collegio di coordinamento enuncia il seguente principio di diritto:
-
“Configura un sistema di autenticazione a doppio fattore (SCA), come richiesto dalle disposizioni vigenti per autorizzare le operazioni di pagamento, l’utilizzo di un cd. CVV dinamico, generato nella fase di accesso all’area riservata del cliente, accompagnato dall’inserimento di un OTP inviato via SMS”.
Conclusioni: condotta gravemente colposa del cliente
In base alla documentazione prodotta emerge che la ricorrente è stata vittima di una frode qualificabile come SMS/spoofing. La comunicazione ricevuta tramite messaggio faceva riferimento ad una presunta operazione da lei non autorizzata, tale messaggio pareva proveniente dalla sua banca e ciò l’aveva indotta a prestarvi fede. Il messaggio in questione (messaggio civetta) recava la denominazione della banca convenuta ma conteneva errori grammaticali e di punteggiatura che avrebbero dovuto indurre la cliente a comprendere che esso non era attribuibile alla sua banca.
La condotta della ricorrente appare connotata da colpa grave, ella, infatti, ha comunicato ad un terzo sconosciuto – sebbene qualificatosi come operatore dell’ufficio frodi della banca – i codici OTP ricevuti e non ha prestato attenzione alla mancata ricezione di una notifica in app nella sezione “I miei messaggi” indicativa del fatto che non era stata contatta dalla propria banca.
Secondo il Collegio, appare irrealistico pensare che, per bloccare un addebito non autorizzato, si debba provvedere ad eseguire un’operazione di pagamento.
In conclusione, il Collegio rigetta il ricorso della donna, in quanto ritiene gravemente colposa la sua condotta, anche in relazione agli obblighi di cui all’art. 7, comma 2 del d. lgs. n. 11/2010. Invece, nessuna responsabilità è ravvisabile in capo all’intermediario resistente, il quale ha dimostrato che le due operazioni contestate (il bonifico e il pagamento tramite carta) sono state regolarmente autenticate, eseguite e contabilizzate.
>> Leggi anche:
NOTE
[1] Paragrafo integralmente tratto da “Bonifico a IBAN errato: il pagatore ha diritto di conoscere i dati del ricevente” a commento della Decisione 3 maggio 2022, n. 6886 del Collegio di coordinamento dell’ABF annotata dalla scrivente.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
