Banca che rifiuta il rimborso dopo il phishing: che cosa fare

In sintesi. Quando una banca risponde che il rimborso di un’operazione fraudolenta non è dovuto, la risposta non chiude la questione: apre una valutazione che la legge disciplina con regole precise. Per le operazioni di pagamento non autorizzate il D.Lgs. 11/2010, che ha recepito la direttiva europea PSD2, prevede in via ordinaria il rimborso immediato e, in ogni caso, entro la fine della giornata lavorativa successiva alla comunicazione. L’unico margine di rifiuto sta nel motivato sospetto di frode del cliente, comunicato alla Banca d’Italia, oppure nella prova che l’operazione sia stata davvero autorizzata o che il cliente abbia agito con dolo o colpa grave. Quella prova spetta alla banca, non a chi ha subito la truffa, e la sola circostanza che i codici fossero corretti non basta a fornirla. Il percorso per contestare il diniego è graduale: lettura della motivazione, reclamo scritto, ricorso all’Arbitro Bancario Finanziario (ABF) oppure azione davanti al giudice ordinario. Il caso più difficile è quello in cui l’operazione è stata materialmente ordinata dal cliente, convinto da un falso operatore: lì la disciplina è diversa e la partita si gioca soprattutto sulla diligenza della banca. Guida aggiornata a novembre 2026.

Perché la banca rifiuta il rimborso dopo un phishing?

Risposta diretta. Di solito perché ritiene che l’operazione sia stata autorizzata, dato che è stata eseguita con le credenziali corrette, e che il cliente abbia comunque agito con colpa grave, per esempio comunicando i codici a un falso operatore.

Il phishing è la tecnica con cui un truffatore, spacciandosi per la banca, per le Poste, per un corriere o per un ente pubblico, induce la vittima a lasciare le proprie credenziali su un sito clone o a comunicare i codici ricevuti. La guida sul phishing e le frodi bancarie ne descrive le forme; qui interessa che cosa accade dopo, quando la vittima ha già comunicato l’accaduto alla banca e ha ricevuto un no.

I motivi che gli istituti mettono per iscritto sono, nella pratica, pochi e ricorrenti. Il primo è l’autenticazione: l’operazione risulta confermata con i fattori richiesti, per esempio la password dell’app e un codice inviato per SMS o generato da un’applicazione, e quindi, si sostiene, è stata autorizzata dal titolare. Il secondo è la negligenza del cliente: ha cliccato su un collegamento, ha inserito i dati in una pagina falsa, ha letto un codice al telefono, e questo viene qualificato come colpa grave. Il terzo, più raro, riguarda i tempi: la comunicazione sarebbe arrivata tardi, o la denuncia non sarebbe stata presentata. Un quarto, che compare soprattutto nelle risposte più sbrigative, è il rinvio generico alle condizioni di contratto, senza una vera ricostruzione dei fatti.

Ciascuno di questi argomenti va confrontato con quello che la legge richiede alla banca di dimostrare. Ed è qui che molti dinieghi mostrano la loro debolezza: la motivazione descrive il comportamento della vittima, ma non spiega come si concili con l’onere della prova che il legislatore ha collocato sull’intermediario.

Che cosa prevede la legge sul rimborso delle operazioni non autorizzate?

Risposta diretta. La banca deve rimborsare l’importo immediatamente e, al più tardi, entro la fine della giornata lavorativa successiva a quella in cui ha avuto notizia dell’operazione, salvo il motivato sospetto di frode del cliente. La perdita resta al cliente solo in casi tipici di dolo o colpa grave.

Il quadro del D.Lgs. 11/2010

La disciplina dei servizi di pagamento (bonifici, carte, addebiti, pagamenti da app) è contenuta nel decreto legislativo 27 gennaio 2010 n. 11, modificato nel 2017 per recepire la seconda direttiva europea sui servizi di pagamento (PSD2, direttiva (UE) 2015/2366). Gli articoli che contano per chi ha subito un phishing sono pochi e conviene averli presenti per intero.

