Truffe bancarie e pagamenti non autorizzati: la guida completa al rimborso

10
Lug

Truffe bancarie e pagamenti non autorizzati: la guida completa al rimborso

In sintesi. Una telefonata che sembra della banca, un sms nello stesso filo di quelli veri, un link che porta a un sito identico a quello ufficiale: bastano pochi minuti perche’ dal conto spariscano somme anche ingenti. Di fronte a una truffa bancaria la reazione istintiva e’ pensare di aver perso tutto per colpa propria. Non e’ cosi’. Per le operazioni di pagamento non autorizzate vale una disciplina di derivazione europea, il D.Lgs. 11/2010 (che ha recepito le direttive sui servizi di pagamento, PSD e poi PSD2), fortemente orientata a proteggere l’utente. Tre sono i cardini. Primo: appena il cliente disconosce un’operazione non autorizzata, la banca deve rimborsare l’importo, di regola entro la fine della giornata operativa successiva a quella in cui ne ha avuto notizia, salvo un giustificato sospetto di frode comunicato all’autorita’ (art. 11). Secondo: l’onere della prova e’ della banca, che deve dimostrare che l’operazione era stata autenticata e correttamente registrata; la sola registrazione dell’uso dello strumento non basta (art. 10). Terzo: la banca puo’ porre la perdita a carico dell’utente solo se prova il suo dolo o la sua colpa grave (art. 12), con una franchigia contenuta prima del blocco. La giurisprudenza di legittimita’ piu’ recente (tra cui Cass. n. 3780/2024 e Cass. n. 23683/2024) tratta la frode informatica come rischio d’impresa del prestatore di servizi di pagamento. Questa guida-ombrello ricostruisce il quadro, passa in rassegna le truffe piu’ diffuse e indica cosa fare e come chiedere il rimborso.

Che cosa si intende per pagamento non autorizzato?

Risposta diretta. E’ un’operazione (un prelievo, un bonifico, un pagamento con carta, un addebito) che viene addebitata sul conto del cliente senza il suo valido consenso. Non conta che i codici corretti siano stati inseriti: cio’ che rileva e’ se l’utente abbia effettivamente e consapevolmente autorizzato quella specifica operazione. Quando manca un’autorizzazione genuina, l’operazione e’ non autorizzata e scattano le tutele del D.Lgs. 11/2010.

La distinzione e’ piu’ sottile di quanto sembri. Nel gergo comune si parla di “truffa”, ma sul piano giuridico il punto e’ l’assenza di consenso a quel pagamento. Un consenso estorto con l’inganno, carpito attraverso un sito clonato o simulando l’intervento della banca, non e’ un consenso valido all’operazione compiuta dal truffatore. Ecco perche’ anche quando e’ materialmente l’utente a digitare le credenziali o a confermare un codice, indotto in errore, l’operazione che ne deriva puo’ restare “non autorizzata” ai fini della disciplina di legge. E’ un principio che ribalta la percezione comune, secondo cui “se ho inserito io i codici, la colpa e’ mia”.

Autorizzazione, autenticazione e “autenticazione forte”

Tre termini vanno tenuti distinti. L’autorizzazione e’ il consenso dell’utente a una determinata operazione. L’autenticazione e’ la procedura tecnica con cui la banca verifica l’identita’ dell’utente e la validita’ dello strumento (credenziali, codici, dispositivi). L’autenticazione forte del cliente (la cosiddetta SCA, introdotta dalla PSD2) e’ una verifica basata su almeno due elementi indipendenti tra loro appartenenti alle categorie della conoscenza (qualcosa che solo l’utente sa), del possesso (qualcosa che solo l’utente ha) e dell’inerenza (qualcosa che caratterizza l’utente). L’assenza di un’autenticazione forte, quando dovuta, pesa a sfavore della banca nel giudizio sul rimborso.

Chi risponde di un pagamento non autorizzato: il D.Lgs. 11/2010

Risposta diretta. La cornice e’ il D.Lgs. 11/2010, attuativo delle direttive europee sui servizi di pagamento (la PSD del 2007 e la PSD2 del 2015, recepita in Italia con il D.Lgs. 218/2017). E’ una disciplina speciale, distinta dalle regole generali sull’inadempimento, costruita per ripartire il rischio delle frodi in modo favorevole all’utente e per garantire un rimborso rapido, salvo i casi di dolo o colpa grave provati dalla banca.

