Introduzione
Negli ultimi anni la digitalizzazione dei servizi bancari ha portato con sé indubbi vantaggi in termini di rapidità e accessibilità, ma ha anche aperto la strada a forme di criminalità sempre più sofisticate. Le frodi bancarie — dal phishing allo spoofing telefonico, dal furto di credenziali all’utilizzo illecito di carte di pagamento — rappresentano oggi una delle principali fonti di contenzioso tra clienti e istituti di credito.
Comprendere quali siano i propri diritti e quali obblighi gravino sulla banca è il primo passo per una tutela efficace. Questo articolo offre una panoramica chiara e aggiornata sulle principali tipologie di frode, sul quadro normativo di riferimento e sugli strumenti di tutela a disposizione di privati e imprese.
Cosa si intende per frode bancaria
Per frode bancaria si intende qualsiasi condotta con cui un terzo, attraverso raggiri o accessi abusivi, riesce a disporre di somme presenti sul conto corrente altrui senza il consenso del titolare. Le modalità sono molteplici e in costante evoluzione, ma condividono un tratto comune: il truffatore sfrutta la fiducia della vittima o le vulnerabilità dei sistemi informatici per ottenere credenziali di accesso, codici dispositivi o dati sensibili.
Le forme più diffuse di frodi digitali e finanziarie
Phishing. È la tecnica più nota: il truffatore invia una e-mail che imita graficamente quella della banca, invitando il destinatario a cliccare su un link e a inserire le proprie credenziali di accesso. La pagina web che si apre è una copia perfetta del sito ufficiale, ma i dati inseriti finiscono direttamente nelle mani del frodatore.
Smishing. È la variante via SMS del phishing. Il messaggio, apparentemente proveniente dalla banca, avvisa di un accesso sospetto o di un’operazione da bloccare e invita a cliccare su un link malevolo. La truffa sfrutta la maggiore fiducia che gli utenti ripongono nei messaggi SMS rispetto alle e-mail.
Spoofing telefonico. In questo caso il truffatore contatta telefonicamente la vittima facendo apparire sul display il numero verde della banca (c.d. caller ID spoofing). Spacciandosi per un operatore dell’ufficio antifrode, convince il cliente a fornire codici OTP o a installare applicazioni che consentono di prendere il controllo del dispositivo.
Furto di credenziali bancarie. Può avvenire tramite malware installati sul computer o sul telefono della vittima, spesso veicolati da link o allegati infetti. Il software malevolo registra tutto ciò che il cliente digita (keylogging) e trasmette i dati ai truffatori.
Bonifici fraudolenti. Ottenute le credenziali, i truffatori accedono al servizio di home banking e dispongono bonifici verso conti di appoggio, spesso all’estero, per importi anche molto elevati. Le operazioni vengono eseguite in pochi minuti, rendendo difficoltoso il recupero.
Utilizzo illecito di carte di pagamento. Carte di credito, debito o prepagate possono essere utilizzate in modo fraudolento sia attraverso la clonazione fisica, sia mediante l’uso dei dati carpiti online su piattaforme di e-commerce.
Gli obblighi di sicurezza: cosa impone la legge a banche e clienti
La disciplina dei servizi di pagamento, contenuta nel D.lgs. 27 gennaio 2010, n. 11, e successive modifiche (che hanno recepito la direttiva europea PSD2), delinea un sistema equilibrato di obblighi che gravano tanto sul prestatore di servizi di pagamento quanto sull’utente.
Alla banca è richiesta una diligenza qualificata di natura tecnica, da valutarsi con il parametro dell’accorto banchiere. L’istituto deve, tra l’altro: assicurare che le credenziali di sicurezza personalizzate non siano accessibili a soggetti diversi dal titolare (art. 8); applicare l’autenticazione forte del cliente per ogni accesso online e per ogni operazione di pagamento elettronico (art. 10-bis); predisporre misure di sicurezza adeguate per tutelare la riservatezza e l’integrità delle credenziali (art. 10-bis, comma 3); garantire strumenti sempre disponibili affinché il cliente possa comunicare tempestivamente lo smarrimento, il furto o l’uso non autorizzato dello strumento di pagamento (art. 8, comma 1, lett. c).
Al cliente spetta invece l’obbligo di utilizzare lo strumento di pagamento in conformità al contratto e di adottare tutte le misure ragionevoli per proteggere le proprie credenziali (art. 7). Deve inoltre comunicare senza indugio alla banca qualsiasi uso non autorizzato non appena ne viene a conoscenza.
Operazioni non autorizzate: chi deve provare cosa
Il cuore della disciplina — e il punto di maggiore interesse per il correntista che subisce una frode — è l’articolo 10 del D.lgs. 11/2010. La norma stabilisce che, nel caso in cui il cliente neghi di aver autorizzato un’operazione già eseguita, è la banca a dover provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non vi sono stati malfunzionamenti. Non solo: l’utilizzo dello strumento di pagamento registrato dalla banca non è di per sé sufficiente a dimostrare che il cliente abbia autorizzato l’operazione. È sempre onere del prestatore di servizi di pagamento fornire la prova della frode, del dolo o della colpa grave dell’utente.
Questo riparto dell’onere probatorio è stato ripetutamente confermato dalla giurisprudenza di legittimità. La Corte di Cassazione, sin dalla sentenza Cass. Civ., Sez. I, n. 2950 del 2017, ha affermato che «è del tutto ragionevole ricondurre nell’area del rischio professionale del prestatore dei servizi di pagamento la possibilità di un’utilizzazione dei codici di accesso al sistema da parte dei terzi, non attribuibile al dolo del titolare o a comportamenti talmente incauti da non poter essere fronteggiati in anticipo». In altre parole, è la banca — non il cliente — a dover sopportare il rischio che un terzo riesca ad accedere fraudolentemente al conto, salvo il caso di colpa grave del correntista.