L’art. 7 indica gli obblighi dell’utilizzatore: usare lo strumento di pagamento secondo le condizioni contrattuali, comunicare senza indugio lo smarrimento, il furto o l’uso non autorizzato e adottare le misure idonee a proteggere le credenziali di sicurezza personalizzate. È la norma che le banche richiamano quando contestano la colpa grave.

L’art. 9 prevede che l’utilizzatore comunichi senza indugio l’operazione non autorizzata o non correttamente eseguita, e comunque entro tredici mesi dalla data di addebito, termine che decorre in questo modo dall’addebito stesso e non dal momento in cui ci si accorge della truffa. Un ritardo di pochi giorni è di regola irrilevante sul piano formale, ma può pesare nella valutazione complessiva della condotta.

L’art. 10 è il cuore della materia. Quando l’utilizzatore nega di aver autorizzato un’operazione, spetta al prestatore di servizi di pagamento provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, e che non ha subito le conseguenze di un malfunzionamento. La norma precisa che l’uso dello strumento di pagamento registrato dalla banca non è di per sé necessariamente sufficiente a dimostrare che l’operazione sia stata autorizzata dal pagatore, né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave agli obblighi dell’art. 7. È l’intermediario a dover fornire la prova della frode, del dolo o della colpa grave.

L’art. 10-bis impone l’autenticazione forte del cliente, cioè la richiesta di almeno due fattori appartenenti a categorie diverse (qualcosa che si conosce, qualcosa che si possiede, qualcosa che si è), tra loro indipendenti. L’art. 11 disciplina il rimborso: l’intermediario, avuta notizia dell’operazione non autorizzata, la rimborsa immediatamente e in ogni caso entro la fine della giornata lavorativa successiva, riportando il conto nello stato in cui si sarebbe trovato se l’operazione non fosse stata eseguita, salvo che abbia un motivato sospetto di frode e lo comunichi per iscritto alla Banca d’Italia. L’art. 12 regola infine la responsabilità del pagatore: prima della comunicazione la perdita può arrivare fino a una franchigia di cinquanta euro, ma il cliente non sopporta nulla se la banca non ha preteso l’autenticazione forte, e sopporta tutte le perdite se ha agito in modo fraudolento o se non ha adempiuto, con dolo o colpa grave, agli obblighi dell’art. 7.

Che cosa significa, in pratica, il sospetto di frode?

Il sospetto di frode è l’eccezione al rimborso immediato, e non è una formula da usare in ogni caso. Presuppone un sospetto motivato, cioè fondato su elementi concreti, e una comunicazione scritta alla Banca d’Italia. Un diniego che si limita a dire che «la cliente ha fornito i codici» non è un sospetto di frode del cliente: è l’affermazione di una colpa, che segue le regole sulla prova. Chi ha ricevuto un rifiuto fa bene a verificare quale delle due strade la banca abbia effettivamente imboccato, perché hanno presupposti e conseguenze diverse.

Chi deve provare che cosa?

Risposta diretta. La banca deve provare l’autenticazione e la corretta registrazione dell’operazione, e inoltre, per negare il rimborso, la frode o il dolo o la colpa grave del cliente. Al cliente basta negare l’autorizzazione e comunicare l’operazione.

L’inversione dell’onere della prova è la differenza più importante rispetto alle regole ordinarie. Nel diritto comune chi chiede un risultato prova i fatti che lo fondano (art. 2697 c.c.). Nei servizi di pagamento il legislatore ha considerato che il cliente non ha accesso ai sistemi informatici della banca, non può ricostruire i log e non può documentare l’inesistenza di un consenso: per questo ha gravato l’intermediario. Prima di tutto della prova dell’autenticazione; poi, se vuole sottrarsi al rimborso, della prova che la colpa grave sia del cliente.

