Conto svuotato da phishing, smishing o vishing: quando la banca deve rimborsare

Un SMS comparso nella conversazione della banca, una telefonata dal “servizio antifrode”, un link che apre un sito identico a quello vero. Chi subisce operazioni che non ha disposto ha diritto al riaccredito, salvo che la banca provi la sua colpa grave. Tempi, passaggi e casi in cui il rimborso non spetta. Assistenza in tutta Italia, da remoto.

Chi trova sul conto bonifici, ricariche o pagamenti che non ha mai disposto deve chiedere il riaccredito alla propria banca, non rincorrere il truffatore. La legge impone alla banca di rimborsare l’operazione non autorizzata immediatamente e comunque entro la fine della giornata operativa successiva alla segnalazione (art. 11 D.Lgs. 11/2010). Il rifiuto è legittimo solo se la banca prova due cose: che l’operazione è stata autenticata, registrata e contabilizzata correttamente (art. 10) e che il cliente ha agito con dolo o colpa grave (art. 12). Non è il cliente a dover dimostrare di essere stato attento. Il rimborso però non è automatico: nel 2025 metà dei ricorsi all’Arbitro Bancario Finanziario in materia di frodi è stata respinta, quasi sempre perché il cliente aveva consegnato lui stesso i codici di conferma. Sapere da che parte si sta, prima di scrivere alla banca, evita mesi persi e un rifiuto motivato che poi pesa.

Se la vittima è un’impresa o un professionista, con un bonifico dirottato o una fattura con IBAN sostituito, la pagina dedicata è quella sulle frodi nei pagamenti alle imprese.

Che cosa deve provare la banca

L’onere è invertito rispetto a una causa ordinaria. Se il cliente nega di aver autorizzato l’operazione, è la banca a dover documentare che è passata dall’autenticazione forte, cioè da almeno due fattori indipendenti tra password, dispositivo e dato biometrico (art. 10-bis D.Lgs. 11/2010), e che i sistemi non hanno avuto anomalie. Il solo fatto che siano stati usati i codici del cliente non basta, da solo, a dimostrare che l’operazione sia stata autorizzata o che vi sia stata colpa grave (art. 10, co. 2): il Collegio di coordinamento dell’ABF, con la decisione n. 22745 del 10 ottobre 2019, ha chiarito che la prova della regolarità formale dell’operazione non soddisfa l’onere della banca, che deve indicare gli elementi di fatto da cui emerge la negligenza del cliente. Se l’autenticazione forte non è stata richiesta, il cliente non sopporta alcuna perdita, salvo che abbia agito in modo fraudolento (art. 12, co. 2-bis). Solo dopo aver superato questa prova la banca può discutere della condotta del cliente. La franchigia di 50 euro riguarda soltanto il furto o lo smarrimento della carta o del dispositivo, non il phishing.

Quando il rimborso spetta: i casi tipici

• SMS nella conversazione della banca (spoofing). Il messaggio truffa compare nello stesso thread dei messaggi autentici, con lo stesso mittente. I Collegi dell’ABF hanno più volte escluso la colpa grave del cliente, perché l’inganno sfrutta proprio il canale che la banca stessa usa per comunicare.
• Telefonata dal numero della banca (vishing con numero clonato). L’operatore chiama dal numero del servizio clienti stampato sulla carta, conosce nome e ultime operazioni, chiede di “bloccare” un pagamento sospetto. Vale lo stesso ragionamento, con un’attenzione in più ai messaggi di conferma ricevuti durante la chiamata.
• Operazioni eseguite senza autenticazione forte o con l’autenticazione aggirata. Nuovo dispositivo associato al conto senza verifica adeguata, SIM sostituita presso l’operatore telefonico, token attivato a distanza: qui la contestazione riguarda i sistemi della banca, non la condotta del cliente.
• Operazioni anomale non bloccate. Più bonifici in pochi minuti verso beneficiari mai usati, importi fuori scala, orari notturni, ricariche ripetute di carte prepagate: i sistemi di monitoraggio delle banche esistono per questo, e l’assenza di qualsiasi blocco o avviso è un argomento autonomo.

Quando invece il rimborso non si ottiene

Va detto con la stessa chiarezza. Se la banca prova che l’operazione è passata dall’autenticazione forte e che il messaggio di conferma indicava in modo leggibile importo e beneficiario, e il cliente ha comunque digitato o dettato il codice, i Collegi ABF e i tribunali riconoscono la colpa grave. La Cassazione ha escluso la responsabilità della banca nel caso di credenziali inserite su un sito clone raggiunto da un link (Cass. civ., sez. I, ord. 13 marzo 2023, n. 7214). Lo stesso accade quando la segnalazione alla banca arriva settimane dopo la scoperta, o quando le operazioni contestate sono in realtà bonifici disposti dal cliente di propria mano a un sedicente consulente, a un finto corriere o a una piattaforma di investimento: in quel caso l’operazione è autorizzata e il rimborso segue regole diverse, più strette. In questi casi lo studio lo dice nella prima valutazione, prima che il cliente spenda altro.

