Truffe online e phishing bancario: quando la banca deve rimborsare
Quando un truffatore svuota il conto con il phishing, uno smishing ben confezionato o la telefonata dal falso numero della banca, la legge non lascia la perdita a carico di chi la subisce: per le operazioni non autorizzate il rimborso è la regola, e l'eccezione — frode, dolo o colpa grave del cliente — deve provarla la banca. Diverso è il caso del bonifico disposto da te sotto l'effetto del raggiro: lì la tutela passa per la diligenza professionale dell'intermediario e per la verifica obbligatoria del beneficiario.
In sintesi
- 1 Se l'operazione è stata disposta da terzi con le tue credenziali è non autorizzata: la banca deve rimborsarla subito e comunque entro la fine della giornata operativa successiva alla tua segnalazione (art. 11 d.lgs. 11/2010).
- 2 L'onere della prova grava sulla banca: la regolarità tecnica dell'operazione non basta a dimostrare né il tuo consenso né la tua colpa grave (art. 10 d.lgs. 11/2010; ABF, Collegio di Coordinamento, n. 22745/2019).
- 3 Per la Cassazione la sottrazione dei codici con tecniche fraudolente rientra nel rischio d'impresa dell'intermediario (Cass. n. 13204/2023 e n. 3780/2024).
- 4 Se la banca non ha richiesto l'autenticazione forte, non sopporti alcuna perdita, salvo il caso di frode (art. 12, comma 2-bis).
- 5 Se il bonifico l'hai disposto tu, convinto dal truffatore, il rimborso automatico non opera: la responsabilità della banca va dimostrata su monitoraggio antifrode e verifica del beneficiario, obbligatoria dal 9 ottobre 2025.
- 6 Segnala senza indugio (e comunque entro 13 mesi), blocca gli strumenti, denuncia e presenta reclamo: senza risposta entro 15 giornate operative puoi ricorrere all'Arbitro Bancario Finanziario.
Le frodi nei pagamenti digitali hanno cambiato volto. All'e-mail con il link a un sito clone (phishing) si sono affiancati l'SMS che compare nella stessa conversazione in cui arrivano i messaggi autentici della banca (smishing e spoofing), la telefonata da un numero che il display attribuisce alla filiale (vishing), il duplicato della SIM ottenuto dal truffatore per ricevere i codici di conferma (SIM swap). Lo schema, però, resta uno: carpire le credenziali oppure convincere il titolare a compiere da sé l'operazione.
Dopo una truffa online, il rimborso da parte della banca non dipende tanto dall'abilità del truffatore quanto da tre variabili giuridiche precise: se l'operazione sia qualificabile come autorizzata o non autorizzata, chi debba provare che cosa e se la tua condotta possa dirsi gravemente colposa. Il quadro è tracciato dal d.lgs. 27 gennaio 2010, n. 11, come riscritto dopo la seconda direttiva europea sui servizi di pagamento, e da un corpus ormai consolidato di pronunce della Cassazione e dell'Arbitro Bancario Finanziario.
In questa guida esaminiamo le regole sul testo delle norme e delle decisioni, distinguiamo i casi in cui la banca deve pagare da quelli in cui può legittimamente rifiutare, indichiamo che cosa fare nelle prime ore e con quali termini, e diamo conto delle novità europee già operative — la verifica del beneficiario — e di quelle in arrivo con il nuovo regolamento sui servizi di pagamento.
01 · Quadro normativo
Il quadro normativo: il d.lgs. 11/2010 dopo la PSD2
La disciplina di riferimento è il d.lgs. 27 gennaio 2010, n. 11, nato per recepire la prima direttiva sui servizi di pagamento e profondamente riscritto dal d.lgs. 15 dicembre 2017, n. 218, che ha dato attuazione alla direttiva (UE) 2015/2366 (la cosiddetta PSD2). Le sue regole valgono per bonifici, carte di debito e di credito, home banking, app di pagamento e, in generale, per ogni operazione eseguita tramite un prestatore di servizi di pagamento: banche, Poste Italiane, istituti di pagamento e di moneta elettronica.
