Truffa bancaria e bonifico non autorizzato: quando la banca deve rimborsare

Le truffe bancarie non sono più costituite soltanto da e-mail grossolane. Il raggiro può iniziare con un SMS inserito nella stessa conversazione utilizzata dalla banca, proseguire con una telefonata che sembra provenire dal numero ufficiale dell'istituto e concludersi con la richiesta di comunicare un codice, installare un'applicazione oppure eseguire un “bonifico di sicurezza”.

Il fenomeno ha assunto un peso significativo anche nel contenzioso. Secondo la Relazione ABF sul 2025, i ricorsi relativi agli utilizzi fraudolenti hanno superato un terzo del totale. Questo dato non significa che ogni vittima abbia automaticamente diritto alla restituzione: ogni vicenda deve essere ricostruita esaminando modalità della frode, sistemi di autenticazione, comportamento del cliente e presidi adottati dall'intermediario.

1. Phishing, smishing, vishing e spoofing: cosa significano

Queste tecniche possono essere combinate. Si parla allora di frode multicanale: il truffatore dispone già di alcuni dati della vittima, invia un messaggio plausibile, utilizza un numero apparentemente ufficiale e crea urgenza. La sofisticazione del raggiro è un elemento da documentare perché può incidere sulla valutazione della condotta del cliente.

2. La distinzione decisiva: operazione non autorizzata o pagamento disposto sotto inganno?

Prima di chiedere il rimborso bisogna qualificare correttamente ogni uscita. È l'errore più frequente nei reclami compilati in modo generico.

3. Quando la banca deve rimborsare un'operazione non autorizzata

La disciplina di riferimento è contenuta nel D.Lgs. 27 gennaio 2010, n. 11, che regola i servizi di pagamento.

Quando l'operazione non è stata autorizzata, l'art. 11 pone a carico del prestatore di servizi di pagamento il rimborso dell'importo e il ripristino del conto nella situazione in cui si sarebbe trovato senza l'addebito. La restituzione deve avvenire immediatamente e, in linea generale, entro la fine della giornata operativa successiva a quella in cui l'intermediario ha avuto conoscenza dell'operazione o ha ricevuto la comunicazione del cliente. La legge contempla una specifica eccezione in presenza di un motivato sospetto di frode del cliente, da comunicare all'autorità competente.

Il cliente, a sua volta, deve comunicare l'uso non autorizzato senza indugio appena ne viene a conoscenza. L'art. 9 indica un termine massimo generale di 13 mesi dall'addebito per ottenere la rettifica, salve le eccezioni previste dalla norma. Questo termine non deve essere interpretato come un invito ad aspettare: anche poche ore possono fare la differenza nel tentativo di richiamare un bonifico e nel conservare i dati utili.

Per le operazioni non autorizzate effettuate prima della comunicazione di blocco e derivanti dall'utilizzo indebito dello strumento conseguente a furto, smarrimento o appropriazione indebita, l'art. 12 può lasciare a carico del cliente una perdita non superiore a 50 euro. La franchigia non opera quando il cliente abbia agito fraudolentemente o abbia violato con dolo o colpa grave gli obblighi di utilizzo, custodia e comunicazione; restano inoltre ferme le ulteriori ipotesi di esclusione previste dalla norma.

4. Cosa deve provare la banca

Quando il cliente nega di avere autorizzato un'operazione, non è sufficiente che la banca risponda: “il pagamento è stato eseguito con le credenziali corrette”. In base all'art. 10 del D.Lgs. 11/2010, spetta all'intermediario provare che l'operazione sia stata autenticata, correttamente registrata e contabilizzata e che non sia stata interessata da malfunzionamenti o altri inconvenienti.

La stessa norma precisa che la registrazione dell'uso dello strumento di pagamento non è, da sola, necessariamente sufficiente a dimostrare:

• che il cliente abbia autorizzato l'operazione;
• che abbia agito fraudolentemente;
• che abbia violato con dolo o colpa grave gli obblighi di utilizzo e custodia.

Per questo è utile chiedere all'intermediario la descrizione completa del percorso autorizzativo: data e ora degli accessi, dispositivo utilizzato, indirizzi tecnici disponibili, fattori di autenticazione impiegati, contenuto delle notifiche, eventuale registrazione di un nuovo dispositivo, modifica dei limiti, inserimento del beneficiario e segnalazioni generate dai sistemi antifrode.

