Autore: Andrea Marton

In breve: se sulla tua carta compaiono pagamenti che non hai fatto (carta clonata, dati carpiti, uso fraudolento), di regola la banca o l’emittente deve rimborsarti le operazioni non autorizzate che disconosci, salvo riesca a provare un tuo dolo o una tua colpa grave. Hai due strade complementari: il disconoscimento ai sensi della PSD2 verso la banca e il chargeback previsto dalle regole dei circuiti (Visa, Mastercard). La prima mossa è sempre la stessa: blocca subito la carta e disconosci per iscritto i pagamenti.

La regola: rimborso salvo dolo o colpa grave (d.lgs 11/2010)

Il punto di partenza è il decreto legislativo 11/2010, che recepisce in Italia la direttiva europea sui servizi di pagamento (la cosiddetta PSD2). La regola di fondo è semplice e a tuo favore: per le operazioni di pagamento non autorizzate, cioè quelle che tu non hai disposto né consentito, la banca o l’emittente deve rimborsare l’importo al titolare, riportando il conto allo stato in cui si sarebbe trovato se l’operazione non fosse mai avvenuta.

La banca può rifiutare il rimborso solo in casi precisi: se prova che hai agito in modo fraudolento (dolo) oppure con colpa grave, ad esempio non rispettando in modo gravemente negligente gli obblighi di custodia dei codici e della carta. Il dato decisivo, e spesso ignorato, è il riparto dell’onere della prova: non sei tu a dover dimostrare di essere vittima di una frode, è la banca a dover provare che l’operazione è stata autenticata correttamente e che c’è stato un tuo comportamento gravemente colpevole. La semplice registrazione tecnica dell’operazione non basta da sola a dimostrare che l’hai autorizzata tu.

Su questa linea si colloca la giurisprudenza più recente. La Corte di Cassazione, con l’ordinanza n. 23683 del settembre 2024, ha ribadito che l’istituto di credito risponde secondo la diligenza qualificata del “banchiere prudente”: deve cioè adottare misure idonee a prevenire le frodi e, in caso di contestazione, dimostrare la propria diligenza. È un orientamento favorevole al titolare, che alza l’asticella delle prove richieste alla banca.

Disconoscimento PSD2 e chargeback: le due strade

Quando contesti pagamenti non riconosciuti, in pratica puoi muoverti su due binari, che non si escludono a vicenda.

Il disconoscimento ai sensi della PSD2 è la strada “di legge”: comunichi alla banca emittente che quelle operazioni non sono state autorizzate da te e chiedi il rimborso. È il binario più forte, perché si fonda sulla normativa e sul riparto dell’onere della prova a tuo favore, e copre qualsiasi tipo di carta (debito, credito, prepagata).

Il chargeback è invece la procedura prevista dalle regole private dei circuiti (Visa, Mastercard e simili): la banca, su tua richiesta, attiva lo storno dell’addebito presso la banca dell’esercente. È utile per frodi e operazioni non riconosciute, ma va attivato entro i termini stabiliti dal circuito, che sono più stringenti e variano caso per caso.

Nella pratica conviene disconoscere subito ai sensi della PSD2 e, in parallelo, chiedere alla banca di attivare il chargeback dove possibile: così sfrutti entrambe le tutele senza perdere i termini più brevi del circuito.

Cosa fare appena te ne accorgi

Il tempismo conta. Ecco la sequenza concreta:

1. Accorgiti in fretta. Attiva gli alert via app o SMS e controlla con regolarità l’estratto conto e i movimenti: prima individui l’addebito anomalo, meglio è.
2. Blocca subito la carta. Usa l’app, il numero verde o lo sportello. Il blocco interrompe ulteriori addebiti e fissa un momento certo da cui la carta non è più utilizzabile.
3. Disconosci per iscritto. Non limitarti alla telefonata: invia una comunicazione scritta (PEC, raccomandata o il canale ufficiale della banca) in cui elenchi data, importo ed esercente di ogni operazione contestata e dichiari che non le hai autorizzate, chiedendo il rimborso ai sensi del d.lgs 11/2010.
4. Conserva le prove. Raccogli tutto ciò che dimostra che non eri tu: ad esempio che ti trovavi in un luogo diverso da quello del pagamento, che la carta era fisicamente con te mentre veniva usata altrove, screenshot di SMS sospetti o tentativi di phishing.