Questa seconda prova è quella decisiva, e anche la più difficile. La giurisprudenza di legittimità e le decisioni dei collegi dell’ABF ripetono da anni alcuni principi, che qui si richiamano senza indicare estremi di singole pronunce: la colpa grave non si presume; non coincide con la semplice disattenzione; si valuta in concreto, guardando alla sofisticazione della truffa, al profilo della vittima, alla verosimiglianza del messaggio ricevuto; e l’autenticazione tecnicamente corretta dimostra, al più, che l’operazione è stata registrata come autenticata. Non dimostra come siano state ottenute le credenziali.

La colpa grave

La colpa grave è una violazione particolarmente marcata della diligenza ordinaria, quella che si comprende guardando a come si comporterebbe anche la persona meno attenta. Comunicare il codice a chi telefona dicendo di essere della banca e mostra di conoscere il saldo, o a chi invia un SMS che compare nella stessa conversazione dei messaggi autentici dell’istituto, è un comportamento che i collegi hanno valutato in modo diverso a seconda dei casi. Peggiora la posizione del cliente, per esempio, l’aver ignorato avvisi evidenti, aver comunicato il codice al di fuori di ogni contesto credibile, aver rivelato le credenziali più volte. La migliora il fatto che la truffa fosse costruita con tecniche di imitazione molto accurate, come nelle frodi di cui parla la guida su spoofing e vishing.

La condotta della banca

Il giudizio non si ferma alla condotta del cliente. La banca è un operatore professionale, tenuto a una diligenza più alta (art. 1176, secondo comma, c.c.), e il suo comportamento entra nella valutazione: i sistemi antifrode erano adeguati? L’operazione era anomala per importo, orario, destinatario, dispositivo? Sono partiti avvisi? Dopo la segnalazione, il blocco è stato tempestivo? È stato richiesto il richiamo del bonifico alla banca del beneficiario? Un’operazione fuori dalle abitudini del conto, eseguita in pochi minuti verso un IBAN mai usato, dovrebbe attivare presidi: se non è accaduto, l’argomento della colpa grave del cliente si indebolisce.

Come si legge il rifiuto della banca?

Risposta diretta. Si legge cercando tre cose: se è scritto, se spiega quale fatto la banca considera provato, e se indica gli elementi su cui si basa. Un no generico, privo di ricostruzione, è un segnale di debolezza.

Il primo passo è ottenere il diniego per iscritto. Capita che la risposta arrivi al telefono, in una chat o in una frase di poche righe: una risposta così non permette di contestare nulla. Si può chiedere formalmente che l’istituto esponga le ragioni e produca la documentazione dell’operazione. Il cliente ha diritto di accedere ai documenti relativi ai rapporti con la banca, e per questo le richieste di copia sono di regola legittime.

La lettura del diniego va fatta per voci. Quali operazioni sono contestate, con importo, data e ora? La banca afferma che sono state «autorizzate» o solo «autenticate»? Indica quali fattori di autenticazione sono stati utilizzati, e se l’autenticazione forte era davvero attiva, o se qualche operazione è passata senza (ad esempio, in alcuni casi di pagamenti con carta online)? Afferma una colpa grave e quale, in concreto? Sono citati i messaggi inviati al cliente, con orari? Indica se ci sono stati tentativi di blocco o di richiamo?

Poi si confronta quella ricostruzione con il racconto della vittima, che va messo per iscritto, con la sequenza esatta: quando è arrivato il messaggio o la telefonata, che cosa è stato chiesto, che cosa è stato fatto e comunicato, quando ci si è accorti dell’addebito, quando e come è stata avvertita la banca. Una cronologia precisa, con ore e screenshot, è di regola il documento più utile.

Quali documenti vanno raccolti?

Risposta diretta. L’estratto conto con le operazioni contestate, la comunicazione alla banca con la prova dell’invio, la denuncia o querela, gli screenshot dei messaggi e dei siti, la risposta di diniego e la cronologia dei fatti.

