Spoofing e vishing: la truffa del finto operatore bancario e il diritto al rimborso

In sintesi. Il telefono squilla e sul display compare il nome della banca, lo stesso numero da cui sono sempre arrivati gli avvisi veri. Dall’altra parte una voce professionale, che conosce il tuo nome e forse le ultime operazioni, ti avverte di un accesso sospetto: per bloccarlo, devi confermare un codice. È la sequenza dello spoofing (la falsificazione del numero chiamante o del mittente degli sms) unita al vishing (il voice phishing, l’inganno del finto operatore bancario). L’istinto, dopo, è pensare di aver regalato i soldi con le proprie mani. Non è così. Per le operazioni di pagamento non autorizzate vale il D.Lgs. 11/2010, la disciplina di derivazione europea (direttive PSD e PSD2) costruita per proteggere l’utente. Due cardini contano più di tutto. Primo: l’onere della prova è della banca, che deve dimostrare che l’operazione era stata autenticata e correttamente registrata; la sola registrazione dell’uso dello strumento non basta (art. 10). Secondo: la perdita resta a carico dell’utente solo se la banca prova il suo dolo o la sua colpa grave (art. 12). E aver confermato i codici dopo un inganno sofisticato non equivale automaticamente a colpa grave: la Cassazione più recente (Cass. n. 3780/2024 e Cass. n. 23683/2024) tratta la frode informatica come rischio d’impresa della banca, e l’Arbitro Bancario Finanziario, in numerose decisioni su spoofing e vishing, esclude la colpa grave quando la chiamata o il messaggio non mostravano segnali di allarme evidenti, ripartendo spesso la responsabilità (concorso di colpa) con il rimborso di una quota della somma. Questa guida spiega come funziona la truffa, cosa dice la legge, come si valuta la colpa e cosa fare per ottenere il rimborso.

Che cosa sono lo spoofing e il vishing

Risposta diretta. Lo spoofing è la falsificazione dell’identità del chiamante o del mittente: il truffatore fa in modo che sul telefono della vittima compaia il numero o il nome della banca, così che la comunicazione appaia autentica. Il vishing (voice phishing) è la truffa vocale che segue: un finto operatore si fa dettare o confermare i codici necessari ad autorizzare i pagamenti. Le due tecniche, combinate, costruiscono una scena credibile che disarma anche l’utente prudente.

La forza dell’inganno sta nell’assenza di segnali visibili. Nel telefono, il contatto è quello giusto; nel caso degli sms fraudolenti (smishing con spoofing del mittente), il messaggio ingannevole si inserisce nello stesso filo di conversazione in cui sono arrivati, in passato, gli avvisi autentici della banca. Non c’è un indirizzo email sospetto da controllare, non c’è un dominio storto: c’è solo un canale che la vittima ha imparato a considerare affidabile. Su questa fiducia gioca il truffatore, che spesso ha già raccolto altrove alcuni dati personali (nome, a volte l’IBAN o l’ultima operazione) per rendere la messinscena ancora più convincente.

Come si svolge, in pratica, la truffa del finto operatore

Lo schema tipico è in due tempi. Prima arriva un sms di allarme apparentemente della banca (un accesso sospetto, un bonifico da autorizzare, un blocco da rimuovere), con un numero verde da chiamare o l’annuncio di una telefonata imminente. Poco dopo squilla il telefono: il numero è quello della banca (spoofing) e un sedicente operatore dell’ufficio antifrode, con tono rassicurante e urgente insieme, spiega che per bloccare l’operazione fraudolenta occorre “confermare” alcuni codici. In realtà quei codici sono le credenziali e i codici usa e getta (OTP) che servono al truffatore, in tempo reale, per accedere all’home banking e disporre bonifici o ricariche verso conti compiacenti.

La vittima crede di difendersi, non di autorizzare: è convinta di collaborare con la banca per fermare una frode, mentre sta involontariamente sbloccando le operazioni del truffatore. Questa è la ragione per cui, sul piano giuridico, il consenso “prestato” non è un vero consenso all’operazione compiuta da chi ha ingannato: manca l’autorizzazione genuina a quel pagamento.