Quanto ai tempi del rimborso: la regola di principio è che la banca restituisca l’importo entro la giornata operativa successiva a quella in cui ha preso conoscenza dell’operazione disconosciuta, salvo che abbia un fondato sospetto di frode, nel qual caso può svolgere accertamenti prima di procedere.

La franchigia dei 50 euro e quando non si applica

Esiste un caso particolare in cui una parte del danno può restare a tuo carico: quello dell’uso indebito di una carta smarrita o sottratta prima del blocco. In questa ipotesi la normativa prevede storicamente una franchigia a carico del titolare fino a 50 euro: il danno oltre tale soglia resta in capo alla banca, mentre la quota entro la franchigia può gravare su di te.

Attenzione però alle esclusioni, che ribaltano la situazione a tuo favore. La franchigia non si applica, ad esempio, quando la banca non ha richiesto l’autenticazione forte (SCA) dove era dovuta, oppure quando lo smarrimento o l’uso indebito non erano in alcun modo a te imputabili e hai agito in buona fede, senza colpa grave. In questi casi il rimborso deve essere integrale.

Poiché l’esatta cifra della franchigia e l’elenco preciso dei casi di esclusione possono essere aggiornati, verifica sempre il valore vigente e la tua situazione specifica prima di accettare una decurtazione del rimborso.

Se la banca rifiuta: ABF, causa e denuncia

Se la banca nega o ritarda il rimborso, non sei senza strumenti.

Il primo passo è il reclamo formale all’ufficio reclami dell’istituto. Se la risposta non arriva o non ti soddisfa, puoi rivolgerti all’Arbitro Bancario Finanziario (ABF), un organismo di risoluzione stragiudiziale delle controversie con la banca: è una procedura più rapida ed economica rispetto al giudice ed è particolarmente usata proprio per le contestazioni su pagamenti non autorizzati.

Resta sempre aperta la strada della causa civile davanti al giudice ordinario per ottenere il rimborso e l’eventuale risarcimento.

Sul fronte penale, è opportuno presentare denuncia o querela. L’indebito utilizzo di carte di pagamento è punito dall’art. 493-ter del codice penale, mentre la frode informatica (tipica delle truffe online e del phishing) è prevista dall’art. 640-ter del codice penale. La denuncia, oltre ad avviare le indagini, costituisce anche un elemento di prova utile nei rapporti con la banca.

Un caso pratico

Tizio una mattina riceve sul telefono un alert: tre pagamenti su siti esteri per circa 600 euro complessivi, tutti in pochi minuti, mentre la sua carta è nel portafoglio. Non li ha fatti lui.

Tizio non perde tempo: blocca la carta dall’app, poi invia alla banca una PEC di disconoscimento in cui elenca data, importo ed esercente di ogni operazione, dichiara che non le ha autorizzate e chiede il rimborso ai sensi del d.lgs 11/2010, chiedendo anche di attivare il chargeback. Allega lo screenshot degli alert e fa presente che quella mattina era al lavoro, lontano da qualsiasi punto vendita.

La banca, in un primo momento, oppone una possibile colpa grave di Tizio. Ma è la banca a doverla provare, e non ci riesce: non dimostra né che Tizio abbia comunicato i codici, né che l’autenticazione forte sia stata correttamente applicata. Tizio, vista la resistenza, presenta reclamo formale e prepara il ricorso all’ABF; nel frattempo sporge denuncia per indebito utilizzo della carta (art. 493-ter c.p.). Di fronte a una posizione documentata e a un onere della prova che pende a suo sfavore, l’istituto procede al rimborso integrale. Caio, vicino di casa di Tizio, di fronte alla stessa frode aveva invece accettato in silenzio la decurtazione proposta dalla banca: la differenza, tra i due, l’hanno fatta la tempestività e l’aver messo tutto per iscritto.

