SIM swap: il conto svuotato con il cambio della SIM, chi risponde

In sintesi. Un giorno il telefono smette di funzionare senza motivo: niente chiamate, niente rete. Poche ore dopo, l’home banking mostra bonifici mai fatti e il conto svuotato. È lo schema della SIM swap (o SIM swap fraud), la duplicazione fraudolenta della scheda telefonica. Il truffatore, spacciandosi per il titolare, ottiene da un operatore o da un rivenditore una nuova SIM con lo stesso numero, denunciando un finto smarrimento o furto; la SIM originale si disattiva e il numero passa nelle sue mani. A quel punto intercetta i codici usa e getta (OTP) che la banca invia via sms per confermare le operazioni e, avendo di solito già raccolto altrove le credenziali di accesso (spesso con il phishing), aggira l’autenticazione a due fattori e dispone i pagamenti. La domanda cruciale è: chi risponde? Qui la SIM swap ha una particolarità rispetto ad altre frodi: i possibili responsabili sono due. La banca, in base al D.Lgs. 11/2010 (di derivazione europea, direttive PSD e PSD2), su cui grava l’onere della prova: deve dimostrare che l’operazione era autenticata e che l’utente ha agito con dolo o colpa grave, e la sola registrazione dell’uso dello strumento non basta (artt. 10 e 12). E l’operatore telefonico, quando ha sostituito la SIM senza identificare correttamente il richiedente: la giurisprudenza di merito lo ha condannato per questa negligenza, spesso in solido con la banca (tra le altre, Tribunale di Milano, 9 agosto 2024, e Tribunale di Roma, 19 luglio 2023). Questa guida spiega come funziona la truffa, come riconoscerla, chi risponde e in che misura, e cosa fare per ottenere il rimborso.

Che cos’è la SIM swap e come funziona la truffa

Risposta diretta. La SIM swap è la sostituzione fraudolenta della SIM: il truffatore ottiene dall’operatore telefonico un duplicato della scheda della vittima, con lo stesso numero, fingendo di esserne il titolare. Da quel momento riceve lui le chiamate e soprattutto gli sms con i codici usa e getta (OTP) della banca, con cui autorizza i pagamenti. La truffa serve a superare l’autenticazione a due fattori, cioè proprio la barriera che dovrebbe proteggere l’home banking.

Il meccanismo si regge su un’idea semplice e insidiosa. Oggi molte operazioni bancarie online richiedono, oltre alla password, un secondo fattore: tipicamente un codice usa e getta inviato via sms al numero di cellulare del cliente. È una difesa efficace finché quel numero è davvero nelle mani del titolare. La SIM swap rompe proprio questo presupposto: se il truffatore riesce a farsi consegnare una SIM con quel numero, il “qualcosa che possiedi” (il telefono) diventa suo, e l’OTP che dovrebbe autenticare il cliente autentica invece il criminale.

Come si svolge, in pratica

Lo schema tipico si sviluppa in due fasi. Nella prima, il truffatore raccoglie i dati della vittima: le credenziali di accesso all’home banking (spesso ottenute con una campagna di phishing o pescate da una violazione di dati), e i dati anagrafici e documentali utili a impersonarla. In questa fase ha già quasi tutto, ma gli manca l’ultimo tassello: il codice usa e getta che la banca invia via sms.

Nella seconda fase entra in gioco la SIM swap vera e propria. Il truffatore si presenta all’operatore telefonico, di persona o attraverso i canali di assistenza, denunciando lo smarrimento o il furto della SIM e chiedendone la sostituzione. Se l’operatore non verifica con rigore l’identità di chi ha davanti, consegna un duplicato con lo stesso numero. La SIM originale della vittima si disattiva e da quel momento tutti gli sms, compresi gli OTP bancari, arrivano al criminale, che accede all’home banking e dispone bonifici, ricariche e pagamenti verso conti a lui riferibili.

Perché è così pericolosa

La forza della SIM swap sta nel fatto che colpisce la vittima in un momento di totale inconsapevolezza. Il primo e spesso unico segnale è l’improvvisa perdita di segnale del telefono, un fastidio che molti attribuiscono a un guasto o a un disservizio di rete. Mentre la vittima pensa a un problema tecnico, il truffatore sta già operando. Non c’è un link su cui cliccare per ultimo, non c’è una richiesta esplicita di codici da rifiutare: la parte decisiva della frode avviene altrove, allo sportello o al servizio clienti dell’operatore, del tutto fuori dal controllo del cliente.

