Codice OTP comunicato al truffatore: quando il cliente conserva il diritto al rimborso e quando può essergli contestata la colpa grave

Aver comunicato l’OTP non significa automaticamente perdere ogni diritto

Una delle risposte più frequenti che il cliente riceve dopo una frode bancaria è apparentemente definitiva: «L’operazione è stata autorizzata mediante OTP; poiché il codice era nella sua disponibilità, la banca non può rimborsare».

Dal punto di vista giuridico, questa conclusione è troppo semplicistica.

Il fatto che il consumatore abbia comunicato al truffatore un One Time Password, oppure che quel codice sia stato utilizzato per completare una determinata operazione, costituisce certamente un elemento molto importante nella ricostruzione della frode, ma non determina automaticamente né l’esistenza di un’autorizzazione giuridicamente valida né la colpa grave del cliente.

La disciplina dei servizi di pagamento, contenuta principalmente nel d.lgs. 27 gennaio 2010, n. 11, costruisce infatti un sistema nel quale devono essere tenuti distinti almeno quattro diversi profili: l’autenticazione tecnica dell’operazione, il consenso del pagatore, l’eventuale negligenza del cliente e l’adeguatezza dei sistemi di sicurezza adottati dalla banca.

Sono questioni differenti e devono essere esaminate in un ordine preciso.

Che cos’è realmente un OTP

L’OTP è un codice utilizzabile una sola volta, normalmente generato per completare un accesso, associare un dispositivo oppure autorizzare una specifica operazione.

Nel sistema della Strong Customer Authentication, l’OTP può rappresentare uno dei fattori attraverso i quali viene verificata l’identità del cliente.

L’autenticazione forte, secondo il sistema PSD2, richiede normalmente almeno due elementi indipendenti appartenenti a categorie diverse: conoscenza, possesso e inerenza.

Una password può costituire un elemento di conoscenza; la disponibilità dello smartphone può costituire un elemento di possesso; l’impronta digitale può rappresentare un elemento biometrico.

L’OTP è quindi uno strumento di sicurezza.

Ma uno strumento di sicurezza può essere utilizzato fraudolentemente da un terzo.

Ed è proprio questa eventualità che impedisce di identificare automaticamente utilizzo dell’OTP e consenso del cliente.

Autenticare un’operazione non significa necessariamente averla autorizzata

Questa distinzione è il punto di partenza di qualsiasi controversia.

Un pagamento può risultare tecnicamente autenticato perché i sistemi hanno registrato l’utilizzo dei fattori corretti.

Ciò non significa automaticamente che il titolare abbia consapevolmente voluto quel pagamento.

L’articolo 10 del d.lgs. n. 11/2010 attribuisce proprio alla banca l’onere di dimostrare che l’operazione contestata sia stata autenticata, correttamente registrata e contabilizzata e che non sia stata alterata da malfunzionamenti tecnici.

Ma la norma aggiunge un principio fondamentale: il semplice utilizzo dello strumento di pagamento registrato dal prestatore non è necessariamente sufficiente a dimostrare che il cliente abbia autorizzato l’operazione, né che abbia agito fraudolentemente o con dolo o colpa grave.

Quindi la presenza dell’OTP nei log della banca rappresenta l’inizio dell’analisi, non la sua conclusione.

L’esempio più semplice: il cliente comunica l’OTP e il criminale effettua il pagamento

Immaginiamo che il correntista riceva una telefonata apparentemente proveniente dalla propria banca.

Il falso operatore afferma che è necessario verificare l’identità del cliente e gli chiede di comunicare un codice appena ricevuto tramite SMS.

Il cliente fornisce il codice.

Il criminale lo utilizza per effettuare autonomamente un bonifico o associare la carta a un dispositivo.

Il correntista non voleva effettuare quel pagamento.

Non ha scelto il beneficiario.

Non ha deciso l’importo.

Non aveva intenzione di trasferire denaro.

La comunicazione dell’OTP può essere certamente valutata sotto il profilo della diligenza, ma ciò non trasforma automaticamente l’operazione materialmente eseguita dal truffatore in un pagamento voluto dal cliente.

La controversia si sposta quindi sul tema della colpa grave.

Il rimborso delle operazioni non autorizzate costituisce la regola di partenza

Quando l’operazione è realmente non autorizzata, l’articolo 11 del d.lgs. n. 11/2010 stabilisce una tutela molto forte.