Perché un’operazione confermata dalla vittima resta “non autorizzata”

Risposta diretta. Perché ciò che conta non è che i codici corretti siano stati inseriti, ma se l’utente abbia consapevolmente e validamente autorizzato quella specifica operazione. Un consenso carpito con l’inganno, simulando l’intervento della banca, non è un consenso valido al pagamento che il truffatore poi esegue. L’operazione resta quindi “non autorizzata” ai fini del D.Lgs. 11/2010, con tutte le tutele che ne conseguono.

È un punto che ribalta la percezione comune (“se ho confermato io i codici, la colpa è mia”). La disciplina sui servizi di pagamento distingue nettamente tra l’autorizzazione (il consenso dell’utente all’operazione) e l’autenticazione (la procedura tecnica con cui la banca verifica identità e strumento). Il fatto che l’operazione risulti tecnicamente autenticata, perché sono stati digitati i codici giusti, non dimostra che vi fosse un valido consenso: quei codici possono essere stati estorti. È su questa differenza che si regge l’intero sistema di protezione dell’utente, sviluppato per esteso nella guida alle truffe bancarie e ai pagamenti non autorizzati.

Chi risponde: l’onere della prova e i limiti di colpa grave

Risposta diretta. La cornice è il D.Lgs. 11/2010. L’art. 10 pone sulla banca l’onere di provare che l’operazione era autenticata, correttamente registrata e contabilizzata; la sola registrazione dell’uso dello strumento non è sufficiente a dimostrare l’autorizzazione né la colpa grave del cliente. L’art. 12 consente di addossare la perdita all’utente solo in caso di dolo o colpa grave. Su questi due assi si gioca ogni caso di spoofing e vishing.

L’onere della prova a carico della banca (art. 10)

Quando l’utente disconosce un’operazione, non è lui a dover provare di essere stato truffato: è la banca a dover dimostrare che quel pagamento era genuinamente autorizzato e che i suoi sistemi hanno funzionato. La norma precisa che la registrazione dell’uso dello strumento di pagamento, da sola, non basta a provare né l’autorizzazione né un comportamento fraudolento o gravemente colposo del cliente. Nei casi di spoofing questo principio è decisivo: i log che attestano l’inserimento delle credenziali corrette non dimostrano l’autorizzazione, perché quei dati sono stati carpiti proprio grazie all’inganno.

Che cos’è la “colpa grave” e perché non basta l’ingenuità (art. 12)

L’utente sopporta l’intera perdita solo se ha agito con dolo o con colpa grave. È un punto essenziale: la semplice negligenza o l’ingenuità non bastano. La colpa deve essere grave, cioè una condotta connotata da un’imprudenza marcata, valutata caso per caso in relazione alle circostanze concrete. Un conto è comunicare i codici a chi si sarebbe potuto riconoscere come truffatore per la presenza di segnali evidenti (errori grammaticali marchiani, link palesemente estranei alla banca, richieste manifestamente anomale); un altro conto è cadere in una messinscena curata, con numero clonato e operatore preparato, dove ogni elemento converge a certificare la legittimità della comunicazione. Nel secondo caso la colpa grave, di regola, non ricorre.

La franchigia e il valore del blocco tempestivo

Fino a quando l’utente non ha comunicato lo smarrimento, la sottrazione o l’uso indebito dello strumento, la sua eventuale responsabilità per l’uso non autorizzato è comunque contenuta entro una franchigia massima di 50 euro, che non si applica in vari casi (perdita non rilevabile prima del pagamento, atti od omissioni della banca, mancata richiesta dell’autenticazione forte quando dovuta). Dopo la comunicazione del blocco, poi, salvo dolo, l’utente non sopporta più alcuna perdita. Ecco perché bloccare e denunciare subito è non solo prudente, ma giuridicamente rilevante.