Chi risponde nella SIM swap: banca e operatore telefonico

Risposta diretta. Possono rispondere entrambi, e spesso in solido. La banca risponde in base al D.Lgs. 11/2010: è lei a dover provare che l’operazione era autenticata e che il cliente ha agito con dolo o colpa grave (artt. 10 e 12). L’operatore telefonico risponde quando ha sostituito la SIM senza identificare adeguatamente il richiedente, rendendo materialmente possibile la truffa. La ripartizione tra i due, ed eventualmente un concorso di colpa del cliente, dipende dalle circostanze concrete.

È proprio la presenza di due possibili responsabili a rendere la SIM swap diversa dalle altre frodi bancarie. In una truffa di solo phishing o vishing il fronte è uno: il rapporto tra cliente e banca. Qui, invece, la catena causale passa da un anello ulteriore, la clonazione della SIM, che dipende da un soggetto terzo, l’operatore telefonico. E questo apre alla vittima una via in più per ottenere il ristoro del danno.

La responsabilità della banca (D.Lgs. 11/2010)

Risposta diretta. Per le operazioni di pagamento non autorizzate vale il D.Lgs. 11/2010. L’art. 10 pone sulla banca l’onere di provare che l’operazione era autenticata, correttamente registrata e contabilizzata; la sola registrazione dell’uso dello strumento non è sufficiente a dimostrare l’autorizzazione né la colpa grave del cliente. L’art. 12 consente di addossare la perdita all’utente solo in caso di dolo o colpa grave.

Il punto essenziale, che ribalta la percezione comune, è la distinzione tra autenticazione e autorizzazione. Il fatto che i codici inseriti fossero quelli giusti dimostra soltanto che l’operazione era tecnicamente autenticata, non che il cliente l’abbia validamente autorizzata. Nella SIM swap l’OTP finisce al truffatore perché ha dirottato il numero, non perché la vittima glielo abbia comunicato. Manca dunque un consenso genuino a quel pagamento, che resta “non autorizzato” ai fini della disciplina, con tutte le tutele che ne conseguono. È lo stesso principio sviluppato per esteso nella guida alle truffe bancarie e ai pagamenti non autorizzati.

La colpa grave del cliente, poi, va valutata in concreto e non si presume. Aver subito la clonazione della SIM non è, di per sé, una condotta gravemente colposa: la vittima non ha alcun potere di impedire che un terzo si presenti all’operatore e ottenga un duplicato. La giurisprudenza di legittimità inquadra da tempo la responsabilità della banca in termini rigorosi: deve fornire la prova della riconducibilità dell’operazione al cliente (in questo senso, tra le altre, Cass. n. 9158/2018 e Cass. n. 9721/2020) e risponde del danno quando non dimostra di aver adottato misure di sicurezza adeguate al rischio. In linea con questo indirizzo, Cass. n. 3780/2024 tratta la frode informatica come rischio d’impresa del prestatore di servizi di pagamento.

La responsabilità dell’operatore telefonico

Risposta diretta. L’operatore telefonico risponde del danno quando ha duplicato la SIM senza un’adeguata verifica dell’identità di chi ne faceva richiesta. La sua è una negligenza a monte che rende possibile l’intera frode: senza il cambio fraudolento della SIM il truffatore non avrebbe mai ricevuto gli OTP. Su questo la giurisprudenza di merito è netta.

Il ragionamento dei giudici è lineare: chi sostituisce una SIM tratta un dato sensibile e svolge un’attività professionale a rischio, e ha perciò l’obbligo di identificare con rigore il richiedente. Se consegna il duplicato a un impostore, per controlli insufficienti o assenti, contribuisce in modo determinante alla truffa e ne risponde. Diverse pronunce hanno condannato l’operatore, talvolta in solido con la banca, talvolta come responsabile prevalente perché è stata proprio la sua condotta a innescare la frode.

Vanno lette in questa chiave, ad esempio, la sentenza del Tribunale di Milano del 9 agosto 2024, che ha condannato in solido la banca e l’operatore telefonico per non aver impedito una serie di bonifici fraudolenti seguiti a una SIM swap. Altre pronunce di merito hanno posto la responsabilità in capo all’operatore telefonico, rilevando che senza il suo intervento negligente sulla SIM la truffa non sarebbe stata possibile. Anche il Tribunale di Roma, con sentenza del 19 luglio 2023, ha affermato la responsabilità concorrente di banca e operatore, ripartendo il danno tra i soggetti coinvolti. Sono pronunce da leggere per il principio che esprimono, restando inteso che ogni caso ha una sua fisionomia e che l’esito dipende dalle circostanze concrete.

