La banca deve rimborsare il cliente vittima di phishing o di un’altra truffa online quando l’operazione non è stata autorizzata da lui, salvo che dimostri la sua colpa grave o una frode. Lo prevede il D.Lgs. 11/2010 sui servizi di pagamento: il rimborso va fatto al più tardi entro la fine della giornata operativa successiva alla segnalazione, e l’onere della prova è a carico della banca, non del cliente.
Diverso è il caso in cui è il cliente stesso, ingannato, a disporre il bonifico: qui il rimborso è più difficile, ma non sempre escluso. Vediamo cosa fare subito, quando la banca deve pagare, cosa cambia con la verifica del beneficiario e come funziona l’Arbitro Bancario Finanziario.
In breve
- Per le operazioni non autorizzate la banca rimborsa subito e al più tardi entro la fine della giornata operativa successiva, salvo motivato sospetto di frode (art. 11 D.Lgs. 11/2010).
- Spetta alla banca provare la frode, il dolo o la colpa grave del cliente: il solo uso delle credenziali corrette non basta (art. 10 D.Lgs. 11/2010).
- Se la banca non richiede l’autenticazione forte il cliente non sopporta perdite; negli altri casi, senza colpa grave, al massimo 50 euro (art. 12 D.Lgs. 11/2010).
- Dal 9 ottobre 2025 le banche dell’area euro devono verificare gratuitamente che nome e IBAN del beneficiario corrispondano (Reg. UE 2024/886).
Cosa fare subito dopo una truffa online?
La tempestività è decisiva: dopo la segnalazione alla banca il cliente non risponde delle operazioni successive, salvo che abbia agito in modo fraudolento (art. 12 D.Lgs. 11/2010).
- Blocca carte e accesso all’home banking chiamando il numero ufficiale della banca, non quello indicato nel messaggio sospetto.
- Chiedi il richiamo dei bonifici appena partiti: non è garantito, ma a volte le somme non sono ancora state prelevate.
- Presenta denuncia alla Polizia postale o ai Carabinieri, allegando SMS, email, registro delle chiamate e movimenti.
- Contesta per iscritto le operazioni non autorizzate, senza indugio e comunque entro 13 mesi dall’addebito (art. 9 D.Lgs. 11/2010), chiedendo il rimborso.
Conserva tutto: screenshot, orari e numeri da cui sei stato contattato sono spesso le prove più utili.
Phishing: quando la banca deve rimborsare?
Il phishing è la truffa con cui un falso messaggio (email, SMS, telefonata) induce il cliente a rivelare password e codici. Se poi il truffatore usa quelle credenziali, l’operazione è «non autorizzata»: il cliente non l’ha voluta, anche se è stato ingannato.
In questi casi la banca deve rimborsare, a meno che provi la colpa grave del cliente. Non basta dimostrare che sono stati usati i codici corretti: l’art. 10 del D.Lgs. 11/2010 lo dice espressamente. La banca deve inoltre richiedere l’autenticazione forte, cioè una verifica basata su almeno due elementi indipendenti, come la password, il telefono registrato o l’impronta digitale: se non lo fa, il cliente non sopporta alcuna perdita, salvo frode.
Che cos’è la colpa grave del cliente?
È una negligenza evidente e inescusabile, come comunicare i codici a chiunque li chieda o conservarli insieme alla carta. Nelle decisioni dell’Arbitro Bancario Finanziario, però, quando il truffatore usa lo «spoofing», cioè fa apparire SMS o chiamate come provenienti dal numero della banca, la colpa grave spesso non viene riconosciuta, salvo anomalie evidenti del messaggio; in altri casi si arriva a un concorso di colpa, con rimborso parziale. Conta anche il comportamento della banca: operazioni anomale per importo o frequenza avrebbero dovuto attivare i sistemi antifrode?
Bonifico istantaneo a un truffatore: si possono recuperare i soldi?