In linea generale, il prestatore di servizi di pagamento deve restituire l’importo immediatamente e comunque entro la fine della giornata operativa successiva a quella nella quale viene a conoscenza dell’operazione o riceve la relativa comunicazione.

Quando l’importo è stato addebitato su un conto corrente, il conto deve essere riportato nella situazione nella quale si sarebbe trovato se l’operazione non fosse mai stata eseguita.

La Banca d’Italia ha richiamato espressamente gli intermediari al rispetto di questa disciplina, chiarendo anche che la mera presenza dell’autenticazione forte non consente automaticamente di attribuire la perdita al cliente.

La banca può opporre la colpa grave, ma deve provarla

Il sistema protegge il cliente, ma non lo esonera da qualsiasi obbligo di prudenza.

L’articolo 12 del d.lgs. n. 11/2010 consente infatti di porre le perdite derivanti dall’operazione fraudolenta a carico del pagatore quando questi abbia agito fraudolentemente oppure abbia violato con dolo o colpa grave gli obblighi connessi alla custodia e all’utilizzo dello strumento di pagamento e delle relative credenziali.

Il punto decisivo è proprio l’aggettivo “grave”.

Non basta dimostrare che il cliente abbia commesso un errore.

Non basta una semplice ingenuità.

Non basta neppure, in astratto, dimostrare che abbia comunicato un OTP.

Occorre provare una condotta caratterizzata da un livello di negligenza particolarmente elevato.

La colpa grave è qualcosa di più della normale disattenzione

Nel linguaggio quotidiano è facile affermare: «Non avrebbe dovuto comunicare il codice, quindi è colpa sua».

Il diritto utilizza un criterio molto più rigoroso.

La colpa grave presuppone una deviazione macroscopica dalle più elementari regole di prudenza, valutata alla luce delle circostanze concrete nelle quali la vittima ha agito.

Questo significa che devono essere considerati il modo in cui è iniziata la frode, l’identità apparentemente utilizzata dal criminale, l’eventuale spoofing del numero telefonico, la collocazione dell’SMS all’interno del thread autentico della banca, le informazioni possedute dal falso operatore, il testo effettivo dell’OTP e il tempo concesso alla vittima per comprendere ciò che stava accadendo.

La medesima comunicazione di un codice può quindi assumere significati giuridicamente molto diversi.

Il contenuto dell’SMS con l’OTP può decidere la controversia

Questo è uno degli elementi più importanti da verificare.

Supponiamo che il cliente riceva un SMS che contiene soltanto la frase:

«Il suo codice è 538921. Non comunicarlo a nessuno».

Il falso operatore convince la vittima che quel codice serve per bloccare una frode.

La condotta deve essere certamente esaminata, ma il messaggio non indica necessariamente quale operazione si stia autorizzando.

La situazione è molto diversa quando l’SMS contiene invece una formula del tipo:

«Codice 538921 per autorizzare il pagamento di euro 5.000 a favore di Mario Rossi. Non comunicare il codice a terzi».

In questo secondo caso il cliente dispone di informazioni molto più precise.

Se comunica ugualmente il codice a un interlocutore che gli sta dicendo che non sta effettuando alcun pagamento, la banca può utilizzare proprio questa evidente contraddizione per sostenere la colpa grave.

L’ABF nel 2026 ha già affrontato precisamente questo problema

La decisione dell’Arbitro Bancario Finanziario, Collegio di Milano, n. 4697 del 26 maggio 2026 rappresenta un esempio particolarmente significativo.

La cliente era stata contattata nell’ambito di una falsa compravendita online e aveva inserito i dati della carta e un codice OTP credendo di dover eseguire una procedura necessaria per ricevere denaro.

L’intermediario riuscì però a dimostrare sia la corretta autenticazione forte sia l’invio di comunicazioni che indicavano chiaramente la natura dispositiva dell’operazione.

L’ABF valorizzò inoltre il fatto che lo strumento utilizzato non fosse neppure idoneo a ricevere l’accredito che la ricorrente sosteneva di aspettare.

In quella specifica situazione la condotta venne qualificata come gravemente colposa e il rimborso fu negato.

Il principio che si può ricavare non è però che «chi comunica l’OTP perde».

