Una donna riceveva un sms apparentemente dalla propria banca con cui veniva informata di una disposizione di pagamento effettuata a suo nome con l’indicazione del numero a cui rivolgersi nell’ipotesi in cui l’operazione non fosse a lei riconducibile. La malcapitata chiamava quello che riteneva essere l’ufficio frodi e veniva convinta a dirottare una somma tramite bonifico su un nuovo conto corrente asseritamente aperto a suo nome e ad autorizzare un pagamento che, successivamente, scopriva essere relativo ad un acquisto su e-commerce. La donna – evidentemente vittima di “vishing/SMS spoofing” – perdeva oltre 5 mila euro e ne chiedeva il rimborso che, però, veniva negato dalla banca.
La vicenda giunge al Collegio di coordinamento dell’ABF che, con la decisione n. 4274 del 12.05.2026 (testo in calce), rigetta il ricorso della correntista, in quanto ritiene gravemente colposa la sua condotta anche in relazione agli obblighi di cui all’art. 7, comma 2 del d.lgs. n. 11/2010 (ossia l’adozione di tutte le ragionevoli misure idonee a proteggere le credenziali di sicurezza personalizzate). Ella, infatti, ha comunicato ad un terzo sconosciuto – sebbene qualificatosi come operatore dell’ufficio frodi della banca – i codici OTP ricevuti. Inoltre, appare irrealistico pensare che, per bloccare un addebito non autorizzato, si debba provvedere ad eseguire un’operazione di pagamento. Invece, nessuna responsabilità è ravvisabile in capo all’intermediario resistente, il quale ha dimostrato che le due operazioni contestate (il bonifico e il pagamento tramite carta) sono state regolarmente autenticate, eseguite e contabilizzate.
La decisione è interessante perché enuncia due principi di diritto su questioni oggetto di decisioni contrastanti da parte dei collegi territoriali in materia di autenticazione a due fattori (SCA) e CVV dinamico. Giova ricordare che il CVV (acronimo di Card Verification Value) è il numero di tre cifre che si trova sul retro del bancomat e serve per autorizzare il pagamento; il CVV dinamico – qui in rilievo – non è presente fisicamente sulla carta e viene generato al momento di realizzare un acquisto on line.
Una delle questioni controverse è se, una volta avuto accesso al conto con un unico fattore (le credenziali), sia ammissibile il riutilizzo di esso in combinazione con un secondo elemento di autenticazione per autorizzare l’operazione (ad esempio, l’OTP tramite sms). Secondo il Collegio, risulta conforme al quadro normativo la procedura che consente ai clienti di accedere al conto con un unico fattore di autenticazione e di eseguire un’operazione di pagamento riutilizzando detto fattore insieme con un secondo elemento di autenticazione (di diversa natura), ma a determinate condizioni; ad esempio, nel caso in cui l’accesso e il pagamento avvengano nella stessa sessione oppure l’associazione dei fattori utilizzati produca il dynamic linking.
Il Collegio si pronuncia anche sulla seconda questione dibattuta relativa al CVV e chiarisce che configura un sistema di autenticazione a doppio fattore (SCA), per autorizzare le operazioni di pagamento, l’utilizzo di un CVV dinamico, generato nella fase di accesso all’area riservata del cliente, accompagnato dall’inserimento di un OTP inviato via SMS.
| I Contratti, Direzione scientifica: Breccia Umberto, Carnevali Ugo, D’Amico Giovanni, Macario Francesco, Granelli Carlo, Ed. IPSOA, Periodico. Rivista di dottrina, giurisprudenza e pratiche contrattuali nazionali e internazionali, arbitrato e mediazione. Scarica gratuitamente un numero omaggio |
La vicenda
Una donna riceveva un SMS apparentemente inviato dal suo istituto bancario, con il quale veniva informata dell’addebito di un bonifico di 199 euro a suo carico; nel messaggio, si esortava il destinatario a contattare il numero indicato nel caso in cui la disposizione bancaria non fosse a lui attribuibile. La correntista contattava il suddetto numero, parlava con un sedicente operatore, il quale la informava di una frode in atto a suo danno per l’importo di 199 euro e di 1.900 euro e le evidenziava la necessità di bloccare gli addebiti. Pertanto, le chiedeva la terza lettera della password di accesso all’home banking, al fine di riconoscere il suo account bancario, dopodiché le rappresentava la necessità di aprire un nuovo conto corrente su cui girare le somme (poco più di 4 mila euro) e veniva convinta ad effettuare un altro bonifico di circa 800 euro a favore del nuovo conto. La donna veniva avvertita che anche su un altro conto presso un diverso intermediario erano in atto degli addebiti e veniva persuasa ad effettuare un bonifico di 850 euro e dopo si avvedeva che si trattava di un pagamento e-commerce di pari importo disposto con la sua carta e da lei mai autorizzato. Infine, l’operatore la invitava a disinstallare l’applicazione e ad attendere le credenziali del nuovo conto corrente. Non avendo ricevuto nulla, la donna contattava il numero verde della sua banca e apprendeva di essere stata vittima di una truffa. Ella, dunque, si rivolgeva al proprio istituto di credito ma insoddisfatta dell’interlocuzione con la sua banca, adiva l’Arbitro Bancario Finanziario (ABF) chiedendo la ripetizione del controvalore dei pagamenti fraudolenti oltre alla refusione delle spese legali.
L’intermediario deduceva che:
-
la prima operazione era un bonifico effettuato dal dispositivo abituale della cliente (per l’importo di 4.255,77 euro),
-
la seconda era un pagamento effettuato con la carta di debito della stessa (per l’importo di 850 euro).
Ambedue le operazioni erano state correttamente registrate ed autenticate con l’inserimento delle credenziali, secondo la banca, la cliente, evidentemente vittima di “vishing/SMS spoofing”, aveva serbato una condotta connotata da colpa grave. Inoltre, l’intermediario evidenziava di essersi attivato tempestivamente, bloccando il conto e tentando di recuperare le somme sottratte pari a oltre 5 mila euro e, quindi, chiedeva il rigetto delle domande della ricorrente.
Premessa: di cosa si occupa l’arbitro bancario finanziario (ABF)
L’ABF è l’Arbitro Bancario Finanziario ed è stato istituito dalla Banca d’Italia (ex art. 128 bis TUB) e non va confuso con l’ACF, quest’ultimo è l’Arbitro delle Controversie Finanziarie ed è stato istituito dalla Consob (delibera n. 19602/2016 poi modificata con delibera n. 21867/2021). Ambedue sono organismi deputati alla risoluzione alternativa delle controversie che possono sorgere tra i clienti e gli intermediari e il ricorso rappresenta una condizione di procedibilità per l’azione giudiziaria. La differenza precipua tra i due organismi riguarda l’ambito applicativo, infatti, il risparmiatore si rivolge:
-
all’ABF, in caso di prestazione di operazioni e servizi bancari e finanziari, a titolo di esempio, per i conti correnti, le carte di credito o il bancomat, i mutui, le segnalazioni alla Centrale dei Rischi et cetera,
-
all’ACF, in caso di servizi o attività con finalità di investimento, come la negoziazione o il collocamento di titoli, la consulenza in materia di investimenti, la gestione di patrimoni e così via.
Le decisioni assunte dall’ABF non sono vincolanti, pertanto, sia il cliente che l’intermediario hanno facoltà di ricorrere al giudice. La procedura è semplice, poco…
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Source link