Il legislatore europeo e’ partito da una considerazione pratica: i sistemi di pagamento elettronici sono progettati, gestiti e messi in sicurezza dalla banca, non dal cliente. E’ la banca a scegliere le tecnologie, a definire le procedure di autenticazione, a intercettare (o non intercettare) le operazioni anomale. Da qui la scelta di far gravare su di essa il rischio delle frodi, salvo che riesca a dimostrare un comportamento gravemente scorretto dell’utente. Questa impostazione attraversa tutti gli articoli chiave del decreto.

L’onere della prova a carico della banca (art. 10)

E’ il fulcro dell’intero sistema. L’art. 10 stabilisce che, quando l’utente nega di aver autorizzato un’operazione gia’ eseguita, oppure sostiene che questa non e’ stata correttamente eseguita, spetta alla banca provare che l’operazione era stata autenticata, correttamente registrata e contabilizzata e non ha subito le conseguenze di guasti o altri inconvenienti. La norma aggiunge un passaggio decisivo: la registrazione dell’uso dello strumento di pagamento, da sola, non e’ necessariamente sufficiente a dimostrare ne’ che l’operazione fosse autorizzata, ne’ che l’utente abbia agito in modo fraudolento o con colpa grave.

Il significato pratico e’ netto. Non e’ il cliente a dover provare di essere vittima di una truffa: e’ la banca a dover dimostrare che quel pagamento era genuinamente autorizzato e che i suoi sistemi hanno funzionato. Come ha chiarito la giurisprudenza di merito e di legittimita’, la mera esibizione dei log tecnici che attestano l’inserimento delle credenziali corrette non e’ prova dell’autorizzazione, perche’ quei dati possono essere stati carpiti dal truffatore. Il tema, con i suoi risvolti probatori, e’ sviluppato nell’approfondimento dedicato a phishing e frodi bancarie e a quando la banca deve rimborsare.

Il rimborso “immediato” (art. 11)

L’art. 11 disegna un meccanismo di rimborso rapido. Appena l’utente comunica di aver subito un’operazione non autorizzata, la banca deve rimborsargli l’importo, di regola entro la fine della giornata operativa successiva a quella in cui ha avuto conoscenza dell’operazione o ne ha ricevuto comunicazione, riportando il conto nello stato in cui si sarebbe trovato se il pagamento non fosse avvenuto. Questo obbligo puo’ essere sospeso soltanto in presenza di un giustificato motivo di sospetto di frode riferibile all’utente, e a condizione che la banca comunichi tale sospetto alla Banca d’Italia.

E’ un rimborso che la legge configura come un ripristino tendenzialmente immediato, non subordinato a una preventiva indagine sulla colpa. La verifica sull’eventuale dolo o colpa grave dell’utente viene, in linea di principio, dopo: la banca prima ricostituisce la provvista, poi, se ritiene di avere elementi, agisce per il recupero. E’ un’inversione logica importante, che la giurisprudenza recente ha valorizzato affermando che l’obbligo di rimborso non puo’ essere aggirato con una valutazione preventiva e unilaterale del comportamento del cliente.

I limiti: dolo e colpa grave dell’utente (art. 12)

Il sistema non e’ a senso unico. L’art. 12 individua i casi in cui la perdita puo’ restare, in tutto o in parte, a carico dell’utente. In generale, fino al momento in cui non ha comunicato lo smarrimento, la sottrazione o l’uso indebito dello strumento, l’utente puo’ sopportare la perdita derivante dall’uso non autorizzato, ma entro un limite massimo di 50 euro (franchigia ridotta dalla PSD2 rispetto ai precedenti 150 euro). Questa franchigia non si applica quando la perdita non era rilevabile dall’utente prima del pagamento, quando e’ stata causata da atti o omissioni della banca o dei suoi dipendenti, oppure quando la banca non ha preteso l’autenticazione forte del cliente pur essendo dovuta.

Al di la’ della franchigia, l’utente sopporta tutte le perdite solo se ha agito in modo fraudolento (dolo) o se non ha adempiuto agli obblighi di custodia e uso corretto dello strumento con colpa grave. E’ un punto essenziale: la semplice negligenza o l’ingenuita’ non bastano. Occorre una colpa grave, cioe’ una condotta gravemente imprudente, valutata caso per caso. Dopo la comunicazione del blocco, poi, l’utente non sopporta alcuna conseguenza economica, salvo che abbia agito con dolo. La tempestivita’ del blocco e della denuncia, dunque, e’ un elemento che gioca a favore del cliente.