Il principio è diverso: quando la banca prova correttamente la procedura di autenticazione e dimostra che il cliente era stato informato in modo sufficientemente chiaro che quel codice serviva ad autorizzare proprio un pagamento, la comunicazione dell’OTP può diventare un elemento molto forte per dimostrare la colpa grave.

Un caso opposto: se la banca non prova correttamente l’autenticazione, la colpa del cliente viene dopo

Una decisione ufficiale dell’ABF particolarmente importante è la n. 85 dell’8 gennaio 2026 del Collegio di Milano.

Il cliente contestava dieci bonifici per complessivi 5.447 euro.

L’intermediario sosteneva che la frode fosse stata resa possibile dal comportamento del cliente, che avrebbe consentito al criminale di installare un’applicazione malevola e compromettere lo smartphone.

L’ABF ha però rilevato che la documentazione prodotta dalla banca non dimostrava correttamente l’utilizzo dei due fattori richiesti per l’autenticazione forte in tutte le fasi dell’operazione.

Il Collegio ha affermato un principio molto rilevante: la prova del corretto rispetto dei presidi di sicurezza viene logicamente prima della valutazione della colpa grave del cliente.

Poiché tale prova era incompleta, il ricorso è stato accolto e l’intermediario è stato condannato a rimborsare 5.447 euro, oltre agli interessi legali.

Questo precedente dimostra perfettamente perché la frase «ha comunicato il codice, quindi non rimborsiamo» sia giuridicamente insufficiente.

Prima la banca deve provare la corretta Strong Customer Authentication

L’ordine logico è essenziale.

Prima bisogna stabilire se l’intermediario abbia dimostrato la corretta applicazione dei sistemi di autenticazione richiesti.

Solo successivamente diventa necessario valutare se il comportamento dell’utente abbia raggiunto il livello della colpa grave.

La banca non può quindi saltare il primo passaggio e concentrarsi esclusivamente sull’errore commesso dalla vittima.

Questo aspetto è particolarmente importante quando dai log non sia possibile comprendere chiaramente quale fattore sia stato utilizzato, quando sia stato associato un nuovo dispositivo, quale token abbia autorizzato la transazione oppure se siano stati rispettati i requisiti del cosiddetto dynamic linking.

Il dynamic linking collega l’autenticazione alla specifica operazione

Nei pagamenti elettronici soggetti alla relativa disciplina, l’autenticazione forte non deve essere completamente astratta.

Il sistema deve essere in grado di collegare l’autorizzazione alla specifica operazione, secondo le regole applicabili.

Importo e beneficiario assumono quindi un’importanza centrale.

La funzione è evidente: impedire che un codice fornito per una determinata finalità possa essere utilizzato indiscriminatamente per autorizzare un pagamento differente.

Quando si analizza una frode con OTP è quindi essenziale chiedere alla banca quale operazione fosse collegata a quel codice e quali informazioni fossero state rese visibili al cliente al momento dell’autenticazione.

Non tutti gli OTP hanno la stessa funzione

Un ulteriore errore consiste nel parlare genericamente di “codice OTP” senza verificare che cosa quel codice servisse realmente a fare.

Un OTP può servire ad accedere all’home banking.

Può servire ad associare un nuovo dispositivo.

Può autorizzare la tokenizzazione di una carta su un wallet.

Può confermare la modifica di un recapito.

Può autorizzare direttamente un pagamento.

Queste operazioni hanno conseguenze profondamente differenti.

Il fatto che il cliente abbia consegnato un codice utilizzato per associare fraudolentemente un nuovo dispositivo non significa necessariamente che abbia autorizzato anche tutte le operazioni successivamente eseguite attraverso quel dispositivo.

È quindi indispensabile ricostruire l’intera catena tecnica.

La banca deve spiegare che cosa è avvenuto, non soltanto produrre una schermata

La documentazione bancaria dovrebbe permettere di comprendere almeno quale dispositivo fosse associato al cliente, quale fosse l’indirizzo o il canale di provenienza dell’operazione, quali fattori di autenticazione siano stati utilizzati e quale fosse la funzione del codice comunicato.

Quando viene registrato un nuovo dispositivo poco prima della frode, questo dato può essere particolarmente importante.

Bisogna chiedersi come sia stato associato, quali alert siano stati trasmessi al cliente e quale autenticazione sia stata utilizzata per completare l’associazione.