Questa guida ha finalità divulgative e non sostituisce una consulenza professionale sul caso concreto.

Risposta secca. Quasi sempre quello che ti è capitato è una truffa (art. 640 del codice penale) e spesso anche un abusivismo finanziario: il sito non era autorizzato. Le possibilità reali di recupero dipendono soprattutto da come hai pagato: con la carta puoi chiedere il chargeback (la contestazione dell’addebito), con il bonifico il recupero è già più difficile, con le criptovalute è molto difficile. In ogni caso devi agire subito, conservare tutte le prove e diffidare di chi ti promette di recuperare i soldi a pagamento: spesso è una seconda truffa. Qui sotto trovi cosa fare, passo per passo e in modo onesto sulle reali probabilità.

Come funziona la truffa del finto trading

Lo schema è quasi sempre lo stesso e segue una scaletta studiata per farti versare somme crescenti. È utile riconoscerlo perché ti aiuta a capire fin dove sei arrivato e cosa documentare.

• Il primo contatto. Arrivi alla piattaforma tramite una pubblicità sui social, un messaggio, una mail o un finto articolo di giornale che promette guadagni facili, magari con il volto di un personaggio famoso usato senza il suo consenso.
• Il versamento iniziale. Ti viene chiesto un primo importo contenuto per “aprire il conto”. Ti danno accesso a una dashboard dall’aspetto professionale che mostra rendimenti in crescita continua: quei numeri sono finti, una semplice schermata grafica.
• L’account manager. Una persona ti contatta al telefono o in chat, sembra competente e disponibile, e ti spinge a versare somme sempre più alte (“approfitta di questa occasione”, “raddoppia il deposito”). A volte ti chiedono di installare un programma per il controllo da remoto del tuo computer.
• Il blocco al prelievo. Quando provi a ritirare i tuoi soldi, il prelievo non parte. Ti dicono che servono ulteriori versamenti per “sbloccare” il conto: tasse, commissioni, conversioni valutarie, depositi di garanzia. Sono richieste inventate: ogni euro in più è perso.
• La sparizione. Dopo aver spremuto il più possibile, smettono di rispondere, il sito sparisce o cambia nome e ricompare altrove.

Dal punto di vista legale questa condotta integra il reato di truffa (art. 640 del codice penale) e, dato che si offrono servizi di investimento senza autorizzazione, anche l’abusivismo finanziario vigilato dalla CONSOB.

Come capire che è una truffa

Il segnale più importante è uno solo: l’intermediario non è autorizzato. In Italia chi offre servizi di investimento al pubblico deve essere iscritto agli albi e registri della CONSOB o di un’autorità europea equivalente. Puoi e devi verificarlo da solo, gratis.

• Controlla l’autorizzazione. Sul sito della CONSOB esiste la sezione “Occhio alle truffe” con l’elenco dei siti oscurati e gli avvisi (warning) sui soggetti abusivi, anche su segnalazione delle autorità estere. Se la piattaforma è in quella lista, è una truffa conclamata.
• Per le criptovalute, chi opera in Italia come cambiavalute o custode di portafoglio digitale deve essere iscritto nello speciale registro tenuto dall’OAM (Organismo Agenti e Mediatori). Se non c’è, è un campanello d’allarme forte.
• La pressione a versare. Un intermediario serio non ti telefona ogni giorno per spingerti a depositare di più. La fretta e l’insistenza sono tipiche della truffa.
• L’impossibilità di prelevare. Se puoi versare con un clic ma per ritirare devi prima pagare nuove “tasse”, sei dentro lo schema fraudolento.
• I canali di pagamento. Bonifici verso conti esteri, intestati a società sconosciute o a persone fisiche, oppure pagamenti in criptovaluta verso wallet anonimi, sono tutti segnali coerenti con la frode.

Recuperare i soldi: dipende da come hai pagato

Questo è il punto decisivo, e va detto con onestà: il recupero non è mai garantito e le probabilità cambiano molto a seconda del canale di pagamento. La regola d’oro è muoversi in fretta: con il passare delle ore e dei giorni le possibilità calano. Ecco il quadro.

