Un bonifico di migliaia di euro parte dal tuo conto senza che tu lo abbia mai disposto. Chiami la banca, ti rispondono che “l’autorizzazione è arrivata dal tuo cellulare” e che non ti rimborseranno nulla. Sembra un vicolo cieco, ma non lo è: la legge italiana tutela il correntista molto più di quanto si creda. Ecco cosa dice davvero la disciplina, e come si fa valere i propri diritti.
Il conto svuotato in un pomeriggio
La scena è ormai quotidiana. Una signora riceve un messaggio sul telefono: “tentato prelievo dal suo conto”. Cerca di chiamare la banca: nessuno risponde. Va in filiale: è chiusa. L’app di home banking è bloccata. Poi arriva una telefonata: un operatore, che dice di lavorare per NEXI o per la banca stessa, le offre aiuto — “mi lasci bloccare il conto, evitiamo uscite non autorizzate”. Nel frattempo, dal conto parte un bonifico di 4.200 euro verso un beneficiario completamente sconosciuto. Il giorno dopo, in filiale, la risposta è secca: “l’operazione è stata autorizzata dal suo cellulare, non verrà rimborsata”.
Questa storia contiene quasi tutti gli ingredienti del vishing, la truffa telefonica con cui i malintenzionati si spacciano per operatori bancari e, con l’inganno, si fanno consegnare i codici di accesso. Prima di arrendersi, però, c’è una notizia: il correntista ha dalla sua una normativa molto protettiva, e la banca che rifiuta il rimborso ha di solito una battaglia difficile da vincere in tribunale.
Phishing, smishing, vishing: come ti ingannano
Vale la pena mettere a fuoco i nomi, perché ogni truffa ha la sua tecnica:
- Phishing: email false che imitano quelle della banca e invitano a cliccare un link per “verificare” i dati.
- Smishing: la stessa tecnica, ma via SMS.
- Vishing: la truffa al telefono. Un falso operatore chiama la vittima, spesso da un numero che sembra ufficiale (si chiama spoofing), la mette in allarme (“c’è un movimento sospetto sul conto”) e le offre “assistenza”: in realtà le sta chiedendo i codici che gli servono per svuotare il conto.
- Spoofing: la manipolazione del numero chiamante, che appare identico a quello della banca.
Il filo conduttore è sempre lo stesso: far credere alla vittima di parlare con un soggetto di fiducia, per farsi consegnare ciò che nessun istituto chiederebbe mai — password, codici, numeri segreti.
La regola d’oro: la banca deve rimborsare
La disciplina di riferimento è il decreto legislativo n. 11 del 2010, che in Italia attua le direttive europee sui servizi di pagamento. L’art. 11 del d.lgs. 11/2010 contiene la regola più importante: se è stata eseguita un’operazione di pagamento non autorizzata, la banca deve rimborsare immediatamente l’importo — al massimo entro la fine della giornata operativa successiva — e riportare il conto nello stato in cui si trovava prima.
In pratica: il bonifico che non hai disposto non lo paghi tu. Punto.
Non solo: l’art. 10 del d.lgs. 11/2010 precisa che, quando il cliente nega di aver autorizzato l’operazione, è la banca a dover dimostrare che l’operazione è stata davvero autorizzata, correttamente registrata e contabilizzata. E aggiunge un passaggio che toglie ogni valore alla frase “l’autorizzazione è arrivata dal suo cellulare”: il fatto che l’operazione risulti eseguita con le tue credenziali registrate non basta di per sé a provare che l’hai autorizzata tu, né che tu abbia agito con dolo o colpa grave. È sempre la banca che deve fornire la prova contraria.
La prova? Tocca alla banca
Questo punto merita di essere sottolineato, perché ribalta il senso comune. Quando in un negozio paghi con la carta, la presunzione è che l’acquisto sia tuo. Quando invece un bonifico parte dal tuo conto tramite home banking e tu lo disconosci, la presunzione si inverte: chi deve spiegare cosa è successo è l’istituto, non tu.
I tribunali lo hanno detto più volte. In un caso recente, un correntista aveva ricevuto un messaggio truffaldino con un link, i malintenzionati avevano attivato un servizio mobile-token e avevano eseguito bonifici per oltre 11.000 euro: la banca si era difesa dicendo che “probabilmente” il cliente aveva comunicato il codice OTP. Il Tribunale di Venezia (sentenza n. 5581/2025) ha condannato la banca al rimborso, perché non bastava una ricostruzione verosimile: la colpa grave del cliente andava provata, e la sottrazione dei codici attraverso il phishing rientra nel rischio d’impresa dell’attività bancaria. Analogamente, il Tribunale di Roma (sentenza n. 17527/2025) ha condannato l’istituto al rimborso di 14.900 euro in un caso di smishing, rilevando che il semplice download di un’applicazione falsa non equivale ad aver consegnato volontariamente i propri dati ai truffatori.
L’eccezione che può costare caro: la “colpa grave”
La regola, però, ha un limite, ed è importante conoscerlo. L’art. 12 del d.lgs. 11/2010 stabilisce che il cliente perde il diritto al rimborso se ha agito con dolo o colpa grave: cioè se ha violato in modo macroscopico gli obblighi di custodia delle proprie credenziali (art. 7 del d.lgs. 11/2010).
Che cosa significa in concreto? La colpa grave non è una semplice distrazione. È un’imprudenza grave e inescusabile, che un giudice valuta caso per caso. In generale:
- Cliccare su un link sospetto, di per sé, non basta a far perdere il diritto al rimborso: molti tribunali hanno condannato la banca anche quando il cliente aveva cliccato, perché il raggiro era sofisticato e l’utente non aveva capacità di riconoscerlo.