Una sequenza tecnica lacunosa può rendere insufficiente la prova dell’intermediario.

La Cassazione attribuisce alla banca un onere di diligenza professionale qualificato

Il principio della responsabilità bancaria nelle frodi informatiche è stato ribadito dalla Corte di cassazione con la sentenza n. 3780 del 12 febbraio 2024.

La vicenda riguardava un cliente che aveva fornito le proprie credenziali a seguito di una comunicazione di phishing apparentemente proveniente dall’intermediario.

Terzi avevano quindi eseguito un’operazione mai effettuata dal titolare.

La Cassazione ha ricordato che la responsabilità della banca ha natura contrattuale e che il professionista deve operare secondo la diligenza tecnica dell’accorto banchiere.

La possibilità che le credenziali vengano sottratte attraverso tecniche fraudolente rientra nel rischio professionale dell’attività bancaria elettronica; per liberarsi dalla responsabilità, l’intermediario deve dimostrare di avere adottato misure adeguate per prevenire o limitare l’uso fraudolento del sistema.

Anche qui, la Cassazione non afferma che la banca debba rimborsare ogni phishing.

Esclude però che la responsabilità possa essere automaticamente trasferita sul cliente soltanto perché il criminale è riuscito a utilizzare le sue credenziali.

Comunicare l’OTP dopo una telefonata apparentemente proveniente dalla banca è diverso dal comunicarlo a uno sconosciuto

La dinamica concreta conta enormemente.

Immaginiamo due situazioni.

Nel primo caso il cliente riceve su un social network un messaggio proveniente da un profilo appena creato, clicca su un indirizzo palesemente estraneo alla banca e comunica un codice nonostante l’SMS specifichi che serve ad autorizzare un pagamento.

Nel secondo caso riceve un SMS inserito nella medesima conversazione nella quale da anni riceve comunicazioni autentiche dalla banca; immediatamente dopo viene chiamato da un numero che appare coincidere con quello ufficiale dell’intermediario; l’operatore conosce il suo nome e alcuni dati reali e gli comunica che il codice serve per bloccare un bonifico fraudolento.

È evidente che la valutazione della condotta non può essere identica.

Lo spoofing può ridurre considerevolmente la rimproverabilità della vittima

Il caller ID spoofing consente al criminale di far apparire sul telefono della vittima il numero ufficiale di un altro soggetto.

Il consumatore può quindi visualizzare realmente il recapito della propria banca.

La stessa manipolazione può interessare la provenienza degli SMS.

È una tecnica particolarmente insidiosa perché neutralizza uno dei comportamenti normalmente consigliati agli utenti: controllare il mittente.

Per questa ragione, quando la comunicazione dell’OTP sia avvenuta all’interno di una frode sofisticata fondata su spoofing, la banca non può limitarsi a osservare che il cliente “avrebbe dovuto capire”.

Occorre valutare il grado concreto di riconoscibilità del raggiro.

Lo spoofing deve però essere documentato

L’affermazione della vittima deve essere sostenuta dalla migliore documentazione disponibile.

È quindi fondamentale conservare screenshot degli SMS, registro delle chiamate, numeri visualizzati sul telefono, conversazioni WhatsApp, email e ogni altra informazione relativa al contatto.

Se il consumatore cancella tutto immediatamente dopo la frode, la successiva dimostrazione della particolare sofisticazione dell’attacco diventa molto più difficile.

In una controversia sull’OTP, la prova della comunicazione fraudolenta può essere importante quanto la prova bancaria della transazione.

L’OTP che dice “non comunicarlo a nessuno” non produce sempre automaticamente colpa grave

Molti messaggi contengono una formula standard che vieta la comunicazione del codice.

La violazione di tale avvertimento rappresenta certamente un elemento contrario al cliente.

Ma la valutazione deve rimanere concreta.

Una cosa è ignorare intenzionalmente un messaggio inequivocabile che spiega chiaramente che il codice autorizza un pagamento a un determinato beneficiario.

Altra cosa è essere manipolati da un falso dipendente della banca che sostiene proprio che, in quella situazione eccezionale, il codice serva per neutralizzare una frode.

La presenza dell’avvertimento non può essere ignorata, ma non rende sempre inutile l’esame delle modalità complessive del raggiro.

Più il messaggio è specifico, maggiore diventa l’onere di prudenza del cliente

Dal punto di vista pratico, però, è possibile individuare una regola.