Se è il cliente, convinto da un finto operatore o da un falso venditore, a disporre il bonifico, l’operazione è tecnicamente autorizzata. Il bonifico istantaneo non si può revocare e il rimborso previsto per le operazioni non autorizzate, in linea di principio, non si applica.
Restano però alcune strade. Dal 9 ottobre 2025 il Regolamento (UE) 2024/886 impone alle banche dell’area euro la verifica del beneficiario: prima di ogni bonifico in euro, istantaneo o ordinario, la banca controlla gratuitamente che il nome inserito corrisponda all’intestatario dell’IBAN e avvisa in caso di differenza. Se la banca non esegue la verifica e ne deriva un danno, deve rimborsare; se il cliente procede nonostante l’avviso di mancata corrispondenza, invece, se ne assume il rischio. Secondo l’ABF, inoltre, la banca può rispondere in base alle regole generali se non ha adottato misure di sicurezza adeguate, come avvisi o blocchi delle operazioni anomale, che avrebbero permesso al cliente di accorgersi della frode.
Si può poi agire contro il titolare del conto che ha ricevuto il denaro, identificabile attraverso l’IBAN, anche costituendosi parte civile nel processo penale, come spieghiamo nell’articolo sul risarcimento del danno da reato. A livello europeo è in arrivo un nuovo regolamento sui servizi di pagamento, che dovrebbe prevedere il rimborso anche per chi è indotto a pagare da un truffatore che si finge la propria banca: non è ancora applicabile e le sue regole andranno verificate quando lo diventerà.
Reclamo e Arbitro Bancario Finanziario: come funziona?
Se la banca rifiuta il rimborso, il primo passo è un reclamo scritto. Per i servizi di pagamento, come bonifici e carte, la banca deve rispondere entro 15 giorni lavorativi; per gli altri servizi entro 60 giorni.
Se la risposta non arriva o non soddisfa, ci si può rivolgere all’Arbitro Bancario Finanziario (ABF), organismo indipendente di risoluzione delle controversie che si avvale della Banca d’Italia. Il ricorso si presenta online entro 12 mesi dal reclamo, per richieste fino a 200.000 euro, con un contributo di 20 euro che la banca rimborsa se il ricorso è accolto anche solo in parte. L’avvocato non è obbligatorio, anche se un’assistenza può essere utile nei casi più complessi.
La decisione non è una sentenza, ma la banca che non la rispetta viene resa pubblica, e ciascuna parte può comunque rivolgersi al giudice. Il ricorso all’ABF vale anche come alternativa alla mediazione obbligatoria, che per i contratti bancari va tentata prima della causa.
Domande frequenti
La banca può rifiutare il rimborso perché ho comunicato io i codici?
Solo se prova la colpa grave, che si valuta caso per caso. Se i codici sono stati carpiti con messaggi o chiamate che sembravano provenire davvero dalla banca, la colpa grave spesso viene esclusa o ridimensionata.
Truffa del bonifico su WhatsApp da un finto familiare: la banca rimborsa?
Di regola no, perché il bonifico è stato disposto dal cliente. Conviene però avvisare subito la banca, chiedere il richiamo del bonifico, verificare se la verifica del beneficiario è stata eseguita e sporgere denuncia.
Quanto tempo ho per contestare un addebito?
La segnalazione va fatta senza indugio e comunque entro 13 mesi dall’addebito. Più si aspetta, più diventa difficile recuperare le somme e dimostrare la propria diligenza.
Ogni truffa ha una dinamica diversa e la valutazione della colpa grave dipende dai dettagli: messaggi, orari, avvisi ricevuti, sistemi di sicurezza della banca. Se hai subito un addebito che non riconosci, possiamo aiutarti a impostare il reclamo e a valutare il ricorso all’ABF o al giudice, anche alla luce di quanto costa un avvocato. I recapiti degli studi di Palermo e Mussomeli sono nella pagina sedi e contatti.
