Decisione ABF n. 9721 del 23 giugno 2022 .
Il caso concreto
Il cliente apre un conto corrente dedicato alla cessione del credito Superbonus (27/05/2021).
L’intermediario riduce unilateralmente il massimale acquistabile da €250.000 a €100.000.
Il 4/02/2022 il cliente riceve un SMS sospetto che segnala la sospensione del conto per “mancata procedura di sicurezza”.
Dopo il messaggio, il conto diventa inaccessibile.
L’intermediario inizialmente rassicura che non ci sono prelievi, ma l’11/02/2022 emergono 24 operazioni fraudolente in 2 giorni per €14.953.
Le operazioni sono del tutto incoerenti con l’uso del conto (solo bonifici per ristrutturazione).
Il cliente denuncia assenza di controlli, difficoltà di contatto con l’intermediario e stress causato dalla gestione della pratica.
2. Difese dell’intermediario
Sostiene che il cliente sia stato vittima di phishing “classico”: ha cliccato un link nel messaggio e inserito dati che hanno permesso al truffatore di operare.
Le operazioni risultano regolarmente autorizzate tramite:
credenziali statiche della carta (PAN, CVC2, scadenza)
OTP via SMS
L’intermediario afferma che:
informa regolarmente i clienti sui rischi di phishing;
non invia mai link o richieste di dati via SMS;
il comportamento del cliente è stato gravemente colposo;
non vi sono elementi che indichino un sim swap.
3. Replica del cliente
Ribadisce che il conto era dedicato esclusivamente al Superbonus.
Sottolinea la riduzione unilaterale del massimale e la mancata assistenza dell’intermediario.
Afferma di aver cliccato il link solo per stress, ma di non aver inserito credenziali.
Evidenzia che l’OTP sarebbe stato inviato a un numero di telefono diverso dal suo.
Le operazioni erano:
incoerenti con l’uso del conto;
effettuate in luoghi mai frequentati;
ravvicinate e al massimale giornaliero/mensile;
non intercettate dai sistemi di controllo.
⚖️ 4. Valutazione del Collegio
Le operazioni contestate: 24 transazioni tra il 4 e il 6 febbraio 2022, per €14.953.
L’intermediario sostiene che vi sia stata autenticazione forte tramite OTP.
Il Collegio richiama l’EBA Opinion 21/06/2019:
le credenziali della carta non costituiscono elementi validi di autenticazione forte.
Conclude che l’intermediario non ha provato l’esistenza di un sistema di autenticazione forte conforme alla PSD2.
Secondo l’orientamento ABF, la mancanza di autenticazione forte è decisiva e prevale su ogni valutazione di colpa del cliente.
5. Decisione dell’Arbitro Bancario
Ricorso accolto integralmente.
L’intermediario deve rimborsare al cliente €14.953.
Deve inoltre versare:
€200 alla Banca d’Italia (spese procedurali)
€20 al ricorrente (rimborso del contributo).