Quanto più la comunicazione della banca rende evidente importo, beneficiario e finalità dispositiva del codice, tanto più difficile sarà per il cliente sostenere di non avere potuto comprendere ciò che stava realmente autorizzando.

Se l’SMS dice chiaramente “pagamento di 4.900 euro a favore di X” e il falso operatore afferma che quel codice serve soltanto per “annullare una transazione”, la contraddizione dovrebbe suscitare un allarme particolarmente forte.

È proprio su circostanze di questo genere che l’ABF può fondare l’accertamento della colpa grave.

Se l’OTP è stato sottratto senza che il cliente lo abbia comunicato

La posizione è ancora differente quando il codice sia stato intercettato dal criminale attraverso malware, SIM swap, compromissione del dispositivo o altra tecnica che non richieda una sua consegna consapevole.

In tal caso viene meno proprio il comportamento che la banca potrebbe invocare per dimostrare la grave negligenza.

L’analisi si concentra maggiormente sulla sicurezza dell’autenticazione e sulla capacità dell’intermediario di impedire associazioni anomale di dispositivi o utilizzi incompatibili con il profilo del cliente.

Se il cliente ha comunicato un codice per associare un nuovo dispositivo

Questa è una delle frodi più complesse.

Il falso operatore convince il cliente che è necessario “certificare” o “mettere in sicurezza” il telefono.

Il codice comunicato serve in realtà ad associare il dispositivo del criminale all’home banking.

Successivamente vengono effettuati pagamenti senza ulteriori interventi della vittima.

In una simile situazione non è corretto considerare automaticamente tutte le operazioni successive come autorizzate perché il cliente aveva comunicato il primo codice.

Bisogna verificare quale funzione avesse quell’OTP, quali informazioni siano state mostrate e se la banca abbia inviato un avvertimento sufficientemente chiaro sul fatto che si stava associando un nuovo dispositivo.

Il problema dei wallet digitali

Una dinamica simile riguarda l’associazione della carta a un wallet.

Il truffatore dispone dei dati della carta e induce il cliente a comunicare il codice necessario per completare l’associazione a un proprio dispositivo.

Successivamente utilizza il wallet per effettuare pagamenti.

Anche in questo caso la banca dovrà ricostruire la procedura di tokenizzazione, l’autenticazione utilizzata e le informazioni fornite al cliente.

Una cosa è comunicare un codice che recita genericamente “codice di verifica”.

Altra cosa è comunicare un codice accompagnato da un messaggio inequivocabile: “utilizza questo codice per aggiungere la carta al wallet sul nuovo dispositivo”.

La precisione dell’avvertimento può incidere fortemente sulla valutazione della colpa.

Diverso ancora è il bonifico effettuato personalmente dalla vittima

Bisogna evitare di confondere il caso dell’OTP sottratto con la cosiddetta APP fraud, ossia la frode nella quale il consumatore dispone personalmente il pagamento.

Il falso operatore afferma che il conto è sotto attacco e invita la vittima a trasferire il denaro su un presunto “conto sicuro”.

La vittima apre l’app bancaria, inserisce personalmente il nuovo IBAN, indica l’importo e autorizza il bonifico.

Qui il problema non consiste semplicemente nella comunicazione dell’OTP.

È il cliente stesso ad avere disposto materialmente l’operazione.

Il pagamento può quindi risultare autorizzato ai fini della disciplina dei servizi di pagamento, sebbene il consenso economico sia stato ottenuto mediante truffa.

In questa fattispecie il rimborso automatico delle operazioni non autorizzate non opera necessariamente.

Anche nel bonifico disposto sotto inganno può però emergere una responsabilità della banca

Il fatto che l’operazione sia stata materialmente ordinata dal cliente non significa che ogni questione sia definitivamente chiusa.

Bisogna verificare se l’intermediario abbia rispettato gli obblighi applicabili, se il trasferimento fosse macroscopicamente anomalo rispetto all’operatività abituale e se siano stati correttamente utilizzati i sistemi antifrode.

Dal 9 ottobre 2025 assume inoltre particolare importanza la Verification of Payee, attraverso la quale viene verificata la corrispondenza tra il nome del beneficiario indicato dal cliente e l’effettivo intestatario dell’IBAN.