Le truffe piu’ frequenti: una panoramica

Risposta diretta. Le tecniche cambiano, ma il risultato e’ sempre lo stesso: un’operazione addebitata senza un valido consenso. Conoscere i meccanismi aiuta a inquadrare la propria vicenda e a capire dove si annidano le responsabilita’ della banca. Le forme piu’ diffuse sono il phishing, lo spoofing/vishing, il SIM swap, l’intercettazione dei bonifici su email compromesse e la clonazione delle carte.

Phishing

Il phishing e’ l’inganno che si consuma tramite email, sms (in questo caso si parla di smishing) o messaggi che imitano le comunicazioni ufficiali della banca e inducono a cliccare su un link e a inserire le proprie credenziali in un sito clonato. Il truffatore raccoglie cosi’ username, password e codici, con cui accede al conto e dispone i pagamenti. E’ la frode “storica”, ma le pagine clone sono oggi curatissime e i messaggi si inseriscono nei fili di conversazione autentici. Il quadro dei rimedi e’ trattato nell’articolo su phishing e frodi bancarie: quando la banca deve rimborsare.

Spoofing e vishing: il finto operatore

Nello spoofing telefonico il truffatore falsifica il numero chiamante, che sul display appare identico a quello ufficiale della banca; nel vishing (voice phishing) un finto operatore, spesso allarmando la vittima con la storia di un accesso sospetto da bloccare, si fa dettare o confermare i codici usa e getta necessari ad autorizzare le operazioni. La combinazione delle due tecniche e’ particolarmente insidiosa, perche’ la vittima crede di parlare davvero con la propria banca. Proprio per questo la giurisprudenza tende a escludere la colpa grave quando l’inganno e’ oggettivamente sofisticato.

SIM swap

Il SIM swap e’ il “furto” del numero di telefono: il truffatore, con documenti falsi o dati carpiti, ottiene dall’operatore telefonico una nuova SIM con lo stesso numero della vittima e, cosi’, intercetta i codici di conferma inviati via sms. Da quel momento puo’ superare l’autenticazione e disporre pagamenti. E’ una frode in cui spesso concorrono responsabilita’ della catena telefonica e bancaria, e in cui l’improvvisa perdita di segnale sul proprio telefono e’ il primo campanello d’allarme.

Bonifico intercettato ed email compromessa

Nella frode nota come man in the middle o business email compromise, il truffatore si inserisce in uno scambio di email tra due parti (tipicamente in una compravendita o in un rapporto commerciale) e sostituisce l’IBAN del beneficiario con il proprio, cosi’ che il pagamento finisca sul suo conto. Chi paga crede di saldare il fornitore corretto. Qui il tema della ripartizione delle responsabilita’ e’ particolarmente delicato e coinvolge anche gli obblighi di verifica sulla corrispondenza tra IBAN e intestatario.

Carta clonata e pagamenti non autorizzati

La clonazione della carta consente pagamenti o prelievi a insaputa del titolare, sia con carte fisiche compromesse presso apparecchi manomessi, sia con i soli dati della carta utilizzati per acquisti online. Il titolare che si veda addebitare operazioni mai effettuate ha diritto a disconoscerle e, in mancanza di dolo o colpa grave provati dalla banca, al rimborso secondo le regole viste.

Che cosa dice la giurisprudenza

Risposta diretta. L’orientamento si e’ evoluto in senso sempre piu’ favorevole all’utente. Se in passato alcune pronunce escludevano la responsabilita’ della banca dotata di sistemi di sicurezza certificati, addossando al cliente incauto le conseguenze del phishing, la Cassazione piu’ recente inquadra la frode informatica come rischio d’impresa del prestatore di servizi di pagamento, che deve provare di aver adottato misure adeguate e che la condotta dell’utente si e’ collocata oltre la sua sfera di controllo.

Dall’orientamento piu’ severo…

Un precedente dell’orientamento piu’ severo e’ l’ordinanza Cass. n. 7214 del 13 marzo 2023, che ha confermato l’esclusione della responsabilita’ della banca in un caso in cui i clienti avevano digitato utenza, password e codici su una email fraudolenta: una condotta ritenuta gravemente negligente e idonea a interrompere il nesso causale. E’ l’impostazione che pone l’accento sulla condotta imprudente dell’utente.