Il decreto costruisce un sistema di allocazione del rischio a favore dell'utente, fondato su un'idea precisa: chi progetta, gestisce e controlla l'infrastruttura tecnologica del pagamento è anche il soggetto meglio collocato per prevenirne gli abusi. Da qui un regime probatorio sbilanciato sull'intermediario e un obbligo di rimborso immediato che non attende l'accertamento definitivo delle responsabilità.
La norma · d.lgs. 11/2010, articoli chiave
- Art. 7 · obblighi dell'utente: usare lo strumento secondo le condizioni contrattuali, adottare le misure ragionevoli per proteggere le credenziali di sicurezza personalizzate, comunicare senza indugio smarrimento, furto, appropriazione indebita o uso non autorizzato.
- Art. 8 · obblighi del prestatore: assicurare che le credenziali non siano accessibili a terzi, garantire strumenti sempre disponibili per effettuare la comunicazione di blocco, impedire ogni utilizzo dello strumento successivo alla comunicazione.
- Art. 9 · termine di contestazione: la rettifica si ottiene solo se l'operazione non autorizzata è comunicata senza indugio e comunque entro 13 mesi dalla data di addebito.
- Art. 10 · prova: se l'utente nega di aver autorizzato l'operazione, spetta al prestatore provarne l'autenticazione, la corretta registrazione e contabilizzazione e l'assenza di malfunzionamenti, nonché la frode, il dolo o la colpa grave dell'utente.
- Art. 10-bis · autenticazione forte: obbligatoria per l'accesso online al conto, la disposizione di pagamenti elettronici e le azioni a distanza che comportano un rischio di frode.
- Art. 11 · rimborso: immediato e, in ogni caso, entro la fine della giornata operativa successiva a quella in cui il prestatore prende atto dell'operazione o riceve la comunicazione; sospendibile solo per motivato sospetto di frode, comunicato per iscritto alla Banca d'Italia.
- Art. 12 · responsabilità del pagatore: franchigia massima di 50 euro per furto, smarrimento o appropriazione indebita; perdita integrale solo in caso di frode, dolo o colpa grave; nessuna perdita dopo la comunicazione di blocco o se la banca non ha richiesto l'autenticazione forte.
02 · La qualificazione
Truffa online e rimborso della banca: autorizzata o non autorizzata?
Tutto il sistema ruota intorno al consenso. Un'operazione è autorizzata quando il pagatore ha prestato il proprio consenso nella forma concordata con la banca; è non autorizzata quando quel consenso manca, anche se l'operazione risulta tecnicamente autenticata con le tue credenziali. È il caso tipico del phishing: il truffatore si impossessa di username, password e codici di conferma e dispone lui stesso i pagamenti. Il sistema informatico della banca registra un'operazione formalmente regolare, ma giuridicamente non tua.
Diversa è l'ipotesi in cui sei tu a disporre il pagamento, ingannato sulla sua finalità: il falso operatore che ti convince a spostare i risparmi su un "conto di sicurezza", la falsa e-mail del fornitore con un IBAN modificato, la piattaforma di trading inesistente. Qui il consenso c'è, benché viziato dal raggiro: l'operazione è autorizzata e il regime del rimborso immediato previsto dal d.lgs. 11/2010 non si applica. La tutela resta possibile, ma segue altre regole, che esaminiamo più avanti.
Tra i due poli si collocano le ipotesi più frequenti nel contenzioso: l'utente che, al telefono con il falso operatore, detta o digita il codice OTP credendo di bloccare un addebito sospetto, mentre in realtà sta confermando l'operazione che il truffatore sta eseguendo. Nell'orientamento prevalente dell'Arbitro Bancario Finanziario l'operazione resta non autorizzata, perché disposta da un terzo; la partita si sposta allora sulla valutazione della colpa grave.