Che cos'è l'autenticazione forte

L'autenticazione forte del cliente, o Strong Customer Authentication, utilizza almeno due elementi indipendenti appartenenti alle categorie della conoscenza, del possesso e dell'inerenza: per esempio password, dispositivo e impronta digitale. Quando la SCA è richiesta per un pagamento elettronico a distanza, l'autenticazione deve inoltre collegare dinamicamente l'autorizzazione all'importo e al beneficiario. L'adozione di questo sistema è molto importante, ma non chiude automaticamente la discussione sulla responsabilità.

5. Quando viene contestata la colpa grave del cliente

La banca può opporsi al rimborso sostenendo che il cliente abbia agito con dolo o colpa grave. Non basta però una formula standard: la colpa grave deve essere allegata e provata sulla base delle circostanze concrete.

Nella valutazione possono assumere rilievo, tra gli altri:

• la consegna volontaria di credenziali complete o codici dispositivi;
• il contenuto chiaro o ambiguo dell'SMS con il codice OTP;
• l'eventuale avviso che il codice serviva per autorizzare uno specifico importo o beneficiario;
• l'installazione di applicazioni di controllo remoto;
• la presenza di un SMS nella conversazione autentica della banca o di un numero telefonico camuffato;
• le informazioni personali già conosciute dal truffatore;
• la rapidità con cui il cliente ha avvertito l'intermediario;
• l'anomalia delle operazioni rispetto alle abitudini, ai limiti e al profilo del conto.

6. Bonifico autorizzato perché ingannati: il caso più difficile

Il caso più delicato è quello in cui il cliente, convinto di parlare con la banca, inserisce personalmente l'ordine e conferma il pagamento. Accade, per esempio, quando il falso ufficio antifrode afferma che il conto è sotto attacco e che il denaro deve essere trasferito su un “conto sicuro”.

Quando è il cliente stesso a impartire e confermare l'ordine, l'operazione è normalmente qualificata come autorizzata, anche se la decisione di pagare è stata indotta dal raggiro. Di conseguenza, il meccanismo di rimborso previsto per i pagamenti non autorizzati non si applica automaticamente. Ciò non rende inutile la contestazione: occorre verificare il rispetto degli obblighi contrattuali e professionali dell'intermediario, la verifica tra nome e IBAN, gli avvisi mostrati, le anomalie dell'operazione e le concrete possibilità di blocco o recupero.

La verifica tra nome e IBAN

Dal 9 ottobre 2025, per i bonifici ordinari e istantanei, banche e Poste Italiane devono mettere a disposizione la verifica della corrispondenza tra il nome del beneficiario e l'IBAN indicato. Il controllo può segnalare una corrispondenza, una corrispondenza parziale o una mancata corrispondenza e non elimina ogni rischio di frode. Se l'intermediario non ha fornito la procedura secondo le modalità previste dalla legge e il bonifico è stato eseguito a favore di un beneficiario errato, può essere tenuto al rimborso immediato e al ripristino del conto. Nel reclamo è quindi opportuno indicare quale esito sia stato mostrato e conservare la relativa schermata.

7. Postepay clonata, ricariche e prelievi suggeriti dal falso operatore

Le regole sui servizi di pagamento possono riguardare anche Postepay e altre carte prepagate. La procedura pratica deve partire dal blocco attraverso i canali ufficiali, seguito dal disconoscimento delle singole operazioni e dal reclamo scritto a Poste Italiane o all'intermediario emittente.

Anche qui è necessario distinguere:

• acquisti, bonifici o prelievi mai eseguiti dal titolare: possono costituire operazioni non autorizzate;
• operazioni effettuate dal truffatore usando codici carpiti: occorre esaminare autenticazione e condotta del cliente;
• ricariche o prelievi materialmente eseguiti dalla vittima: il caso è più complesso perché il consenso tecnico all'operazione può essere presente, anche se ottenuto mediante inganno.

La denuncia può essere utile per documentare il raggiro e favorire le indagini, ma non sostituisce il reclamo e non è una condizione per avviare il disconoscimento o chiedere il rimborso. Nel reclamo devono essere descritti anche gli elementi che rendevano credibile la telefonata: coincidenza temporale con un pagamento, conoscenza di dati personali, numero apparente, urgenza creata e istruzioni impartite.