…a quello piu’ garantista per l’utente

Il baricentro si e’ poi spostato. Con la sentenza Cass. n. 3780 del 2024 la Corte ha affermato che la possibilita’ di sottrazione fraudolenta delle credenziali rientra nel rischio d’impresa della banca: per liberarsi da responsabilita’ l’istituto deve dimostrare di aver adottato soluzioni idonee a prevenire o ridurre l’uso fraudolento dei sistemi (ad esempio alert per ogni operazione), e la sua diligenza va parametrata a un operatore professionale qualificato. Sulla stessa linea l’ordinanza Cass. n. 23683 del 4 settembre 2024, secondo cui la diligenza della banca copre le operazioni riconducibili alla sua sfera di controllo tecnico, sulla base di una valutazione di prevedibilita’ ed evitabilita’: per esonerare la banca, la cui responsabilita’ contrattuale e’ presunta, la condotta deve porsi al di la’ delle possibilita’ esigibili di quel controllo. In questa cornice, l’aver inserito le credenziali dopo un inganno sofisticato non integra, di per se’, quella colpa grave che sola giustifica il diniego del rimborso.

Il messaggio che se ne ricava e’ equilibrato: il cliente deve fare la sua parte (custodire i codici, non comunicarli, reagire in fretta), ma il sistema non lo lascia solo di fronte a truffe costruite per ingannare anche l’utente attento.

Cosa fare subito se si scopre un’operazione non autorizzata

Risposta diretta. La reazione tempestiva e’ il primo strumento di tutela. In sequenza: bloccare subito lo strumento (carta, home banking) e cambiare le credenziali; inviare alla banca il disconoscimento dell’operazione e un reclamo scritto; presentare denuncia alle autorita’; conservare ogni prova (sms, email, screenshot, estratti conto, cronologia dei contatti). Piu’ si e’ rapidi e documentati, piu’ solida e’ la posizione.

Bloccare e mettere in sicurezza

Il primo gesto e’ interrompere l’emorragia: bloccare la carta e l’accesso all’home banking attraverso i canali ufficiali della banca, cambiare le password e, in caso di sospetto SIM swap, contattare anche l’operatore telefonico. La comunicazione del blocco ha un valore giuridico preciso: da quel momento, salvo dolo, l’utente non sopporta piu’ alcuna perdita per le operazioni successive.

Disconoscere e reclamare per iscritto

Occorre poi disconoscere formalmente le operazioni contestate e presentare un reclamo scritto alla banca, descrivendo con precisione l’accaduto e chiedendo il rimborso ai sensi del D.Lgs. 11/2010. La banca e’ tenuta a rispondere entro i termini previsti dalla disciplina sui reclami. E’ bene inviare le comunicazioni con strumenti che diano prova della data e della ricezione (PEC, raccomandata).

Denunciare e conservare le prove

La denuncia all’autorita’ (Polizia Postale, Carabinieri) non solo e’ spesso necessaria, ma rafforza la posizione dell’utente, documentando la sua estraneita’ e la sua diligenza. Vanno conservati tutti gli elementi utili: i messaggi e le email ingannevoli, i numeri da cui provenivano le chiamate, gli screenshot, gli estratti conto con le operazioni contestate, l’eventuale segnalazione del cambio SIM. Questo materiale sara’ decisivo in sede di reclamo, davanti all’ABF o al giudice.

Come ottenere il rimborso: reclamo, ABF, giudice

Risposta diretta. Se la banca nega il rimborso o non risponde, il percorso e’ graduale. Dopo il reclamo, si puo’ presentare ricorso all’Arbitro Bancario Finanziario (ABF), sistema di risoluzione stragiudiziale delle controversie rapido ed economico, oppure agire davanti al giudice ordinario. La scelta dipende dall’importo, dalla complessita’ e dall’eventuale necessita’ di accertamenti tecnici.

Il reclamo alla banca

E’ la tappa preliminare quasi sempre necessaria. Il reclamo va indirizzato all’ufficio competente della banca, che deve fornire una risposta motivata entro i termini fissati dalla normativa di trasparenza. Una risposta negativa o il silenzio aprono la strada agli strumenti successivi. Gia’ in questa fase e’ utile impostare correttamente la vicenda in termini giuridici, richiamando l’onere della prova a carico della banca e i limiti della colpa grave.

Il ricorso all’Arbitro Bancario Finanziario

L’ABF e’ un organismo di risoluzione stragiudiziale istituito presso la Banca d’Italia: decide le controversie tra clienti e intermediari in tempi contenuti e con costi ridotti, sulla base della documentazione. Non emette sentenze vincolanti come un giudice, ma le sue decisioni hanno un’elevata autorevolezza e gli intermediari vi si adeguano nella grande maggioranza dei casi. E’ spesso la via di elezione per le controversie su pagamenti non autorizzati di importo non elevatissimo. Le regole e i presupposti sono approfonditi nella guida al contenzioso bancario per privati e imprese.