| Scenario | Qualificazione | Regime applicabile |
|---|---|---|
| Link in e-mail o SMS, credenziali inserite su un sito clone, pagamenti disposti da terzi | Non autorizzata | Artt. 10-12: rimborso, salvo colpa grave provata dalla banca |
| Falso operatore che si fa comunicare l'OTP o approvare una notifica "per bloccare una frode" | Di regola non autorizzata | Artt. 10-12; decisiva la valutazione della colpa grave |
| SIM swap: il truffatore ottiene un duplicato della SIM e riceve i codici di conferma | Non autorizzata | Artt. 10-12; da valutare anche la condotta dell'operatore telefonico |
| Pagamento con carta online senza autenticazione forte | Non autorizzata | Art. 12, comma 2-bis: nessuna perdita, salvo frode |
| Bonifico disposto da te su un "conto sicuro" o su un IBAN alterato | Autorizzata | Nessun rimborso automatico: diligenza professionale, monitoraggio, verifica del beneficiario |
03 · La prova
L'onere della prova: che cosa deve dimostrare la banca
L'art. 10 del decreto disegna una prova a due stadi. Nel primo, quando il cliente nega di aver autorizzato l'operazione, la banca deve dimostrare che essa è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze di guasti tecnici. Nel secondo — ed è il punto che molti intermediari trascurano — la stessa norma avverte che l'utilizzo dello strumento registrato dalla banca non è di per sé necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata, né che l'utente abbia agito con frode, dolo o colpa grave: anche questi elementi devono essere provati dall'intermediario.
A te, in quanto creditore della prestazione, basta allegare il rapporto contrattuale (conto, carta, servizio di home banking) e disconoscere le operazioni. Non devi dimostrare di essere stato diligente: è la banca a dover provare il fatto che la libera.
Giurisprudenza di legittimità
Per un indirizzo ormai consolidato, la responsabilità della banca è di natura contrattuale e la diligenza richiesta è quella tecnica dell'accorto banchiere (art. 1176, comma 2, c.c.): poiché la sottrazione dei codici del correntista attraverso tecniche fraudolente è un'eventualità che rientra nel rischio d'impresa, l'intermediario si libera solo dimostrando eventi che si collocano al di là dello sforzo diligente esigibile (Cass. civ., sez. I, 3 febbraio 2017, n. 2950; sez. III, 5 luglio 2019, n. 18045; sez. VI-3, 26 novembre 2020, n. 26916).
Cass. civ., sez. III, ord. 15 maggio 2023, n. 13204. La Corte ha cassato con rinvio la sentenza che, valorizzando le certificazioni dei sistemi di sicurezza dell'intermediario, aveva posto a carico del correntista la prova della propria diligenza. Le conseguenze sfavorevoli del fatto rimasto ignoto sul contegno del cliente non possono ricadere su quest'ultimo: spetta al prestatore provare la riconducibilità dell'operazione al cliente, e l'uso dei codici da parte di terzi rientra nel suo rischio professionale, salvo dolo del titolare o comportamenti talmente incauti da non poter essere fronteggiati in anticipo.
Cass. civ., sez. III, sent. 12 febbraio 2024, n. 3780. In un caso di phishing tramite e-mail apparentemente proveniente da Poste Italiane, la Corte ha rigettato il ricorso dell'intermediario: era suo onere provare di aver adottato soluzioni idonee a prevenire o ridurre l'uso fraudolento dei sistemi di pagamento — ad esempio l'invio di SMS alert di conferma per ogni singola operazione — in applicazione del principio di buona fede nell'esecuzione del contratto.
Arbitro Bancario Finanziario
Collegio di Coordinamento, decisione 10 ottobre 2019, n. 22745. La produzione dei tracciati informatici che attestano l'autenticazione e la regolarità formale dell'operazione non soddisfa, da sola, l'onere probatorio: l'intermediario deve indicare specifici elementi di fatto sulle modalità esecutive dell'operazione dai quali trarre, anche in via presuntiva, la colpa grave dell'utente. Il Collegio ha tuttavia precisato che la colpa grave può essere accertata anche quando emerga in modo palese dalle dichiarazioni rese dallo stesso ricorrente, nella denuncia o nel ricorso.
Quest'ultima precisazione ha un risvolto pratico che raramente viene considerato: il racconto che fai nella denuncia e nel reclamo è a sua volta una prova. Descrizioni approssimative, redatte a caldo, possono essere lette come un'ammissione di condotte che in realtà non hai tenuto. Il racconto deve essere esatto e completo, non autoaccusatorio per imprecisione.
