Truffa bancaria e rimborso: cosa deve provare la banca e cosa documentare

Cos’è una truffa bancaria e perché la qualificazione decide il rimborso

Il rimborso dopo una truffa bancaria dipende da chi ha dato l’ordine di pagamento e con quale consenso, prima ancora che da quanto fosse credibile il raggiro.

Una truffa bancaria è un inganno con cui un terzo sottrae denaro da un conto o da uno strumento di pagamento: a volte carpisce le credenziali e dispone lui l’operazione, come nella causa C-70/25 della Corte di giustizia, altre volte convince il titolare a disporla, come nella decisione ABF 1617/2025. Per ricostruire quella dinamica TrueScreen certifica i messaggi e le pagine da cui è partito il raggiro, anche se non può stabilire chi ci fosse dietro.

«Colpa grave» è il termine della legge italiana, «negligenza grave» quello della Corte e del regolamento europeo.

Phishing bancario, smishing, vishing e finto operatore

Il phishing bancario usa un’email o una pagina che imita la banca per farsi consegnare i dati di accesso; lo smishing fa lo stesso via SMS, il vishing al telefono. Nelle truffe bancarie telefoniche compare spesso il finto operatore, a volte con lo spoofing, cioè la falsificazione del numero che appare sul telefono: nella decisione 7216/2025, riportata dalla relazione ABF 2025, il numero era identico a quello della banca, condannata a rimborsare metà per responsabilità concorrente.

Il nome della tecnica non dice quale regola si applica alla truffa bancaria: lo stesso SMS può portare a un’operazione disposta dal truffatore o a un bonifico disposto dalla vittima.

Operazione non autorizzata: che cosa ha stabilito la Corte di giustizia (C-70/25)

Se l’operazione non è autorizzata, il rimborso viene prima e la discussione sulla colpa arriva dopo, con la prova a carico della banca. Alla domanda se le vittime di phishing abbiano diritto al rimborso non esiste una risposta unica, e quella della Corte riguarda le sole operazioni non autorizzate. Il caso è quello del cliente di una banca polacca che, seguendo il link di un finto acquirente, inserisce i dati di accesso su un sito che imita la banca: un terzo trasferisce circa 700 euro.

Il rimborso viene prima, la colpa si discute dopo

Una banca non può rifiutare il rimborso immediato di un’operazione non autorizzata perché ritiene che il cliente l’abbia resa possibile con negligenza grave: lo afferma la sentenza C-70/25 del 15 ottobre 2026, per ora in edizione provvisoria. Il termine, precisa il comunicato stampa n. 147/26, è al più tardi la fine del primo giorno lavorativo successivo a quello in cui la banca ne è venuta a conoscenza o ne è stata informata, a condizione che il cliente la informi senza indugio.

In un secondo momento la banca può chiedere al cliente le perdite, se dimostra che derivano da una violazione degli obblighi commessa con dolo o negligenza grave: il punto 40 della sentenza mette a suo carico quella prova. Per quella fase TrueScreen consegna al cliente messaggio e pagina falsa con un report su come e quando sono stati acquisiti, mentre l’onere della prova resta alla banca.

In Italia, se l’utente nega di aver autorizzato l’operazione, la banca deve provare autenticazione, registrazione e assenza di malfunzionamenti, e la registrazione non basta da sola a provare l’autorizzazione né la colpa grave (art. 10 del d.lgs. 11/2010). Il rimborso è immediato, al più tardi entro la fine della giornata operativa successiva (art. 11), e l’art. 12 regola i limiti di responsabilità del pagatore.

Quando la banca può non rimborsare in caso di phishing

La banca può non rimborsare subito se ha ragionevoli motivi per sospettare una frode commessa dal cliente e li comunica per iscritto all’autorità nazionale: è l’unica eccezione indicata dalla Corte. Conta anche l’avviso, da dare senza indugio e, per l’art. 9, in ogni caso entro 13 mesi dall’addebito. Il rimborso può non restare definitivo: la banca può chiedere indietro la somma se dimostra dolo o negligenza grave (C-70/25) e, per l’art. 11, anche se dimostra che l’operazione era autorizzata. In Italia la comunicazione del sospetto di frode va alla Banca d’Italia (art. 11).

Nel testo del Consiglio sul regolamento sui pagamenti (PSR), non ancora in vigore e modificabile, l’art. 57 prevede un’eccezione più ampia di quella indicata dalla Corte per la PSD2: il rimborso entro il giorno lavorativo successivo non scatterebbe se la banca ha motivi oggettivamente giustificati per sospettare dolo o negligenza grave del pagatore, e li comunica per iscritto, o per sospettare una frode del pagatore. In quel caso avrebbe 15 giorni lavorativi per rimborsare o rifiutare con motivazione.

Cosa la sentenza non dice

La sentenza C-70/25 dà per presupposta un’operazione non autorizzata e non stabilisce come qualificare il bonifico disposto dalla vittima ingannata, né il pagamento validato con un codice dato dal cliente. Interpreta la direttiva (UE) 2015/2366 e lascia la causa al giudice nazionale, perciò non si può ricavarne che ogni phishing apra la strada al rimborso.