Il concorso di colpa del cliente

Risposta diretta. Il rimborso può essere ridotto se emerge un concorso di colpa del cliente, ai sensi dell’art. 1227 c.c., ma questo presuppone una condotta che abbia effettivamente aggravato il danno o contribuito a causarlo. Non basta essere stati vittime della truffa: occorre un rilievo specifico, come l’aver ignorato segnali evidenti o l’aver reagito con grave ritardo.

Il concorso di colpa non cancella il diritto al rimborso: ne modula l’entità. Può venire in rilievo, ad esempio, quando la vittima abbia trascurato per giorni la perdita di segnale del telefono senza alcuna verifica, o non abbia controllato il conto pur avendone la concreta possibilità, così lasciando che la frode proseguisse. È il tipo di valutazione che il Tribunale di Roma ha svolto nella citata pronuncia del 2023, ripartendo la responsabilità anche in ragione della condotta del correntista. Resta fermo che il cuore del giudizio è altrove: sull’onere della prova a carico della banca e sulla negligenza dell’operatore.

Come riconoscere una SIM swap in corso

Risposta diretta. Il segnale più importante è la perdita improvvisa e ingiustificata del segnale telefonico: la SIM smette di funzionare (niente chiamate, sms o rete dati) senza un guasto apparente. Spesso, poco prima, sono arrivati tentativi di phishing. Se il telefono resta senza rete più del normale, conviene contattare subito l’operatore da un altro apparecchio e controllare l’home banking.

Imparare a leggere questo segnale è la miglior difesa, perché la SIM swap lascia alla vittima una finestra di reazione breve ma reale. La disattivazione della SIM originale è contestuale all’attivazione del duplicato: nel momento in cui il telefono “muore”, la truffa è in corso. Reagire nei primi minuti, facendo bloccare la SIM fraudolenta e mettendo in sicurezza il conto, può impedire o limitare le operazioni non autorizzate.

I segnali d’allarme

Oltre alla perdita di segnale, alcuni indizi meritano attenzione. La ricezione, nei giorni precedenti, di sms o email di phishing che chiedono di aggiornare dati o confermare credenziali: è spesso la fase preparatoria della frode. Notifiche anomale dalla banca o dall’operatore (conferme di operazioni mai richieste, avvisi di cambio SIM o di modifica dei dati) che non trovano spiegazione. L’impossibilità di accedere all’home banking con le credenziali abituali. Presi singolarmente possono sembrare disservizi; combinati, e soprattutto se accompagnati dal telefono muto, vanno trattati come un’emergenza.

Cosa fare subito se si è vittima di una SIM swap

Risposta diretta. Bisogna agire in parallelo su due fronti. Verso l’operatore telefonico: segnalare la disattivazione anomala, farsi riattribuire il numero e chiedere il blocco della SIM fraudolenta. Verso la banca: bloccare subito la carta e l’home banking dai canali ufficiali, cambiare le credenziali, inviare il disconoscimento delle operazioni e un reclamo scritto. Poi denuncia e conservazione di ogni prova.

La tempestività ha, anche qui, un valore giuridico preciso: dopo la comunicazione del blocco alla banca, salvo dolo, l’utente non sopporta più alcuna perdita per le operazioni successive. E la doppia azione, verso operatore e banca, è indispensabile perché entrambi sono coinvolti nella vicenda.

Bloccare su entrambi i fronti

Il primo gesto verso l’operatore è riprendere il controllo del numero: contattare l’assistenza (da un altro telefono), segnalare la SIM swap, chiedere la riattivazione della propria SIM e il blocco del duplicato fraudolento, facendosi rilasciare traccia scritta della segnalazione. Verso la banca, in parallelo, occorre bloccare la carta e l’accesso all’home banking attraverso i canali ufficiali e cambiare tutte le credenziali, per interrompere l’emorragia.