L’elenco è più pratico che giuridico, ma è quello che spesso decide l’esito. Servono:

• l’estratto conto o la lista movimenti, con le operazioni non riconosciute evidenziate;
• la prima comunicazione alla banca (telefonata al numero verde con indicazione dell’ora, PEC, raccomandata, richiesta di blocco scritta) e ogni risposta ricevuta;
• il blocco della carta o dell’accesso, con la conferma;
• la denuncia o querela all’autorità di pubblica sicurezza o alla polizia postale, con gli allegati (il quadro generale dei rimedi è nella guida alle truffe bancarie);
• gli screenshot di SMS, e-mail, chiamate in entrata (numero, ora, durata), pagine web aperte;
• il diniego della banca e il contratto di conto o di carta, con le condizioni sui servizi di pagamento.

La denuncia non è una condizione per il rimborso: il D.Lgs. 11/2010 non la richiede. Le banche la chiedono, e molti collegi ne tengono conto come indizio di serietà della versione del cliente. Va quindi presentata, ma la sua assenza non giustifica da sola il rifiuto.

Come si contesta il diniego: reclamo, ABF e giudice

Risposta diretta. Si comincia con un reclamo scritto. Se la banca non risponde o conferma il rifiuto si può ricorrere all’Arbitro Bancario Finanziario oppure agire davanti al giudice ordinario.

Il reclamo

Il reclamo è l’atto con cui si contesta formalmente la decisione dell’istituto. Va inviato per iscritto, con la PEC o con una raccomandata all’ufficio reclami indicato sul sito e nel contratto, ed è la condizione per aprire poi le altre strade. Deve contenere la descrizione sintetica dei fatti, l’indicazione delle operazioni con importo e data, il richiamo degli articoli del D.Lgs. 11/2010 che si ritengono violati (in particolare artt. 10, 11 e 12), la confutazione del motivo di rifiuto e la richiesta precisa di restituire le somme, con gli interessi. I termini per la risposta sono brevi per i servizi di pagamento (di regola quindici giornate operative, prorogabili in situazioni eccezionali) e più lunghi per gli altri servizi bancari: nel dubbio conviene guardare quanto indicato dalla banca stessa e dalle disposizioni della Banca d’Italia.

Il reclamo ha anche un’utilità pratica: costringe la banca a riesaminare il caso con un ufficio diverso da quello che ha negato il rimborso. Capita che il riesame cambi l’esito, specie quando il primo diniego era stato motivato in modo generico.

Il ricorso all’ABF

L’Arbitro Bancario Finanziario è l’organismo stragiudiziale istituito presso la Banca d’Italia che decide le controversie fra clienti e intermediari (art. 128-bis TUB). Si può ricorrere quando il reclamo non ha avuto risposta nei termini o la risposta non soddisfa, entro dodici mesi dalla presentazione del reclamo. Il procedimento è scritto, con un costo molto contenuto (un contributo di venti euro, restituito dall’intermediario se il ricorso è accolto) e si definisce di norma in qualche mese. Le richieste di pagamento di somme sono ammesse entro un valore massimo che la normativa fissa e aggiorna.

La decisione dell’ABF non è un titolo esecutivo: se l’intermediario non vi si adegua, il solo effetto diretto è la pubblicazione dell’inadempimento. Nella pratica, però, gli istituti si adeguano nella grande maggioranza dei casi. Il procedimento dell’ABF è descritto con più ampiezza nella guida sul ricorso all’ABF e quando conviene; in questa sede basta notare che il collegio può valutare la colpa grave leggendo la cronologia e la documentazione, ma non svolge istruttoria testimoniale, e che le decisioni dei collegi sono già una fonte di riferimento utile per capire come vengono valutate le truffe più diffuse.

Il giudice ordinario

L’azione davanti al giudice ordinario è la via più adatta quando la vicenda è complessa, quando servono prove orali o consulenze tecniche sui sistemi informatici, quando sono coinvolti più soggetti (la banca del cliente, la banca che ha ricevuto il bonifico, un operatore telefonico) o quando si chiedono anche i danni ulteriori. Il giudice competente dipende dal valore e dalle regole sulla competenza territoriale, e per i consumatori vale il foro del luogo di residenza. Nelle controversie in materia di contratti bancari la legge prevede, prima del giudizio, una condizione di procedibilità: la mediazione, oppure la procedura davanti all’ABF, che vale come tentativo equivalente. Si tratta di un passaggio da verificare prima di depositare l’atto, perché la sua omissione rende improcedibile la domanda.