Che cosa dicono la Cassazione e l’ABF su spoofing e vishing

Risposta diretta. L’orientamento è sempre più favorevole all’utente. La Cassazione inquadra la frode informatica come rischio d’impresa del prestatore di servizi di pagamento, che deve provare di aver adottato misure di sicurezza adeguate. L’Arbitro Bancario Finanziario, in molte decisioni su spoofing e vishing, esclude la colpa grave del cliente quando il messaggio o la chiamata non presentavano evidenti indici di anomalia, e riconosce spesso un concorso di colpa, imputando alla banca una parte della perdita per le carenze dei suoi sistemi.

L’orientamento della Cassazione: la frode come rischio d’impresa

Con la sentenza Cass. n. 3780 del 2024 la Corte ha affermato che la possibilità di sottrazione fraudolenta delle credenziali rientra nel rischio d’impresa della banca: per liberarsi da responsabilità l’istituto deve dimostrare di aver adottato soluzioni idonee a prevenire o ridurre l’uso fraudolento dei sistemi, con una diligenza parametrata a quella di un operatore professionale qualificato. Sulla stessa linea l’ordinanza Cass. n. 23683 del 4 settembre 2024, secondo cui la diligenza della banca copre le operazioni riconducibili alla sua sfera di controllo tecnico, sulla base di un giudizio di prevedibilità ed evitabilità. In questa cornice, l’aver confermato i codici dopo un inganno sofisticato non integra, di per sé, quella colpa grave che sola giustifica il diniego del rimborso.

Le decisioni dell’ABF: quando scatta il concorso di colpa

Il terreno delle decisioni dell’Arbitro Bancario Finanziario è particolarmente ricco proprio sullo spoofing telefonico e sul vishing. Un principio ricorrente è che l’assenza di segnali di allarme evidenti nel messaggio o nella chiamata, unita all’inserimento del contenuto fraudolento nello stesso filo dei messaggi autentici della banca (sms spoofing), rende l’inganno insidioso ed esclude la colpa grave della vittima. Da qui, in molti casi, non un rigetto ma una ripartizione della responsabilità: la banca, per le debolezze dei propri sistemi di protezione (difese insufficienti contro lo spoofing del mittente, controlli inadeguati sull’inserimento di messaggi nei thread legittimi), contribuisce causalmente alla truffa e deve rimborsare una quota della somma.

In questa direzione si collocano, ad esempio, la decisione ABF Roma n. 6024 del 20 giugno 2025 — che, escludendo l’esclusiva colpa grave del cliente e riconoscendo un “rilevante contributo” della banca, ha affermato la sua corresponsabilità — e la decisione ABF n. 2063 del 16 febbraio 2024, che, pur rimarcando la necessità per il cliente di cogliere eventuali indici di sospetto, ha applicato il concorso di colpa con il rimborso di una parte della perdita. Sono pronunce che vanno lette per il principio che esprimono, restando inteso che ogni caso ha una sua fisionomia e che l’esito dipende dalle circostanze concrete: la sofisticazione della truffa, la presenza o meno di anomalie riconoscibili, la prontezza della reazione dell’utente e le misure di sicurezza offerte dalla banca.

La valutazione è sempre in concreto

Il messaggio complessivo è equilibrato. Il cliente deve fare la sua parte: custodire i codici, diffidare delle richieste di comunicarli (nessuna banca chiede al telefono i codici usa e getta), reagire in fretta. Ma il sistema non lo lascia solo davanti a frodi costruite per ingannare anche l’utente attento. La linea di confine tra colpa lieve (che non esclude il rimborso) e colpa grave (che lo esclude) si traccia guardando a quanto era riconoscibile l’inganno: più la messinscena era sofisticata e priva di anomalie, più la posizione dell’utente è solida.

Cosa fare subito se si è caduti nella trappola

Risposta diretta. La reazione tempestiva è il primo strumento di tutela. In sequenza: bloccare subito la carta e l’accesso all’home banking tramite i canali ufficiali e cambiare le credenziali; inviare alla banca il disconoscimento delle operazioni e un reclamo scritto; presentare denuncia alle autorità; conservare ogni prova. Più si è rapidi e documentati, più solida è la posizione.