04 · La condotta del cliente
La colpa grave del cliente: quando la banca può non rimborsare
La colpa grave è il vero terreno dello scontro. Non coincide con la semplice disattenzione, né con la scarsa dimestichezza con gli strumenti digitali: è una negligenza qualificata, un comportamento che si discosta in modo marcato dalla condotta che chiunque, in quella situazione, avrebbe tenuto. La stessa Cassazione, nella pronuncia del 2023 appena citata, circoscrive l'esonero della banca ai comportamenti talmente incauti da non poter essere fronteggiati in anticipo.
L'Arbitro Bancario Finanziario ha sviluppato nel tempo una casistica che distingue il phishing "tradizionale" — nel quale le credenziali vengono consegnate fuori dai canali dell'intermediario, rispondendo a messaggi o pagine con segnali di anomalia ormai noti, dopo anni di campagne informative — dalle truffe sofisticate, in cui l'inganno si inserisce nell'ambiente comunicativo autentico della banca: l'SMS che compare nella stessa conversazione dei messaggi ufficiali, la chiamata da un numero identico a quello del servizio clienti. Nel primo caso la colpa grave è spesso ravvisata; nel secondo può essere esclusa, perché la frode è idonea a ingannare anche un utente mediamente accorto.
Indici che depongono per la colpa grave
- Credenziali complete inserite su un sito raggiunto da un link ricevuto per e-mail o SMS
- OTP comunicato al telefono nonostante il messaggio indicasse chiaramente l'autorizzazione di un bonifico a un terzo
- Installazione su richiesta del truffatore di app di controllo remoto del dispositivo
- Ritardo prolungato nella segnalazione dopo aver ricevuto avvisi di addebito
Indici che la escludono o la attenuano
- SMS fraudolento comparso nella stessa conversazione dei messaggi autentici della banca
- Chiamata da un numero coincidente con quello ufficiale dell'intermediario
- Truffatore già in possesso di dati riservati del rapporto, tali da accreditarlo come operatore
- Segnalazione immediata e blocco degli strumenti appena percepito l'inganno
Anche quando la colpa grave del cliente è provata, la partita non è necessariamente chiusa. Se la banca, a sua volta, non ha adottato i presìdi che le competono — monitoraggio delle operazioni anomale, alert, blocchi tempestivi — può configurarsi un concorso di colpa ai sensi dell'art. 1227 c.c., con ripartizione della perdita. Ed esiste un'ipotesi in cui la condotta del cliente, per quanto negligente, diventa del tutto irrilevante.
05 · I presìdi della banca
Autenticazione forte, SMS alert e monitoraggio antifrode
L'autenticazione forte del cliente
L'art. 10-bis impone l'autenticazione forte — basata su almeno due elementi indipendenti tra conoscenza (ciò che solo tu sai), possesso (ciò che solo tu hai) e inerenza (ciò che sei) — per l'accesso online al conto, per la disposizione di pagamenti elettronici e per le azioni a distanza che implicano un rischio di frode; per i pagamenti a distanza è richiesto inoltre il collegamento dinamico del codice all'importo e al beneficiario. Le regole tecniche di dettaglio sono dettate dal Regolamento delegato (UE) 2018/389.
Il punto decisivo. Se la banca non ha richiesto l'autenticazione forte, l'art. 12, comma 2-bis, stabilisce che il pagatore non sopporta alcuna perdita, salvo abbia agito in modo fraudolento. In questo scenario la tua eventuale negligenza non conta: conta solo la frode. Per questo, in ogni contestazione, la prima domanda da porre all'intermediario è se, come e con quali fattori ciascuna operazione sia stata autenticata.
SMS alert, monitoraggio e limiti di spesa
L'autenticazione non esaurisce gli obblighi dell'intermediario. Il Regolamento delegato (UE) 2018/389 richiede meccanismi di monitoraggio delle operazioni capaci di intercettare pagamenti non autorizzati o fraudolenti, tenendo conto, tra l'altro, di elementi di autenticazione compromessi, importi anomali e scenari di frode noti. La Cassazione, con la sentenza n. 3780/2024, ha indicato negli SMS alert su ogni operazione un esempio delle soluzioni idonee che la banca deve dimostrare di aver adottato. Una raffica di bonifici in pochi minuti, lo svuotamento del conto, l'accesso da un dispositivo mai utilizzato prima sono segnali che un sistema di controllo adeguato dovrebbe rilevare.