Se un falso dipendente bancario invita il cliente a trasferire il denaro su un “conto tecnico” intestato in realtà a un privato, l’esito della verifica del beneficiario diventa uno degli elementi più importanti da esaminare.

L’OTP e la Verification of Payee rispondono a rischi differenti

L’OTP verifica principalmente che un determinato soggetto disponga dei fattori richiesti per autenticare l’operazione.

La Verification of Payee verifica invece se il nome indicato dal pagatore corrisponda all’intestatario dell’IBAN.

Sono presidi differenti e complementari.

La presenza del primo non rende inutile il secondo.

Nel 2026 una controversia relativa a un falso operatore bancario e a un bonifico deve quindi essere analizzata considerando entrambi i livelli di sicurezza.

Quando il cliente può sopportare l’intera perdita

Se la banca dimostra la corretta autenticazione forte e prova una condotta gravemente negligente del cliente, la perdita derivante dall’operazione non autorizzata può ricadere integralmente su quest’ultimo nei casi previsti dall’articolo 12.

È questa la ragione per cui il contenuto dell’OTP assume tanta importanza.

Un messaggio chiaro e dettagliato può dimostrare che il consumatore disponeva di informazioni sufficienti per comprendere il rischio.

Ma, ancora una volta, deve essere la banca a fornire la prova necessaria.

Una clausola contrattuale che affermasse genericamente «qualsiasi operazione effettuata mediante OTP è considerata imputabile al cliente» non potrebbe sostituire il regime probatorio inderogabile previsto dalla normativa sui servizi di pagamento.

Il limite dei 50 euro non salva né condanna automaticamente il cliente

La disciplina prevede, in determinate ipotesi, una responsabilità del pagatore fino a 50 euro per alcune operazioni non autorizzate derivanti dall’utilizzo di strumenti smarriti, sottratti o indebitamente appropriati.

Questa soglia non deve però essere trasformata in una regola generale per qualsiasi phishing.

Quando ricorre dolo o colpa grave, il cliente può sopportare l’intera perdita.

Quando invece ricorrono situazioni nelle quali la legge esclude la sua responsabilità, la perdita può restare integralmente a carico dell’intermediario.

Anche sotto questo profilo, quindi, non esiste una “franchigia universale” applicabile a tutte le frodi con OTP.

La mancata Strong Customer Authentication può essere decisiva

L’articolo 12 prevede una tutela particolarmente forte quando il prestatore non abbia applicato la SCA nei casi in cui era obbligatoria.

Salvo comportamento fraudolento del pagatore, il cliente non deve normalmente sopportare la perdita derivante dall’operazione quando l’intermediario abbia omesso il presidio richiesto.

La decisione ABF n. 85/2026 dimostra concretamente l’importanza di questo principio: una carenza nella prova dei fattori di autenticazione ha impedito all’intermediario di passare alla successiva valutazione della colpa grave.

Anche il tempo impiegato per segnalare la frode conta

Il cliente ha l’obbligo di comunicare alla banca l’operazione non autorizzata senza indugio una volta che ne venga a conoscenza.

La legge prevede un termine massimo di tredici mesi dall’addebito nelle condizioni previste dalla disciplina, ma questo limite non significa che il cliente possa attendere tranquillamente mesi dopo avere scoperto la frode.

Un ritardo significativo può rendere più difficile recuperare le somme e può assumere rilevanza nella valutazione della condotta dell’utente.

La tempestività costituisce quindi un elemento sia pratico sia giuridico.

Cosa deve fare il cliente appena si accorge di avere comunicato l’OTP

La prima cosa da fare è interrompere immediatamente qualsiasi contatto con il presunto operatore e contattare la banca utilizzando un recapito ottenuto autonomamente dall’applicazione ufficiale, dal sito autentico o dalla carta.

Se il codice può essere stato utilizzato per compromettere l’account, devono essere bloccati strumenti e credenziali, controllati i dispositivi associati e verificate tutte le operazioni recenti.

Eventuali pagamenti non autorizzati devono essere immediatamente disconosciuti.

Se sono stati eseguiti bonifici, occorre chiedere alla banca di tentare immediatamente il richiamo o il recupero delle somme presso l’intermediario del beneficiario.

La velocità può essere decisiva prima che il denaro venga ulteriormente trasferito.

Conservare il messaggio OTP è fondamentale

Uno degli errori peggiori consiste nel cancellare per paura tutti i messaggi.