Un profilo da non trascurare è quello dei tempi: la prescrizione ordinaria decennale è lontana, ma le prove digitali (log, tracce di accesso, registrazioni telefoniche) hanno tempi di conservazione limitati, e la richiesta di acquisirle va fatta presto.

Quando il rimborso è più difficile?

Risposta diretta. Quando l’operazione è stata ordinata dal cliente stesso, ingannato da un falso operatore. In quel caso non si tratta, in senso tecnico, di un’operazione non autorizzata.

La distinzione è decisiva e spesso trascurata. Se il truffatore, ottenute le credenziali, esegue lui l’operazione, il cliente non ha dato il consenso e si applica la disciplina esaminata sopra. Se invece il cliente, convinto di dover mettere in sicurezza il proprio denaro, ordina di sua mano un bonifico verso il conto indicato dal falso operatore, l’operazione è formalmente autorizzata: l’ordine è suo, anche se il consenso è stato carpito con l’inganno. In questa ipotesi la richiesta di rimborso non può fondarsi in modo lineare sugli artt. 10-12 del decreto, e si sposta sui doveri della banca: gli obblighi di diligenza professionale, l’adeguatezza dei controlli antifrode su un’operazione anomala, la tempestività del richiamo del bonifico, le informazioni date al cliente. Anche qui le decisioni arbitrali e giudiziarie non sono uniformi, e la valutazione dipende molto dai dettagli.

Una novità recente riguarda i bonifici in euro: dal 9 ottobre 2025 la banca deve offrire al pagatore la verifica del beneficiario, cioè il controllo di corrispondenza fra il nome indicato e il titolare dell’IBAN, tema affrontato nella guida sulla verifica del beneficiario e l’IBAN errato. Il servizio non elimina le truffe, ma aggiunge un elemento da considerare nel confronto fra la condotta del cliente e quella dell’intermediario.

Che cosa si può fare subito, se il rifiuto è arrivato da poco?

Risposta diretta. Conservare tutto, ottenere il diniego per iscritto, controllare i termini e preparare un reclamo che risponda punto per punto alle ragioni della banca.

Il primo gesto è non rispondere a caldo e non firmare nulla che sembri una rinuncia: alcune banche propongono, dopo il diniego, un rimborso parziale «a titolo di cortesia» con una quietanza finale che chiude ogni pretesa. Prima di accettare conviene capire se la somma offerta sia davvero ragionevole rispetto al danno. Il secondo è ricostruire la cronologia mentre i ricordi sono freschi. Il terzo è chiedere per iscritto la documentazione dell’operazione e le registrazioni delle telefonate con il servizio clienti, che le banche conservano per un tempo limitato. Il quarto è valutare, con il supporto di un professionista, il canale più adatto: nelle vicende lineari l’ABF è di regola il punto di partenza; in quelle complesse può esserlo il giudice.

Non esistono esiti garantiti: il risultato dipende dalle prove, dalle modalità della truffa e dalla condotta di tutte le parti. Per questo la valutazione del caso concreto, con i documenti in mano, resta il passaggio più utile.

Domande frequenti

Letture consigliate

• Phishing e frodi bancarie: quando la banca rimborsa
• Truffe bancarie e pagamenti non autorizzati: la guida
• Spoofing e vishing: truffa telefonica e rimborso dalla banca
• SIM swap: truffa, rimborso e responsabilità della banca
• Ricorso all’ABF: come funziona e quando conviene

Guida aggiornata a novembre 2026. Ultimo aggiornamento: novembre 2026.

Avvertenza: il presente contributo ha finalità esclusivamente informative e non costituisce parere legale né consulenza professionale. Ogni caso va valutato nel concreto, sulla base dei documenti e delle circostanze specifiche.

Questo articolo è stato redatto con l’ausilio di un sistema di intelligenza artificiale. Segnalazioni: info@studiolegalemondello.it