Bloccare e mettere in sicurezza il conto

Il primo gesto è interrompere l’emorragia: bloccare la carta e l’accesso all’home banking attraverso i canali ufficiali della banca (non richiamando il numero della telefonata sospetta) e cambiare le password. La comunicazione del blocco ha un valore giuridico preciso: da quel momento, salvo dolo, l’utente non sopporta più alcuna perdita per le operazioni successive. Se è stata coinvolta anche la SIM o si sospetta un abbinamento con altre frodi, conviene avvertire pure l’operatore telefonico.

Disconoscere, reclamare e denunciare

Occorre poi disconoscere formalmente le operazioni contestate e presentare un reclamo scritto alla banca, descrivendo con precisione l’accaduto (numero da cui è arrivata la chiamata o l’sms, orari, contenuto della conversazione) e chiedendo il rimborso ai sensi del D.Lgs. 11/2010. È bene usare strumenti che diano prova della data e della ricezione (PEC, raccomandata). La denuncia alla Polizia Postale o ai Carabinieri, oltre a essere spesso necessaria, documenta l’estraneità e la diligenza dell’utente.

Conservare le prove giuste

Nelle truffe telefoniche le prove fanno la differenza. Vanno conservati il numero chiamante e quello del mittente degli sms, gli screenshot dei messaggi (che mostrano l’inserimento nel filo dei messaggi autentici), la cronologia delle chiamate, gli estratti conto con le operazioni contestate, ogni comunicazione ricevuta. Questo materiale è decisivo per dimostrare la sofisticazione dell’inganno e l’assenza di anomalie riconoscibili, cioè proprio gli elementi su cui si gioca l’esclusione della colpa grave.

Come ottenere il rimborso: reclamo, ABF, giudice

Risposta diretta. Se dopo il reclamo la banca nega il rimborso o non risponde, il percorso è graduale: si può presentare ricorso all’Arbitro Bancario Finanziario (ABF), sistema di risoluzione stragiudiziale rapido ed economico, oppure agire davanti al giudice ordinario. La scelta dipende dall’importo, dalla complessità e dall’eventuale necessità di accertamenti tecnici.

Il reclamo alla banca

È la tappa preliminare quasi sempre necessaria. Il reclamo va indirizzato all’ufficio competente della banca, che deve fornire una risposta motivata entro i termini fissati dalla normativa di trasparenza. Già in questa fase è utile impostare correttamente la vicenda in termini giuridici, richiamando l’onere della prova a carico della banca (art. 10) e i limiti della colpa grave (art. 12), e allegando la denuncia e le prove raccolte. Una risposta negativa o il silenzio aprono la strada agli strumenti successivi.

Il ricorso all’Arbitro Bancario Finanziario

L’ABF è un organismo di risoluzione stragiudiziale istituito presso la Banca d’Italia: decide le controversie tra clienti e intermediari in tempi contenuti e con costi ridotti, sulla base della documentazione. Sui casi di spoofing e vishing ha maturato, come si è visto, un orientamento articolato e spesso favorevole all’utente, con frequenti pronunce di concorso di colpa. È spesso la via di elezione per le controversie su pagamenti non autorizzati di importo non elevatissimo. Regole e presupposti sono approfonditi nella guida al contenzioso bancario per privati e imprese.

L’azione davanti al giudice

Quando l’importo è rilevante, la questione è complessa o servono accertamenti tecnici, la strada è quella del giudice ordinario, che consente un accertamento pieno, con l’assunzione delle prove e, se del caso, una consulenza tecnica sui profili informatici. Anche qui il perno resta l’onere della prova: sarà la banca a dover dimostrare l’autorizzazione e la propria diligenza, mentre l’utente dovrà far emergere l’assenza di dolo e di colpa grave. La scelta del rimedio più adatto va calibrata sul singolo caso.