Cosa cambia con la sentenza della Corte di giustizia del 15 ottobre 2026

La Corte di giustizia dell’Unione europea, nella causa C-70/25, ha stabilito che la banca non può rifiutare il rimborso immediato di un’operazione non autorizzata sostenendo che il cliente è stato gravemente negligente. L’unica ragione per sospendere il riaccredito è il sospetto motivato di una frode commessa dal cliente stesso, comunicato per iscritto all’autorità di vigilanza. Prima rimborsa, poi, se ritiene che il cliente abbia violato con colpa grave l’obbligo di custodire le credenziali, può chiedergli la restituzione, e deve provarlo lei. La prassi italiana finora è stata l’opposto: la banca risponde al disconoscimento con una lettera di rifiuto e il cliente deve attivarsi per avere ragione. La sentenza vale per tutti gli Stati dell’Unione e riguarda la direttiva che il D.Lgs. 11/2010 ha recepito; come la applicheranno Banca d’Italia e i Collegi ABF si vedrà nei prossimi mesi. Due conseguenze pratiche già oggi: il disconoscimento e il reclamo possono chiedere il riaccredito immediato richiamando la sentenza, e chi riceve dalla banca una richiesta di restituzione dopo il rimborso ha diritto a vedere la prova della propria colpa grave, non una formula di stile.

I tempi

• Segnalazione alla banca: subito, per iscritto, con il blocco del conto o della carta. Il diritto al rimborso si esercita entro 13 mesi dall’addebito (art. 9 D.Lgs. 11/2010), ma ogni giorno di ritardo pesa sulla valutazione della diligenza.
• Denuncia alla Polizia postale o ai Carabinieri: nei giorni successivi; serve per il reclamo, per il ricorso e per il richiamo delle somme.
• Reclamo scritto alla banca: risposta entro 15 giornate lavorative, prorogabili fino a 35 con una risposta interlocutoria motivata. Nel ricorso si possono far valere solo le questioni già sollevate nel reclamo: è l’atto che decide la partita, non una formalità.
• Ricorso all’Arbitro Bancario Finanziario: entro 12 mesi dal reclamo, online, 20 euro di contributo restituiti se il ricorso è accolto, fino a 200.000 euro. Nel 2025 la decisione è arrivata in media in 107 giorni. La decisione non è vincolante, ma le banche vi hanno dato seguito nel 94% dei casi e l’inadempimento viene pubblicato. Come funziona il ricorso ABF.
• Giudice ordinario: resta possibile dopo l’ABF, o al posto dell’ABF quando serve una consulenza tecnica sul dispositivo o la prova per testimoni.

Come lavora lo studio

Il primo passaggio è una valutazione sui documenti, a compenso fisso indicato nel preventivo, con risposta entro 48 ore dalla ricezione: dice se il caso ha margini, quali e con quali prove, oppure se non li ha. Solo in presenza di margini concreti si passa al reclamo e, se la banca rifiuta, al ricorso ABF, ciascuno con preventivo scritto e compenso fisso per fase. Il compenso non è una percentuale della somma recuperata e non dipende dall’esito: la legge professionale lo vieta, e un accordo di quel tipo sarebbe nullo. Se la banca non dà seguito alla decisione o se il caso richiede il tribunale, il giudizio è una fase ulteriore, con un preventivo a sé. Tutto si svolge a distanza: il procedimento ABF non prevede udienze e i documenti si trasmettono dal modulo del sito.

Cosa serve per valutare il caso

• L’estratto conto con le operazioni contestate e la data in cui le ha scoperte
• Gli screenshot dell’intera conversazione SMS con la banca, compresi i messaggi autentici precedenti, delle mail ricevute e del registro delle chiamate
• La segnalazione fatta alla banca e la risposta ricevuta, con la motivazione del rifiuto
• La denuncia
• Il contratto di conto o di carta e le condizioni del servizio di home banking, se disponibili
• Il tipo di telefono e di app usati per confermare le operazioni

Prima di scrivere: quattro cose da avere chiare

Nel modulo troverà queste domande. Le risposte non bloccano la richiesta, ma permettono di dare in 48 ore una risposta precisa invece di una generica.

1. Le operazioni sono state disposte da altri a sua insaputa, oppure le ha disposte lei a un beneficiario che poi si è rivelato un truffatore?
2. Come è arrivato il contatto: SMS nella conversazione della banca, SMS da un numero sconosciuto, telefonata dal numero della banca, telefonata da altro numero, mail?
3. Quando ha segnalato le operazioni alla banca e quando ha sporto denuncia?
4. La banca ha già risposto per iscritto? Con quale motivazione?

Domande frequenti

---

Altre situazioni frequenti

Casa pignorata: cosa può fare il debitore · Opposizione a decreto ingiuntivo: 40 giorni · Pignoramento di stipendio, pensione o conto · Tutte le situazioni per proprietari e privati.