Questo principio è stato ribadito in numerose pronunce successive: Cass. Civ., Sez. VI-1, n. 32075 del 2021, Cass. Civ., Sez. I, n. 16417 del 2022, Cass. Civ., Sez. III, n. 13204 del 2023, e da ultimo Cass. Civ., Sez. III, n. 3780 del 2024, la quale ha espressamente ricondotto al rischio d’impresa anche le ipotesi in cui le credenziali siano state sottratte «attraverso tecniche fraudolente, quali il phishing».
Il rimborso e il limite della colpa grave
Quando un’operazione non autorizzata viene eseguita, la banca — ai sensi dell’art. 11 del D.lgs. 11/2010 — è tenuta a rimborsare immediatamente l’importo al pagatore, ripristinando il conto nello stato in cui si sarebbe trovato senza l’operazione.
L’art. 12 del medesimo decreto regola invece le ipotesi di responsabilità del cliente. In particolare: dopo la comunicazione di smarrimento o uso non autorizzato, il cliente non sopporta alcuna perdita (salvo il caso di condotta fraudolenta); la banca non può addossare al cliente la perdita se non ha richiesto l’autenticazione forte; negli altri casi, il cliente può sopportare al massimo 50 euro di perdita per operazioni non autorizzate; se invece il cliente ha agito con dolo o colpa grave, sopporta tutte le perdite.
La nozione di colpa grave è quindi il vero spartiacque. La giurisprudenza di merito si sta evolvendo in modo articolato su questo punto. Alcune decisioni — come Trib. Roma, n. 16069 del 2024 e Trib. Taranto, n. 589 del 2025 — hanno ritenuto configurata la colpa grave del cliente che, nonostante campagne antifrode e avvisi contrattuali, abbia comunicato le proprie credenziali a terzi via telefono o SMS. Altre decisioni — come Trib. Milano, n. 1514 del 2025 — hanno invece escluso la colpa grave valorizzando la particolare insidiosità delle tecniche di spoofing, che rendono estremamente difficile per il cliente distinguere la comunicazione autentica da quella fraudolenta.
Anche l’Arbitro Bancario Finanziario (ABF) è intervenuto ripetutamente sul tema, affermando che la banca è tenuta a monitorare attivamente le operazioni anomale e non può limitarsi a inviare semplici messaggi di avviso in presenza di situazioni sospette, come ripetuti cambi di dispositivo in breve tempo seguiti da bonifici (Trib. Milano, n. 365 del 2025).
Particolarmente significativa è la pronuncia della Corte d’Appello di Genova, n. 646 del 2025, che ha ritenuto «prova inconfutabile della poca sicurezza del sistema informatico dell’istituto» la circostanza che i codici di autenticazione forte fossero stati inviati dalla banca non al dispositivo del cliente ma all’interno della falsa pagina web predisposta dai truffatori.
L’importanza di agire tempestivamente
L’art. 9 del D.lgs. 11/2010 impone al cliente di comunicare senza indugio alla banca l’operazione non autorizzata, e in ogni caso entro 13 mesi dalla data di addebito. Oltre questo termine, il diritto alla rettifica si prescrive.
Fondamentale è anche la denuncia all’autorità giudiziaria (Polizia Postale o Carabinieri), che cristallizza la versione dei fatti e fornisce un supporto probatorio importante nell’eventuale contenzioso.
Conservare ogni elemento utile è altrettanto essenziale: messaggi SMS sospetti, e-mail, screenshot, estratti conto e corrispondenza con la banca. In mancanza di una documentazione puntuale, la ricostruzione di quanto accaduto diventa più complessa e la posizione processuale del cliente si indebolisce.
Prevenzione: le buone pratiche
La prevenzione resta lo strumento più efficace. Ecco alcune raccomandazioni operative per privati e imprese:
- Non comunicare mai a terzi, per nessuna ragione, codici di accesso, PIN, password o codici OTP, nemmeno a chi dichiara di essere un operatore bancario (la banca non chiede mai queste informazioni per telefono o via e-mail);
- Verificare sempre l’autenticità delle comunicazioni ricevute, contattando la banca tramite i canali ufficiali e mai utilizzando i recapiti indicati nel messaggio sospetto;
- Attivare i sistemi di notifica (SMS alert, notifiche push) per ogni operazione in uscita e controllare regolarmente gli estratti conto;
- Mantenere aggiornati i dispositivi utilizzati per l’home banking con sistemi antivirus e antimalware;
- Per le imprese, implementare procedure interne di controllo a doppio passaggio per i bonifici di importo rilevante;
- Formare periodicamente i dipendenti sui rischi delle frodi informatiche e sulle modalità di riconoscimento dei tentativi di phishing.
Conclusione
Il quadro normativo e giurisprudenziale offre strumenti robusti per la tutela del correntista, ma ogni caso di frode bancaria presenta peculiarità che richiedono una valutazione specifica sotto il profilo contrattuale, probatorio e processuale. La ripartizione dell’onere della prova, la configurabilità della colpa grave, l’adeguatezza dei sistemi di sicurezza adottati dalla banca e la tempestività della reazione del cliente sono tutti elementi che concorrono a determinare l’esito della pretesa risarcitoria.
Affidarsi a un consulente legale specializzato in diritto bancario e contenzioso finanziario — sin dalla fase di contestazione stragiudiziale — consente di valutare correttamente la posizione del cliente, individuare la strategia più efficace e, ove necessario, agire nelle sedi opportune per ottenere il rimborso delle somme sottratte.
Questo articolo ha carattere informativo e non costituisce consulenza legale. Ogni caso concreto richiede un’analisi personalizzata da parte di un professionista abilitato.