L’SMS contenente il codice può essere uno dei principali documenti della futura controversia.

Bisogna conservare il testo completo, il mittente, la data e l’orario.

È altrettanto importante conservare il registro delle chiamate, screenshot del numero apparso sul telefono, conversazioni WhatsApp, email, notifiche dell’app e qualsiasi messaggio precedente o successivo alla frode.

Il contenuto dell’OTP può aiutare tanto la banca quanto il cliente.

Per questo deve essere cristallizzato.

La denuncia penale è importante, ma non sostituisce il reclamo bancario

La vittima dovrebbe presentare denuncia alle autorità competenti, ricostruendo con precisione modalità e sequenza temporale.

La denuncia è utile per le indagini e costituisce un elemento documentale importante.

Non sostituisce però il disconoscimento dell’operazione presso la banca.

Le due iniziative devono procedere parallelamente.

La responsabilità penale del truffatore e la responsabilità contrattuale dell’intermediario sono infatti questioni distinte.

Come deve essere impostato il reclamo alla banca

Un reclamo efficace non dovrebbe limitarsi alla frase «ho comunicato l’OTP perché sono stato truffato».

È necessario ricostruire cronologicamente la dinamica.

Bisogna specificare chi ha iniziato il contatto, quale identità mostrava il mittente, quale numero appariva sul telefono, che cosa il falso operatore ha riferito, quale testo contenesse il messaggio con il codice e chi abbia materialmente eseguito l’operazione.

Deve inoltre essere richiesto all’intermediario di produrre o indicare le evidenze tecniche relative all’autenticazione: fattori utilizzati, dispositivo, eventuale associazione di nuovi device, token, notifiche e dynamic linking.

La corretta qualificazione giuridica della frode può determinare l’esito del reclamo.

Quando il reclamo bancario viene respinto

Per le controversie riguardanti i servizi di pagamento, l’intermediario deve normalmente rispondere al reclamo entro quindici giornate lavorative, salve le specifiche circostanze eccezionali previste dalla disciplina.

Se la banca rifiuta il rimborso oppure non risponde correttamente, il cliente può rivolgersi all’Arbitro Bancario Finanziario.

La procedura è particolarmente utilizzata proprio per phishing, smishing, vishing, spoofing, OTP e altre frodi digitali.

Le decisioni del 2026 mostrano però che il ricorso deve essere costruito con precisione probatoria: non basta invocare genericamente la qualità di vittima.

Davanti all’ABF la battaglia si gioca spesso sui log

Due casi possono apparire identici sul piano umano e produrre risultati opposti.

In uno la banca dimostra perfettamente la SCA, il collegamento del codice alla specifica operazione e gli avvertimenti trasmessi al cliente; il Collegio può quindi passare alla valutazione della colpa grave.

In un altro mancano elementi relativi alla registrazione del dispositivo, a uno dei fattori di autenticazione o alla procedura con la quale è stato generato il token.

In questo secondo caso la banca può essere condannata al rimborso prima ancora che sia necessario stabilire quanto imprudente sia stato il cliente.

Le decisioni ABF n. 4697 e n. 85 del 2026 rappresentano esempi molto efficaci di questa differenza.

Un primo caso pratico: OTP generico e spoofing del numero bancario

Il cliente riceve un SMS apparentemente proveniente dalla propria banca e subito dopo una telefonata dal numero ufficiale dell’istituto.

Il falso operatore conosce alcuni dati del conto e sostiene che un pagamento fraudolento debba essere bloccato.

Arriva un codice con una formulazione generica.

Il cliente lo comunica.

Il truffatore utilizza il codice per effettuare autonomamente un pagamento.

In un caso simile la comunicazione dell’OTP non consente automaticamente alla banca di escludere il rimborso.

Occorrerà verificare la SCA, il reale contenuto del messaggio, la prova dello spoofing, il comportamento del cliente e l’eventuale presenza di alert ulteriori.

Un secondo caso: OTP che indica chiaramente pagamento e beneficiario

La situazione cambia se il messaggio recita:

«Codice 123456 per autorizzare un pagamento di 3.000 euro a favore di Tizio».

Il falso operatore sostiene che il codice serva a “cancellare” un pagamento.

Il cliente glielo comunica.