- Comunicare volontariamente i codici OTP a un sedicente operatore è invece la condotta più pericolosa: la giurisprudenza più recente tende a considerarla colpa grave, perché si tratta di una truffa nota, contro cui le banche fanno campagne di informazione.
- Il quadro cambia se la vittima è particolarmente vulnerabile: una persona anziana, uno straniero con scarsa padronanza dell’italiano, un utente con poca dimestichezza con il computer. In questi casi i giudici valutano la condotta “nelle condizioni dell’agente”: gli indizi che avrebbero dovuto insospettire un utente esperto (errori grammaticali, link anomali, richieste bizzarre) possono non essere percepibili da chi non conosce bene la lingua o non ha familiarità con la tecnologia. E se la banca non ha dimostrato di aver informato adeguatamente la clientela sui rischi, la sua posizione si indebolisce ulteriormente.
Il messaggio per chi è stato truffato: non firmare nulla, non accettare la versione della banca come definitiva, e soprattutto non dichiarare il falso. Se in istruttoria emerge che hai comunicato i codici, la tua difesa si gioca sulla non gravità della colpa (lingua, età, insidiosità del raggiro, carenze della banca), non sulla negazione dell’evidenza.
Bonifico non autorizzato: cosa fare subito
Se ti accorgi di un bonifico non autorizzato, la sequenza corretta è questa:
1. Disconosci l’operazione per iscritto, subito
L’art. 9 del d.lgs. 11/2010 ti dà 13 mesi dalla data dell’addebito per chiedere la rettifica, ma la tempestività conta: invia una PEC o una raccomandata alla banca in cui neghi formalmente di aver autorizzato l’operazione e chiedi il rimborso immediato ai sensi dell’art. 11. Conserva tutto: SMS, e-mail, chiamate, estratto conto.
2. Sporgi denuncia-querela
Oltre a essere un tuo diritto, la denuncia è una prova preziosa nel giudizio civile contro la banca: dimostra che hai agito subito e in buona fede. Attenzione a un dettaglio: la versione dei fatti nella denuncia deve coincidere con quella che racconterai alla banca e al giudice. Le contraddizioni sono il primo argomento della difesa dell’istituto.
3. Invia un reclamo formale
La banca deve rispondere entro i termini previsti dalle regole di trasparenza. Se non risponde o rifiuta, hai due strade stragiudiziali.
4. Rivolgiti all’Arbitro Bancario Finanziario
L’Arbitro Bancario Finanziario (ABF) è il giudice di pace delle controversie bancarie: gratuito, senza avvocato obbligatorio, con tempi rapidi. Per le operazioni non autorizzate è la via più praticata e, nella maggior parte dei casi, efficace.
5. Presenta un esposto alla Banca d’Italia
L’art. 39 del d.lgs. 11/2010 ti consente di segnalare le violazioni dell’istituto: non ti fa riavere i soldi direttamente, ma attiva i controlli della vigilanza e mette pressione alla banca.
6. Se serve, vai in tribunale
Con l’assistenza di un avvocato, puoi chiedere al giudice la condanna della banca al rimborso, con interessi e rivalutazione. La giurisprudenza sul punto — come si è visto — è in larga parte favorevole al correntista quando la banca non prova la colpa grave.
Cosa puoi fare prima che accada
La prevenzione resta la migliore difesa, anche se nessuno è immune:
- La banca (o NEXI, o Poste) non ti chiederà mai password, codici OTP o numeri segreti per telefono, SMS o e-mail. Se qualcuno li chiede, è un truffatore. Sempre.
- Se ricevi un messaggio di allerta, non richiamare il numero che ti ha scritto: cerca tu il numero ufficiale sul sito o sul retro della carta e chiama quello.
- Diffida delle chiamate che ti mettono fretta (“blocchiamo subito il conto”, “ci serve il codice immediatamente”): l’urgenza è la tecnica preferita per farti abbassare la guardia.
- Attiva le notifiche push per ogni movimento, così un addebito anomalo lo vedi in tempo reale.
- Se hai dubbi su un messaggio, chiudi tutto e verifica con calma: la diligenza che la legge ti chiede non è quella di un esperto informatico, ma quella di una persona ragionevole. E se il truffatore è stato abile, quella diligenza l’hai rispettata anche se sei caduto nella trappola.
In sintesi: quando la banca deve rimborsare
Un bonifico non autorizzato non è un fatto tuo: è un evento che rientra nel rischio d’impresa della banca, e la legge impone all’istituto di rimborsarti subito e di provare — se vuole sottrarsi — che la colpa è tua, e che è grave. Il rifiuto con la formula “è stato autorizzato dal suo cellulare” è una semplificazione che non regge davanti a un giudice.
Chi è stato truffato non deve vergognarsi e non deve arrendersi: deve disconoscere per iscritto, denunciare, reclamare, e se necessario arrivare fino all’Arbitro o al tribunale. Con un avvocato al fianco, e con la versione dei fatti raccontata con onestà e precisione, le possibilità di rivedere i propri soldi sono concrete. La storia della signora del bonifico da 6.200 euro, del resto, insegna proprio questo: la banca dice di no, ma la legge dice di sì — e alla fine conta quello che dice la legge.
Se anche tu vuoi dire la tua su questo tema o altro, inviaci il tuo articolo o la tua opinione: saremo felici di leggerla e magari pubblicarla!