Sul versante della prevenzione, ricorda che la disciplina europea sui bonifici istantanei ti consente di fissare un limite massimo, giornaliero o per singola operazione, modificabile in qualsiasi momento dall'app o dall'home banking (art. 5-bis, par. 6, Reg. UE 260/2012, introdotto dal Reg. UE 2024/886): una cautela semplice che riduce drasticamente il danno potenziale di un accesso fraudolento.
06 · Le operazioni autorizzate
Il bonifico l'hai fatto tu: falso operatore e verifica del beneficiario
Quando sei tu a disporre il bonifico, il rimborso previsto dall'art. 11 non opera: l'operazione è autorizzata, anche se il consenso è stato carpito con l'inganno. Ciò non significa che la banca sia sempre estranea. Secondo un orientamento dell'Arbitro Bancario Finanziario, l'intermediario può essere chiamato a rispondere, in base alle regole generali sulla diligenza professionale, se ha dato corso all'operazione senza considerare anomalie riconoscibili con adeguati sistemi di controllo: importi incoerenti con l'operatività abituale, beneficiari mai utilizzati, sequenze ravvicinate di disposizioni. Una tutela più incerta e da costruire sul caso concreto, ma non inesistente.
La verifica del beneficiario (Verification of Payee)
Dal 9 ottobre 2025 le banche dell'area euro devono offrire, gratuitamente e per ogni bonifico, istantaneo o ordinario, il servizio di verifica del beneficiario previsto dall'art. 5-quater del Regolamento (UE) n. 260/2012, introdotto dal Regolamento (UE) 2024/886. Prima che tu possa autorizzare il pagamento, la banca controlla la corrispondenza tra l'IBAN e il nome del beneficiario indicato: in caso di mancata corrispondenza deve avvisarti che il denaro potrebbe finire su un conto non intestato alla persona che intendi pagare; in caso di quasi-corrispondenza deve mostrarti il nome effettivamente associato all'IBAN.
La norma · art. 5-quater, par. 8, Reg. (UE) n. 260/2012
La banca che ha correttamente eseguito la verifica non risponde del bonifico accreditato a un beneficiario non previsto sulla base di un identificativo errato. Se invece non presta correttamente il servizio e ciò determina un'esecuzione inesatta, deve rimborsare immediatamente l'importo e riportare il conto nello stato in cui si sarebbe trovato se l'operazione non avesse avuto luogo; restano risarcibili, secondo il contratto, le ulteriori perdite.
Il rovescio della medaglia è evidente: se l'avviso di mancata corrispondenza ti è stato mostrato in modo chiaro e hai proceduto ugualmente, la tua posizione si indebolisce in modo significativo. L'avviso di discrepanza è, oggi, il segnale d'allarme più importante nelle truffe basate sulla sostituzione dell'IBAN.
Il richiamo del bonifico
A pagamento eseguito, la strada per recuperare le somme è la richiesta di richiamo (recall) prevista dalle regole del circuito SEPA: la banca del pagatore la inoltra a quella del beneficiario, ma la restituzione dipende dalla disponibilità dei fondi e, di regola, dal consenso del titolare del conto di destinazione o da un provvedimento dell'autorità. È un rimedio che funziona solo se attivato nel giro di poche ore: i conti usati dai truffatori vengono svuotati in tempi rapidissimi.
07 · Operatività
Cosa fare subito: la procedura e i termini
Nelle ore successive alla scoperta della frode si decide buona parte dell'esito. Ogni passaggio ha una funzione precisa: limitare il danno, cristallizzare le prove, rispettare i termini e mettere la banca nelle condizioni di dover rimborsare.
- 1Blocca tutto. Chiama il numero di blocco della banca reperito sul sito ufficiale o sul retro della carta, mai quello indicato nel messaggio sospetto. Blocca carte e accesso online, cambia le credenziali da un dispositivo sicuro e disinstalla eventuali app di controllo remoto che ti sia stato chiesto di scaricare.