In tutti i casi, prima ancora di agire, raccogli le prove: screenshot della piattaforma e dei finti rendimenti, le chat con l’account manager, le ricevute dei versamenti, le mail, i numeri di telefono. Senza queste prove la denuncia è debole e ogni tentativo di recupero diventa più fragile.

Denuncia e segnalazione CONSOB

Recuperare i soldi e far valere i tuoi diritti passa quasi sempre da due binari paralleli.

• La denuncia o querela per truffa. Rivolgiti alla Polizia Postale o ai Carabinieri e presenta una denuncia/querela per il reato di truffa (art. 640 c.p.), allegando tutte le prove raccolte. La querela è importante anche perché molti reati di questo tipo sono procedibili a querela della persona offesa: in genere va presentata entro tre mesi da quando si è avuta conoscenza del fatto, ma per non rischiare conviene muoversi subito.
• La segnalazione alla CONSOB. Puoi segnalare il sito o l’operatore abusivo alla CONSOB attraverso i suoi canali ufficiali (procedura online, PEC o posta). La CONSOB pubblica i warning e può ordinare l’oscuramento dei siti abusivi, bloccandone l’accesso dall’Italia: non ti restituisce i soldi, ma aiuta a fermare la truffa e protegge altre potenziali vittime.

Conserva sempre una copia della denuncia: ti servirà sia con la banca, sia in un eventuale giudizio civile.

Attenzione alla seconda truffa: il finto recupero crediti

Chi ha subito una truffa di trading è particolarmente esposto a una seconda frode. Poco dopo la prima, ti possono contattare sedicenti società di recupero crediti, finti avvocati, sedicenti “fund recovery” o presunti funzionari di autorità, che ti promettono di farti riavere i soldi persi. In cambio chiedono un anticipo, una “tassa”, un “deposito cauzionale” o i dati della tua carta. È quasi sempre una truffa nella truffa: spariscono con il nuovo versamento.

• Le autorità non chiedono soldi. Polizia, CONSOB e magistratura non ti chiedono mai pagamenti anticipati per restituirti il maltolto.
• Diffida di chi ti contatta per primo proponendoti il recupero, soprattutto se sa già che sei stato truffato: spesso usano le stesse liste di vittime.
• Non versare anticipi e non comunicare credenziali bancarie o codici a chi promette miracoli. Se vuoi assistenza, scegli tu un professionista verificandone l’identità e l’iscrizione all’ordine.

Le vie legali e i loro limiti

Oltre alla denuncia penale, esiste in teoria l’azione civile per ottenere il risarcimento dei danni dai responsabili. Il problema, da dire con franchezza, è che funziona davvero solo quando i responsabili sono identificabili e raggiungibili.

• Quando i responsabili sono individuati. Se le indagini permettono di risalire a una persona o a una società con beni aggredibili, puoi costituirti parte civile nel processo penale o agire in sede civile per il risarcimento.
• Quando i soggetti sono esteri o anonimi. Nella maggior parte dei casi le piattaforme sono gestite da reti societarie complesse all’estero, con prestanome e conti che cambiano in continuazione. In queste situazioni identificare un responsabile solvibile è molto difficile e, anche ottenuta una sentenza, eseguirla all’estero può essere quasi impossibile.
• La banca. In alcuni casi è possibile contestare alla banca il modo in cui ha gestito le operazioni (per esempio se non ha rilevato movimenti palesemente anomali), ma è una strada tecnica e tutt’altro che automatica: va valutata da un professionista sul caso concreto.

La conclusione onesta è questa: agire subito e bene aumenta le probabilità, ma in molte truffe di trading online il recupero integrale resta improbabile. Meglio saperlo da subito, evitare di buttare altri soldi inseguendo “recuperi” miracolosi e concentrare le energie sui canali seri (chargeback, recall, denuncia).