Disconoscere, reclamare e denunciare

Va poi disconosciuta formalmente ogni operazione contestata e presentato un reclamo scritto alla banca, che descriva con precisione l’accaduto e chieda il rimborso ai sensi del D.Lgs. 11/2010; è bene usare strumenti che diano prova di data e ricezione (PEC, raccomandata). La denuncia alla Polizia Postale o ai Carabinieri, oltre a essere spesso necessaria, documenta l’estraneità e la diligenza dell’utente, e serve anche per far valere la responsabilità dell’operatore telefonico.

Conservare le prove giuste

Nella SIM swap le prove decisive sono in parte diverse da quelle di altre frodi. Vanno conservati: la documentazione della disattivazione anomala della SIM e della richiesta di riattivazione all’operatore; gli estratti conto con le operazioni disconosciute; eventuali sms o email di phishing ricevuti prima; le comunicazioni della banca; la denuncia. Questo materiale serve a ricostruire l’intera catena della frode e a dimostrare, verso i due responsabili, sia l’assenza di dolo o colpa grave dell’utente sia la negligenza a monte dell’operatore.

Come ottenere il rimborso: reclamo, ABF, giudice

Risposta diretta. Se dopo il reclamo la banca nega il rimborso o non risponde, il percorso è graduale: si può presentare ricorso all’Arbitro Bancario Finanziario (ABF), rapido ed economico, per il rapporto banca-cliente, oppure agire davanti al giudice ordinario, sede più adatta quando si vuole chiamare in causa anche l’operatore telefonico e svolgere accertamenti tecnici.

La scelta della sede, nella SIM swap, è più delicata che in altre frodi proprio per la presenza di due responsabili. Va calibrata sul caso concreto, sull’importo e sull’obiettivo che si intende raggiungere.

Il reclamo alla banca

È la tappa preliminare quasi sempre necessaria. Il reclamo va indirizzato all’ufficio competente della banca, che deve fornire una risposta motivata entro i termini fissati dalla normativa di trasparenza. Già in questa fase è utile impostare correttamente la vicenda in termini giuridici, richiamando l’onere della prova a carico della banca (art. 10) e i limiti della colpa grave (art. 12), e allegando la denuncia e le prove raccolte. Una risposta negativa o il silenzio aprono la strada agli strumenti successivi.

Il ricorso all’Arbitro Bancario Finanziario

L’ABF è un organismo di risoluzione stragiudiziale istituito presso la Banca d’Italia: decide le controversie tra clienti e intermediari in tempi contenuti e con costi ridotti, sulla base della documentazione. È una via efficace per definire, spesso rapidamente, il rapporto con la banca e ottenere il rimborso delle operazioni disconosciute. Va tenuto presente un limite: l’ABF decide solo sul rapporto banca-cliente e non può pronunciarsi sulla responsabilità dell’operatore telefonico, che resta materia del giudice ordinario. Regole e presupposti sono approfonditi nella guida al contenzioso bancario per privati e imprese.

L’azione davanti al giudice

Quando l’importo è rilevante, serve un accertamento pieno o si vuole far valere la responsabilità anche dell’operatore telefonico, la strada è quella del giudice ordinario. È la sede in cui i due responsabili possono essere convenuti insieme, chiedendone eventualmente la condanna solidale, e in cui si possono svolgere le consulenze tecniche sui profili informatici e sull’iter di sostituzione della SIM. È spesso la scelta più adatta proprio perché consente di aggredire l’intera catena della frode, e non solo uno dei suoi anelli.

Un rischio collaterale: segnalazioni e scoperti

Chi subisce una SIM swap può trovarsi esposto a un secondo problema: la contestazione di scoperti o l’iscrizione in banche dati (come la Centrale Rischi) a causa di somme movimentate a sua insaputa. Anche su questo fronte esistono tutele, perché una segnalazione fondata su operazioni disconosciute e non imputabili all’utente può rivelarsi illegittima. Il tema è trattato nell’articolo sulla segnalazione illegittima in Centrale Rischi e come difendersi.

Domande frequenti (FAQ)

Che cos’è la SIM swap e come mi svuotano il conto?

È la duplicazione fraudolenta della SIM: il truffatore, spacciandosi per il titolare, ottiene dall’operatore una nuova scheda con lo stesso numero, denunciando un finto smarrimento. La SIM originale si disattiva e lui inizia a ricevere gli sms con i codici usa e getta (OTP) della banca, con cui autorizza bonifici e pagamenti. Di solito ha già raccolto altrove le credenziali (con il phishing): alla frode manca solo l’intercettazione dell’OTP, e la SIM swap gliela fornisce, aggirando l’autenticazione a due fattori.