Bonifico disposto dalla vittima: la regola di oggi e quella in arrivo

L’ABF colloca in genere fuori dal d.lgs. 11/2010 i pagamenti eseguiti dal titolare, e la strada passa dalla prova di una negligenza dell’intermediario. Si può essere truffati anche con un bonifico bancario disposto di persona.

Cosa dice oggi l’Arbitro Bancario Finanziario

Per l’Arbitro Bancario Finanziario, accertare che i pagamenti siano stati interamente eseguiti dal titolare, per quanto vittima di raggiro, è «in genere» condizione sufficiente per restare fuori dal d.lgs. 11/2010. Lo scrive il Collegio di coordinamento nella decisione 8671 del 23 luglio 2024, su pagamenti allo sportello e con ricorso respinto, e ammette in astratto il risarcimento ex art. 1218 c.c. «qualora sia dimostrata la negligenza dell’intermediario», per esempio per indici di frode non valorizzati.

La relazione ABF 2025 conta 4.951 ricorsi su utilizzi fraudolenti nel 2025: il 30% accolti, il 20% chiusi per cessazione della materia del contendere, il 50% respinti. Riporta anche la decisione 6595/2025, che condanna una banca per non aver bloccato 17 pagamenti eseguiti dal cliente in poco tempo, e la 1617/2025 sul messaggio del finto figlio, una richiesta di pagamento da un contatto conosciuto: operazione autorizzata e ricorso respinto.

Il caso da leggere per primo, nella stessa relazione, è la decisione 6625/2025: finto operatore, QR code e «in assenza di prove, l’ABF non ha potuto accertare» se la chiamata fosse arrivata da un numero riconducibile alla banca; il ricorso è stato respinto. TrueScreen non può dire da quale numero sia partita una telefonata né chi parlasse: mette al sicuro quel che resta di scritto attorno alla chiamata, cioè messaggi e pagine.

Truffa del bonifico istantaneo: si possono recuperare i soldi?

Su una truffa del bonifico istantaneo il recupero non è garantito: l’art. 17 del d.lgs. 11/2010 stabilisce che l’ordine, una volta ricevuto dalla banca del pagatore, non può essere revocato dall’utente, e fra i rischi del bonifico istantaneo c’è la velocità con cui il denaro arriva al beneficiario.

Chi si chiede come recuperare i soldi truffati con un bonifico può chiedere il richiamo alla propria banca. Le regole SEPA dell’European Payments Council per i bonifici ordinari, che valgono fra banche e non sono un diritto del cliente, lo prevedono per i bonifici di origine fraudolenta entro 13 mesi dall’esecuzione, con risposta negativa se il beneficiario non risponde entro 15 giornate lavorative bancarie. Se valga per un istantaneo o per un ordine dato dalla vittima va chiesto alla banca; la procedura per richiamare un bonifico mostra i passaggi nel caso di un’azienda.

Va annotato anche l’esito della verifica del beneficiario, che il regolamento (UE) 2024/886 impone al prestatore del pagatore di offrire, dal 9 ottobre 2025, prima dell’autorizzazione: il prestatore risponde se un servizio non prestato correttamente determina un’esecuzione inesatta.

Cosa prevede il futuro regolamento PSR per il finto operatore

Nel testo del Consiglio sul regolamento sui servizi di pagamento (PSR), adottato il 29 ottobre 2026, l’art. 60 prevede che il prestatore rimborsi l’intero importo al consumatore manipolato da un terzo che finge di essere quel prestatore usando canali a esso attribuiti, per operazioni autorizzate fraudolente, purché il consumatore lo abbia informato senza indebito ritardo e abbia denunciato alla polizia, salvo frode o negligenza grave del consumatore, da provare a carico del prestatore. La regola non è in vigore: manca la seconda lettura del Parlamento europeo, il testo può cambiare e si applicherebbe 21 mesi dopo l’entrata in vigore. Non coprirebbe il finto parente o il finto carabiniere.

Entro 15 giorni lavorativi dalla notifica e dalla consegna della denuncia il prestatore dovrebbe rimborsare o motivare il rifiuto e, prima di concludere per frode o negligenza grave, invitare il consumatore a fornire informazioni sugli eventi. Quel testo chiede informazioni e non materiale certificato: TrueScreen serve a chi vuole darle in una forma di cui si possa controllare l’acquisizione.

Truffe bancarie in Italia: cosa dichiarano i responsabili antifrode nel sondaggio BioCatch

I numeri di BioCatch riportano ciò che dichiarano responsabili antifrode di banche italiane: sono risposte di un campione raccolte da un fornitore, non dati di vigilanza. Il sondaggio, diffuso il 4 novembre 2026, ha sentito 100 responsabili antifrode, antiriciclaggio e conformità, in una serie su 1.200 dirigenti in 17 Paesi.

Il 76% degli intervistati dichiara che il proprio istituto perde oltre 10 milioni di dollari l’anno per frodi, 25 punti sopra la media globale. Il 73% dice di pianificare o avviare modifiche alle politiche di rimborso in vista delle nuove regole europee, una dichiarazione che non dimostra che le banche rimborseranno. Il 54% che indica le app di messaggistica fra i canali di partenza aiuta invece a capire perché il materiale da salvare stia spesso sul telefono.