Un rischio collaterale: segnalazioni e scoperti

Chi subisce una frode può trovarsi esposto a un secondo problema: la contestazione di scoperti o l’iscrizione in banche dati (come la Centrale Rischi) a causa di somme movimentate a sua insaputa. Anche su questo fronte esistono tutele, perché una segnalazione fondata su operazioni disconosciute e non imputabili all’utente può rivelarsi illegittima. Il tema è trattato nell’articolo sulla segnalazione illegittima in Centrale Rischi e come difendersi.

Domande frequenti (FAQ)

Il numero era identico a quello della mia banca: come è possibile?

È la tecnica dello spoofing: i truffatori falsificano il numero chiamante o il mittente degli sms, che appare identico a quello ufficiale; nel caso degli sms, il messaggio si inserisce spesso nello stesso filo di quelli autentici. Chi riceve la comunicazione non ha, di norma, modo tecnico di accorgersene. Il vishing è il finto operatore che, allarmando la vittima, si fa confermare i codici. Proprio questa sofisticazione tende a escludere la colpa grave.

Ho confermato io i codici al finto operatore: perdo il diritto al rimborso?

Non automaticamente. Aver confermato i codici durante una telefonata truffaldina non equivale, di per sé, a colpa grave. Vale il D.Lgs. 11/2010, che pone l’onere della prova sulla banca (art. 10) e limita la responsabilità dell’utente ai casi di dolo o colpa grave (art. 12). La Cassazione (n. 3780/2024 e n. 23683/2024) tratta la frode informatica come rischio d’impresa della banca; l’ABF, su spoofing e vishing, esclude spesso la colpa grave e riconosce un concorso di colpa.

Che cos’è il concorso di colpa e come incide sul rimborso?

È la ripartizione della responsabilità tra banca e cliente quando la truffa è insidiosa ma emergono rilievi da entrambe le parti. In varie decisioni su spoofing e vishing (ad esempio ABF Roma n. 6024/2025 e ABF n. 2063/2024) l’Arbitro ha riconosciuto un contributo causale della banca per le carenze dei suoi sistemi e una condotta non gravemente colposa dell’utente, disponendo il rimborso di una quota della perdita (spesso la metà). Il concorso di colpa non toglie il diritto al rimborso: ne modula l’entità.

Quali prove devo conservare?

Il numero da cui è arrivata la chiamata o l’sms, gli screenshot dei messaggi (che mostrano l’inserimento nel filo dei messaggi autentici), la cronologia delle chiamate, gli estratti conto con le operazioni contestate e ogni comunicazione ricevuta. Questi elementi servono a dimostrare la sofisticazione dell’inganno e l’assenza di anomalie riconoscibili, cioè ciò su cui si valuta la colpa grave.

La banca può chiedermi al telefono i codici usa e getta?

No. Nessuna banca chiede, per telefono o via sms, di comunicare o “confermare” le credenziali o i codici usa e getta per bloccare una frode. Una richiesta del genere è essa stessa il segnale della truffa. In caso di dubbio, riagganciare e contattare la banca ai recapiti ufficiali presi in autonomia, non richiamando il numero della telefonata sospetta.

Entro quando devo muovermi?

Il prima possibile. Al di là dei termini per il disconoscimento e il reclamo previsti dai contratti e dalla normativa, la tempestività del blocco e della denuncia incide sulla ripartizione delle perdite e sulla solidità della posizione. Conservare da subito ogni prova è essenziale.

Letture consigliate

• Truffe bancarie e pagamenti non autorizzati: la guida completa al rimborso
• Phishing e frodi bancarie: quando la banca deve rimborsare
• Contenzioso bancario: la guida completa per privati e imprese
• Segnalazione illegittima in Centrale Rischi: come difendersi

---

Contenuto informativo, aggiornato a luglio 2026. Non costituisce parere legale: ogni situazione presenta specificità che vanno esaminate nel concreto. Per una valutazione del proprio caso è possibile richiedere un appuntamento con lo Studio Legale Mondello. Guida aggiornata a luglio 2026.

Questo articolo è stato redatto con l’ausilio di un sistema di intelligenza artificiale. Segnalazioni: info@studiolegalemondello.it