8. Cosa fare dopo una truffa bancaria: procedura passo per passo

1. Bloccare gli strumenti. Contattare l'intermediario dai canali ufficiali, bloccare carte e accessi, revocare i dispositivi associati e cambiare le credenziali da un apparecchio sicuro.
2. Tentare il recupero immediato. Chiedere il richiamo del bonifico e l'intervento della banca del beneficiario. Non vi è garanzia di esito, soprattutto per i bonifici istantanei, ma la tempestività è essenziale.
3. Creare una cronologia. Annotare in ordine chiamate, messaggi, accessi, codici ricevuti, operazioni, importi e comunicazioni con il servizio clienti.
4. Conservare le prove. Acquisire schermate complete con data, ora, mittente e numero; esportare e-mail e chat senza limitarsi a fotografie parziali.
5. Contestare ogni operazione. Utilizzare il modulo dell'intermediario, ma allegare anche una descrizione autonoma e distinguere le diverse modalità esecutive.
6. Valutare la denuncia o querela. Può essere utile per documentare il raggiro e favorire le indagini, ma non è condizione necessaria per disconoscere le operazioni, presentare reclamo o chiedere il rimborso.
7. Inviare il reclamo formale. Formulare una richiesta motivata di rimborso, preferibilmente con mezzo che provi invio e ricezione.
8. Valutare la risposta. Se la richiesta viene respinta, controllare se la banca ha realmente prodotto la prova tecnica e quella relativa alla colpa grave, oppure si è limitata a formule generiche.

9. Come scrivere un reclamo efficace alla banca

Il reclamo non dovrebbe essere una semplice richiesta emotiva di restituzione. È il documento sul quale si costruirà anche l'eventuale ricorso all'ABF; deve quindi contenere fatti, domande e documenti in modo coerente.

È opportuno indicare:

1. dati del titolare, rapporto, carta o conto interessato;
2. cronologia dettagliata della frode;
3. tabella delle singole operazioni con data, ora, importo e beneficiario;
4. quali operazioni non sono mai state autorizzate e quali sono state eseguite sotto inganno;
5. orario del blocco e delle comunicazioni all'intermediario;
6. richiamo agli artt. 9, 10, 11 e 12 del D.Lgs. 11/2010, quando pertinenti;
7. richiesta di rimborso e ripristino del conto;
8. richiesta della documentazione tecnica di autenticazione e degli eventuali alert antifrode;
9. elenco degli allegati.

Per i reclami riguardanti servizi di pagamento, l'intermediario deve rispondere entro 15 giornate lavorative dalla ricezione. Solo in situazioni eccezionali, non imputabili all'intermediario, può inviare una risposta interlocutoria motivata; la risposta definitiva deve comunque pervenire entro 35 giornate lavorative.

10. Quando presentare ricorso all'Arbitro Bancario Finanziario

L'Arbitro Bancario Finanziario è un sistema indipendente di risoluzione alternativa delle controversie tra clienti e intermediari. Decide sulla base dei documenti prodotti dalle parti e non richiede obbligatoriamente l'assistenza di un avvocato.

Il ricorso può essere preso in considerazione dopo un reclamo preventivo, quando:

• la risposta dell'intermediario è negativa o soltanto parziale;
• l'intermediario non risponde entro il termine applicabile;
• il ricorso viene presentato entro 12 mesi dalla data del reclamo;
• le operazioni o i comportamenti contestati non sono anteriori al sesto anno precedente la data di presentazione del ricorso;
• la domanda di pagamento non supera 200.000 euro; per le richieste di mero accertamento di diritti, obblighi o facoltà non è previsto un limite di importo;
• la stessa controversia non è già sottoposta al giudice, a un arbitro o a una procedura di conciliazione, salvo le eccezioni previste dalle disposizioni ABF.

Alla data di aggiornamento di questa guida, il contributo per la procedura è di 20 euro e viene rimborsato dall'intermediario in caso di accoglimento, anche parziale, secondo le regole applicabili. Il ricorso si presenta normalmente attraverso il Portale ABF.

La decisione dell'ABF non è una sentenza e non costituisce un titolo esecutivo. Il mancato rispetto da parte dell'intermediario viene però reso pubblico. Nel 2025, escludendo la materia della cessione del quinto, il tasso di adesione degli intermediari alle decisioni è stato indicato dall'ABF nel 94%.

11. Quali documenti conservare

È inoltre utile chiedere formalmente la conservazione e l'esibizione dei dati tecnici relativi agli accessi, ai dispositivi registrati, ai fattori di autenticazione e agli alert generati. Alcuni dati potrebbero non restare disponibili indefinitamente.

12. Domande frequenti

La guida ha finalità informativa e non sostituisce l'esame del singolo caso. Termini, competenza dell'ABF e disciplina applicabile devono essere verificati in relazione alla data, al tipo di operazione e alla documentazione disponibile.