Qui la banca dispone di un elemento particolarmente forte per sostenere che il comportamento fosse gravemente negligente, perché il messaggio informava direttamente il cliente della natura dell’operazione.

L’esito dipenderà comunque dall’intera ricostruzione, ma il rischio di rigetto della richiesta di rimborso è significativamente maggiore.

Un terzo caso: il codice serviva per registrare un nuovo dispositivo

Il cliente crede di effettuare una verifica di sicurezza e comunica un OTP.

Quel codice viene invece utilizzato per registrare il telefono del criminale nell’home banking.

Successivamente vengono effettuati quattro bonifici.

Non è sufficiente affermare che «il cliente ha dato l’OTP».

Occorre dimostrare che il messaggio spiegasse con chiarezza che il codice avrebbe consentito di associare un nuovo dispositivo e verificare quali ulteriori autenticazioni siano state utilizzate per i successivi bonifici.

Il collegamento tra errore iniziale e ogni singola operazione deve essere provato.

Un quarto caso: il cliente esegue personalmente il bonifico

Il falso operatore dice alla vittima di trasferire 20.000 euro su un “conto di sicurezza”.

Il cliente inserisce personalmente IBAN e importo e conferma il pagamento attraverso l’app.

Qui non siamo più nel semplice caso del codice sottratto.

Il cliente ha disposto direttamente l’operazione.

L’applicazione automatica del regime delle operazioni non autorizzate diventa molto più difficile.

La controversia deve essere ricostruita considerando eventuali anomalie, sistemi antifrode e Verification of Payee.

Il punto decisivo è ciò che il cliente credeva di autorizzare e ciò che il sistema gli mostrava

La domanda giuridicamente più utile non è soltanto:

“Ha comunicato l’OTP?”

Le domande corrette sono:

che cosa autorizzava realmente quel codice?

che cosa diceva il messaggio?

il cliente vedeva importo e beneficiario?

il truffatore ha utilizzato il codice autonomamente?

la banca ha provato tutti i fattori di autenticazione?

l’operazione era anomala?

erano presenti tecniche di spoofing?

sono stati associati nuovi dispositivi?

È attraverso questa sequenza che deve essere valutato il diritto al rimborso.

Conclusioni: dare l’OTP al truffatore può essere un errore grave, ma non equivale automaticamente a rinunciare al rimborso

La risposta alla domanda «ho comunicato il codice OTP al truffatore, posso essere rimborsato?» è quindi: sì, in determinate circostanze il rimborso rimane possibile.

La comunicazione dell’OTP non costituisce una rinuncia automatica ai diritti previsti dal d.lgs. n. 11/2010.

Se l’operazione è stata materialmente eseguita da un terzo senza che il cliente intendesse effettuarla, può continuare a trattarsi di un’operazione non autorizzata.

La banca deve innanzitutto dimostrare la corretta autenticazione e il rispetto dei presidi di sicurezza.

Soltanto dopo può invocare e provare l’eventuale colpa grave del cliente.

L’Arbitro Bancario Finanziario ha ribadito nel 2026 proprio questa sequenza: nella decisione n. 85/2026 ha disposto il rimborso perché l’intermediario non aveva adeguatamente dimostrato la corretta autenticazione in tutte le fasi, affermando che tale accertamento costituisce un passaggio logicamente precedente rispetto alla verifica della colpa del cliente.

La posizione della vittima diventa invece più difficile quando il messaggio contenente l’OTP specificava chiaramente che il codice serviva ad autorizzare un determinato pagamento, con importo e finalità riconoscibili, e il cliente lo abbia comunque consegnato al truffatore. È quanto emerge, in una specifica fattispecie, dalla decisione ABF Milano n. 4697/2026.

La regola da ricordare, pertanto, è più precisa di quella normalmente utilizzata dai servizi clienti bancari:

OTP utilizzato non significa automaticamente operazione autorizzata; OTP comunicato non significa automaticamente colpa grave; ma un OTP chiaramente collegato a un pagamento, comunicato nonostante avvertimenti inequivoci, può diventare una prova molto importante contro il cliente.

Per stabilire se la banca debba rimborsare occorre quindi ricostruire la frode tecnicamente, leggere il testo esatto dell’OTP, analizzare i log, verificare la Strong Customer Authentication e soltanto alla fine valutare se il comportamento della vittima abbia davvero superato la soglia della semplice negligenza per diventare colpa grave.