- 2Disconosci per iscritto. Invia alla banca, via PEC o attraverso l'area riservata, il disconoscimento di ciascuna operazione (data, importo, beneficiario), chiedendone il rimborso ai sensi degli artt. 9, 10 e 11 del d.lgs. 11/2010. La telefonata non basta: serve una traccia con data certa.
- 3Chiedi il richiamo dei bonifici. Se i fondi sono partiti con bonifico, sollecita l'immediata attivazione del recall e chiedi che la banca segnali la frode all'intermediario del beneficiario.
- 4Sporgi denuncia-querela. Rivolgiti alla Polizia Postale o a un altro ufficio di polizia giudiziaria. Descrivi la dinamica con esattezza: canale utilizzato, numero chiamante, testo dei messaggi, che cosa hai digitato o comunicato e che cosa no. Le tue parole potranno essere usate per valutare la colpa grave.
- 5Conserva le prove. Screenshot degli SMS con la conversazione completa, registro delle chiamate, e-mail originali, notifiche dell'app, estratti conto. Non cancellare nulla dal telefono.
- 6Chiedi la documentazione. Domanda copia della documentazione sulle operazioni contestate (art. 119, comma 4, TUB) e le evidenze dell'autenticazione: fattori utilizzati, dispositivo, indirizzo IP, orari degli accessi e degli alert inviati.
- 7Reclamo e, se necessario, ricorso. Se la banca non rimborsa, presenta un reclamo formale: è il presupposto per rivolgersi all'Arbitro Bancario Finanziario.
| Adempimento | Termine | Fonte |
|---|---|---|
| Comunicazione dell'operazione non autorizzata | Senza indugio; al massimo 13 mesi dall'addebito | Art. 9 d.lgs. 11/2010 |
| Rimborso da parte della banca | Entro la fine della giornata operativa successiva | Art. 11 d.lgs. 11/2010 |
| Risposta al reclamo sui servizi di pagamento | 15 giornate operative (fino a 35 in casi eccezionali) | Disposizioni di trasparenza Banca d'Italia |
| Ricorso all'Arbitro Bancario Finanziario | Entro 12 mesi dal reclamo | Disposizioni ABF |
| Denuncia-querela | Subito; la querela, per i reati che la richiedono, entro 3 mesi dalla notizia del fatto | Art. 124 c.p. |
08 · Le tutele
Arbitro Bancario Finanziario o giudice: come far valere il rimborso
Se la banca rifiuta il rimborso o non risponde, le strade sono due, e la scelta dipende dall'importo, dalla complessità probatoria e dall'esigenza di un titolo esecutivo.
Arbitro Bancario Finanziario
- Reclamo scritto preventivo obbligatorio
- Ricorso online entro 12 mesi dal reclamo
- Contributo di 20 euro, rimborsato se il ricorso è accolto
- Richieste di somme fino a 200.000 euro
- Decisione non vincolante, ma l'inadempimento dell'intermediario viene reso pubblico
Autorità giudiziaria
- Mediazione obbligatoria come condizione di procedibilità per i contratti bancari (d.lgs. 28/2010)
- Nessun limite di valore e possibilità di istruttoria piena, anche tecnica
- Sentenza esecutiva e condanna alle spese
- Possibilità di chiedere anche il risarcimento dei danni ulteriori
- Tempi e costi maggiori, da ponderare rispetto all'importo
L'ABF è di norma la via più rapida per le contestazioni di importo contenuto o medio, e la sua giurisprudenza in materia di frodi è ormai amplissima. Il giudizio ordinario diventa preferibile quando la somma è elevata, quando serve una consulenza tecnica sui log informatici o quando si intende chiamare in causa anche soggetti diversi dalla banca, come l'operatore telefonico nei casi di SIM swap. In ogni caso, la qualità del reclamo iniziale condiziona tutto il seguito: le domande e le questioni non sollevate nel reclamo non possono essere introdotte per la prima volta nel ricorso all'Arbitro.