L’azione davanti al giudice

Quando l’importo e’ rilevante, la questione e’ complessa o servono accertamenti tecnici, la strada e’ quella del giudice ordinario. Il giudizio consente un accertamento pieno, con l’assunzione delle prove e, se del caso, una consulenza tecnica sui profili informatici. Anche qui il perno resta l’onere della prova: sara’ la banca a dover dimostrare l’autorizzazione e la propria diligenza, mentre l’utente dovra’ far emergere l’assenza di dolo e di colpa grave. La valutazione sulla scelta del rimedio piu’ adatto va fatta caso per caso.

Frodi bancarie e segnalazioni: un rischio collaterale

Chi subisce una frode puo’ trovarsi esposto a un secondo problema: la contestazione di scoperti o l’iscrizione in banche dati (come la Centrale Rischi) a causa di somme “movimentate” a sua insaputa. Anche su questo fronte esistono tutele, perche’ una segnalazione fondata su operazioni disconosciute e non imputabili all’utente puo’ rivelarsi illegittima. Il tema e’ trattato nell’articolo sulla segnalazione illegittima in Centrale Rischi e come difendersi.

Domande frequenti (FAQ)

Ho subito un pagamento non autorizzato: la banca deve rimborsarmi?

Di regola si’. L’art. 11 del D.Lgs. 11/2010 impone alla banca di rimborsare l’importo dell’operazione non autorizzata, di regola entro la fine della giornata operativa successiva a quella in cui ne ha avuto notizia, salvo un giustificato sospetto di frode dell’utente comunicato alla Banca d’Italia. La banca puo’ rifiutare o recuperare il rimborso solo provando il dolo o la colpa grave dell’utente.

Su chi grava l’onere della prova?

Sulla banca. L’art. 10 del D.Lgs. 11/2010 le impone di provare che l’operazione era autenticata, correttamente registrata e contabilizzata; la sola registrazione dell’uso dello strumento non basta a dimostrare l’autorizzazione ne’ la colpa grave del cliente.

Se ho inserito io i codici perche’ ingannato perdo il rimborso?

Non automaticamente. Aver digitato le credenziali dopo un inganno non equivale a colpa grave. La Cassazione piu’ recente (n. 3780/2024 e n. 23683/2024) tratta la frode informatica come rischio d’impresa della banca e valuta la colpa grave in concreto, tenendo conto di quanto era sofisticato l’inganno.

Quanto rischio di perdere se agisco in fretta?

Fino alla comunicazione del blocco, l’eventuale responsabilita’ per l’uso non autorizzato e’ contenuta entro una franchigia massima di 50 euro, che pero’ non si applica in vari casi (perdita non rilevabile, mancata autenticazione forte, atti della banca). Dopo il blocco, salvo dolo, non si sopporta alcuna perdita. Ecco perche’ bloccare e denunciare subito e’ cosi’ importante.

Conviene di piu’ l’ABF o il giudice?

Dipende. L’ABF e’ rapido, economico e adatto a molte controversie su pagamenti non autorizzati; il giudice consente un accertamento pieno, utile per importi elevati o questioni tecniche complesse. La scelta va calibrata sul singolo caso.

Entro quando devo muovermi?

Il prima possibile. Al di la’ dei termini per il disconoscimento e il reclamo previsti dai contratti e dalla normativa, la tempestivita’ del blocco e della denuncia incide sulla ripartizione delle perdite e sulla solidita’ della posizione. Conservare da subito ogni prova e’ essenziale.

Letture consigliate

Contenuto informativo, aggiornato a luglio 2026. Non costituisce parere legale: ogni situazione presenta specificita’ che vanno esaminate nel concreto. Per una valutazione del proprio caso e’ possibile richiedere un appuntamento con lo Studio Legale Mondello. Guida aggiornata a luglio 2026.

Questo articolo è stato redatto con l’ausilio di un sistema di intelligenza artificiale. Segnalazioni: info@studiolegalemondello.it


Guide collegate per materia

Questa guida è il punto di partenza dell’argomento. Di seguito gli approfondimenti dedicati alle situazioni più frequenti.

Le truffe più frequenti

Come farsi rimborsare

Richiedi assistenza allo Studio

Ogni caso è diverso. Se la questione ti riguarda da vicino, lo Studio può esaminare la tua situazione e indicarti come muoverti.

⚖️ Richiedi assistenza allo Studio