TrueScreen

TrueScreen, la piattaforma di acquisizione e certificazione forense

Acquisisci e certifica contenuti digitali con valore legale, dall’origine.

Scopri di più →

Cosa documentare dopo una truffa bancaria, passo per passo

Documentare serve a ricostruire i fatti prima che spariscano, e va fatto subito dopo aver avvisato la banca. Quali documenti servono alla banca per il rimborso dipende dalla qualificazione dell’operazione. La Banca d’Italia indica il percorso dall’avviso all’istituto fino all’ABF.

1. 1

   L’avviso alla banca, senza attendere

   La Banca d’Italia indica come prima mossa avvertire subito il proprio istituto. Conviene usare i contatti ufficiali, non quelli ricevuti nel messaggio sospetto, e chiedere il blocco degli strumenti, il disconoscimento delle operazioni non riconosciute o il richiamo del bonifico. Una conferma scritta con data, ora e importi fissa il momento dell’avviso.

2. 2

   La denuncia

   La denuncia va alla Polizia postale, e come si presenta la denuncia per truffa online è spiegato in una guida dedicata. Oggi la Banca d’Italia la indica fra i passi da compiere, mentre il testo del Consiglio sul PSR la metterebbe fra le condizioni del rimborso per il finto operatore.

3. 3

   Messaggi, pagine e cronologia, prima che spariscano

   Il materiale da conservare è quello che racconta la sequenza della truffa bancaria, più una cronologia con date e orari scritta subito. Se una chiamata è stata registrata, va conservata e usata solo per denuncia e reclamo. Sono invece da evitare i contatti con il truffatore, la diffusione della chat e l’accesso ad account altrui.

   Una conversazione falsa può scomparire con una semplice pulizia della chat: qui TrueScreen la fissa mentre la si scorre sul telefono che l’ha ricevuta, con lo stesso metodo usato per certificare una chat WhatsApp. Anche per la pagina clone conviene certificare la pagina di phishing prima che sparisca.

4. 4

   Il reclamo

   Il reclamo si presenta all’istituto e, secondo la Banca d’Italia, per i servizi di pagamento la risposta è dovuta entro 15 giorni lavorativi. Conviene esporre i fatti in ordine di data, compresi eventuali pagamenti ravvicinati. La qualificazione giuridica (operazione non autorizzata o bonifico disposto sotto inganno) conviene farla valutare a un legale o a un’associazione dei consumatori. Si allegano denuncia, cronologia e materiale raccolto sulla truffa bancaria.

5. 5

   Esposto alla Banca d’Italia e ricorso all’ABF

   Se il reclamo non è accolto o la risposta non convince, si può presentare un esposto alla Banca d’Italia dalla sua piattaforma online. Il ricorso ABF richiede sempre il reclamo preventivo e va presentato entro 12 mesi dal reclamo.

Che cosa permette di dimostrare TrueScreen dopo una truffa bancaria?

TrueScreen permette di dimostrare come e quando sono stati acquisiti messaggi, pagine ed email legati alla truffa, mentre la decisione sul rimborso resta alla banca e agli organi competenti. La metodologia forense acquisisce il contenuto, lo verifica e documenta ogni passaggio in un report tecnico con impronte SHA-256, ora certificata e metadati. Sigillo elettronico qualificato e marca temporale qualificata chiudono la certificazione e fissano data e valore legale: ne esce una prova presentabile in giudizio, il cui peso è deciso dal giudice, e il sigillo si verifica anche senza TrueScreen, con lo strumento pubblico della Commissione europea. Per l’art. 2712 c.c. una riproduzione informatica fa piena prova se non viene disconosciuta, e davanti a un disconoscimento aiuta poter mostrare come è stata acquisita.

Conversazioni, pagine false ed email

Chat e SMS si certificano con la registrazione dello schermo nella TrueScreen App, finché sono sul telefono. La pagina falsa si acquisisce prima di tutto con il Forensic Browser, che per le chat web cattura anche traffico di rete e allegati. Con la certificazione e-mail l’indirizzo dedicato va in A, Cc o Ccn, oppure si imposta una regola di inoltro, e lo stesso vale per le PEC.

Screenshot già fatti e limiti

Gli screenshot già fatti restano utili e si certificano come file: contenuto e data certa sono fissati dal momento della certificazione, senza attestare come la conversazione è stata acquisita, perciò conviene registrarla finché esiste. La certificazione non dice che il contenuto sia vero: non prova chi sia il truffatore né che il messaggio venisse davvero dalla banca, e non sostituisce l’avviso all’istituto o la denuncia.

Un esempio

Un caso inventato di truffa bancaria: un correntista riceve un SMS nella conversazione abituale con la banca, poi la telefonata di un finto operatore che lo porta su una pagina clone, e in pochi minuti partono i bonifici. Prima che spariscano certifica conversazione e pagina, e allega tutto a denuncia e reclamo. Se il rimborso spetti lo stabiliranno la banca e, se serve, l’ABF.

In conclusione