09 · Prospettive
Cosa cambierà con il regolamento europeo sui servizi di pagamento
Il quadro è destinato a evolvere con il pacchetto composto dal regolamento sui servizi di pagamento (PSR) e dalla terza direttiva (PSD3), proposti dalla Commissione il 28 giugno 2023. Parlamento europeo e Consiglio hanno raggiunto l'accordo politico il 27 novembre 2025 e la commissione ECON del Parlamento ha approvato il testo concordato il 5 maggio 2026. Alla data di aggiornamento di questo articolo, l'Osservatorio legislativo del Parlamento europeo indica la procedura del regolamento in attesa della posizione del Consiglio, con votazione in plenaria prevista in via indicativa per il 14 dicembre 2026: le nuove regole non sono dunque ancora in vigore.
Le novità di maggiore impatto per chi subisce una truffa riguardano proprio le operazioni oggi escluse dal rimborso automatico:
- un diritto al rimborso per le frodi da impersonificazione, quando il truffatore si spaccia per dipendente della banca e induce il cliente ad autorizzare il pagamento, subordinato alla denuncia alle autorità e alla tempestiva segnalazione all'intermediario;
- la responsabilità della banca per l'intero importo quando omette di segnalare la discrepanza tra IBAN e nome del beneficiario;
- obblighi rafforzati di monitoraggio delle transazioni e una base giuridica per la condivisione tra intermediari delle informazioni sulle frodi, con un coinvolgimento anche di piattaforme online e operatori di comunicazione elettronica.
Secondo il testo di compromesso, il regolamento si applicherà in via generale decorsi 21 mesi dall'entrata in vigore, con termini più lunghi per alcune previsioni sulla verifica del beneficiario. Fino ad allora, per le frodi da falso operatore resta decisiva la distinzione, esaminata sopra, tra operazione autorizzata e non autorizzata.
10 · Domande frequenti
Domande frequenti
In conclusione
Conclusioni: il rimborso è la regola, ma va chiesto bene
Il sistema delineato dal d.lgs. 11/2010, letto alla luce della giurisprudenza di legittimità, è chiaro nella sua architettura: per le operazioni non autorizzate il rischio della frode informatica grava sull'intermediario, che deve rimborsare subito e può sottrarsi solo provando, con elementi concreti e non con la mera regolarità dei log, la frode, il dolo o la colpa grave del cliente. Il vero contenzioso si gioca sulla colpa grave, e qui contano il tipo di inganno, la qualità dei presìdi della banca e la precisione con cui i fatti vengono ricostruiti fin dal primo momento.
Più fragile è la posizione di chi ha disposto personalmente il pagamento: in attesa che il nuovo regolamento europeo introduca un rimborso specifico per le frodi da falso operatore, la tutela passa per la verifica del beneficiario, per il monitoraggio antifrode e per la diligenza professionale dell'intermediario. In entrambi i casi, tempestività e metodo nelle prime ore fanno spesso la differenza tra una perdita definitiva e un rimborso ottenuto.
Assistenza legale
Hai subito una frode sul conto o sulla carta?
Lo Studio Legale Celotti esamina la dinamica della truffa e la documentazione dell'intermediario, redige il disconoscimento e il reclamo e ti assiste davanti all'Arbitro Bancario Finanziario o in giudizio per ottenere il rimborso.
Richiedi una consulenzaFonti
- D.lgs. 27 gennaio 2010, n. 11, testo vigente (Normattiva)
- Direttiva (UE) 2015/2366 (PSD2), EUR-Lex
- Regolamento delegato (UE) 2018/389, autenticazione forte e monitoraggio, EUR-Lex
- Regolamento (UE) 2024/886, bonifici istantanei e verifica del beneficiario, EUR-Lex
- Cass. civ., sez. III, ord. n. 13204/2023 e sent. n. 3780/2024 (SentenzeWeb)
- ABF, Collegio di Coordinamento, decisione n. 22745 del 10 ottobre 2019
- Banca d'Italia, comunicazione del 30 ottobre 2023 sull'art. 11 d.lgs. 11/2010
- Arbitro Bancario Finanziario, verifiche preliminari al ricorso
- Parlamento europeo, Osservatorio legislativo, procedura 2023/0210(COD) (PSR)
Questo articolo ha finalità esclusivamente informative, è aggiornato al 30 settembre 2026 e non costituisce parere legale. La valutazione di ogni singolo caso richiede l'esame dei fatti, della documentazione contrattuale e delle evidenze tecniche fornite dall'intermediario.