Nella SIM swap risponde la banca o l’operatore telefonico?

Possono rispondere entrambi, spesso in solido. La banca risponde in base al D.Lgs. 11/2010: è lei a dover provare che l’operazione era autenticata e che l’utente ha agito con dolo o colpa grave (artt. 10 e 12). L’operatore telefonico risponde quando ha sostituito la SIM senza identificare correttamente il richiedente (tra le altre, Tribunale di Milano, 9 agosto 2024, che ha condannato in solido banca e operatore; Tribunale di Roma, 19 luglio 2023). Chi risponde e in che misura dipende dalle circostanze concrete.

Ho subito una SIM swap: perdo il diritto al rimborso perché i codici erano corretti?

Non automaticamente. Che i codici fossero corretti dimostra solo che l’operazione era autenticata, non che tu l’abbia autorizzata. Nella SIM swap gli OTP arrivano al truffatore perché ha dirottato il tuo numero, non perché tu li abbia comunicati. La perdita resta a tuo carico solo se la banca prova il tuo dolo o la tua colpa grave (art. 12 D.Lgs. 11/2010), da valutare in concreto: aver subito la clonazione della SIM, di per sé, non è colpa grave. La Cassazione tratta la frode informatica come rischio d’impresa della banca (Cass. n. 3780/2024).

Come mi accorgo di una SIM swap in corso?

Il segnale più chiaro è la perdita improvvisa del segnale telefonico: la SIM smette di funzionare senza motivo, perché è stata disattivata a favore del duplicato. Spesso poco prima sono arrivati tentativi di phishing. Se il telefono resta senza rete più del dovuto, contatta subito l’operatore da un altro apparecchio per verificare e controlla l’home banking. Agire nei primi minuti può impedire o limitare le operazioni fraudolente.

Cosa devo fare subito dopo una SIM swap?

Agire in fretta su due fronti. Verso l’operatore: segnalare la disattivazione anomala, farsi riattribuire il numero, chiedere il blocco della SIM fraudolenta. Verso la banca: bloccare carta e home banking dai canali ufficiali, cambiare le credenziali, inviare il disconoscimento e un reclamo scritto (meglio PEC o raccomandata). Poi presentare denuncia e conservare ogni prova (disattivazione della SIM, estratti conto, denuncia): sono documenti decisivi per agire sia contro la banca sia contro l’operatore.

La banca ha negato il rimborso: a chi mi rivolgo?

Se dopo il reclamo la banca nega il rimborso o non risponde, si può presentare ricorso all’Arbitro Bancario Finanziario (ABF), rapido ed economico, per il rapporto banca-cliente, oppure agire davanti al giudice ordinario, sede più adatta quando serve chiamare in causa anche l’operatore telefonico e svolgere accertamenti tecnici. L’ABF decide solo sul rapporto banca-cliente; per la responsabilità dell’operatore serve il giudice ordinario, dove i due responsabili possono essere convenuti insieme.

Perché l’operatore telefonico dovrebbe risarcirmi?

Perché chi sostituisce una SIM ha l’obbligo di identificare con rigore chi ne fa richiesta. Se consegna un duplicato a un impostore, per controlli insufficienti, contribuisce in modo determinante alla frode: senza il cambio fraudolento della SIM il truffatore non avrebbe ricevuto gli OTP. Per questo diversi tribunali hanno condannato l’operatore, talvolta in solido con la banca, talvolta come responsabile prevalente.

Letture consigliate

• Truffe bancarie e pagamenti non autorizzati: la guida completa al rimborso
• Spoofing e vishing: la truffa del finto operatore bancario e il diritto al rimborso
• Phishing e frodi bancarie: quando la banca deve rimborsare
• Contenzioso bancario: la guida completa per privati e imprese
• Segnalazione illegittima in Centrale Rischi: come difendersi

---

Contenuto informativo, aggiornato a luglio 2026. Non costituisce parere legale: ogni situazione presenta specificità che vanno esaminate nel concreto. Per una valutazione del proprio caso è possibile richiedere un appuntamento con lo Studio Legale Mondello. Guida aggiornata a luglio 2026.

Questo articolo è stato redatto con l’ausilio di un sistema di intelligenza artificiale. Segnalazioni: info@studiolegalemondello.it