Un caso pratico

Tizio vede su un social la pubblicità di una piattaforma che promette guadagni con il trading automatico. Versa 250 euro con carta e la dashboard inizia subito a mostrare profitti. Caio, il “consulente” che lo segue, lo convince a versare altri 4.000 euro con bonifico verso un conto estero per “sbloccare i rendimenti”. Quando Tizio prova a prelevare, Sempronio, un secondo “funzionario”, gli chiede 900 euro di tasse per liberare il capitale. A quel punto Tizio capisce e si ferma.

Cosa fa, nell’ordine: 1) raccoglie screenshot, chat e ricevute; 2) verifica sulla CONSOB e scopre che il sito è nell’elenco degli abusivi; 3) chiede subito il chargeback dei 250 euro pagati con carta, con buone probabilità di riaverli; 4) chiede alla banca il richiamo del bonifico di 4.000 euro, che però risulta già accreditato all’estero e difficilmente recuperabile; 5) presenta denuncia alla Polizia Postale per truffa e segnala il sito alla CONSOB; 6) non versa i 900 euro “di tasse” e, settimane dopo, ignora la finta società di recupero crediti che lo contatta promettendogli di riavere tutto dietro un anticipo. Recupera con buona probabilità i 250 euro della carta; per i 4.000 del bonifico la strada è in salita, ma la denuncia resta utile e impedisce di perdere altri soldi.

Questa guida ha finalità divulgative e non sostituisce il parere di un professionista sul caso concreto. Chi scrive è un praticante, non un avvocato: per la tua situazione specifica rivolgiti a un legale di tua fiducia.

Risposta secca. Se ti accorgi subito della truffa, puoi tentare il richiamo del bonifico (recall) chiedendolo immediatamente alla tua banca: funziona soltanto se i soldi sono ancora sul conto del truffatore e la sua banca collabora. Se il bonifico è già stato accreditato — o se hai usato un bonifico istantaneo — recuperarlo è molto difficile. In ogni caso vanno fatte subito due cose: avvisare la banca e sporgere denuncia. Ecco come muoverti nelle prime ore.

Perché il bonifico «autorizzato» è diverso dal phishing

È la distinzione più importante, e quella che molti sbagliano. Quando qualcuno entra abusivamente nel tuo home banking e dispone un pagamento al posto tuo, si parla di operazione non autorizzata: in quel caso la legge (il d.lgs. 11/2010, che recepisce le direttive europee sui servizi di pagamento) prevede che la banca ti rimborsi, salvo che tu abbia agito con dolo o colpa grave.

Qui invece la situazione è diversa: il bonifico l’hai disposto tu. Sei stato ingannato, raggirato, magari convinto con una telefonata o un finto annuncio, ma materialmente sei stato tu a inserire l’IBAN e a confermare l’operazione. Tecnicamente quindi l’operazione è autorizzata: hai dato il tuo consenso, anche se viziato dall’inganno. Per questo la regola del rimborso quasi automatico che vale per le operazioni non autorizzate non si applica allo stesso modo. Non significa che non ci siano margini: significa che la strada è più in salita e passa dal richiamo del bonifico e dalla via giudiziaria, non da un rimborso garantito dalla banca.

Bonifico ordinario: revoca e richiamo (recall)

Con un bonifico SEPA ordinario molto dipende da quanto tempo è passato e dallo stato dell’operazione. Ci sono tre scenari.

• Bonifico ancora «in lavorazione» (non ancora partito). Se la disposizione non ha superato il cosiddetto cut-off, cioè l’orario oltre il quale la banca invia i pagamenti della giornata al circuito interbancario, spesso puoi chiederne la revoca e bloccarla prima che esca. È lo scenario migliore e dipende tutto dalla rapidità.
• Bonifico già inviato ma non ancora accreditato. Qui la revoca semplice non basta più: la tua banca può avviare un richiamo (recall), cioè una richiesta formale alla banca del beneficiario di restituire le somme.
• Bonifico già accreditato sul conto del truffatore. Una volta che i soldi sono sul conto del beneficiario, la tua banca non può stornarli d’autorità. Può solo chiedere la collaborazione della banca del truffatore, che a sua volta deve interpellare il proprio cliente. Senza il consenso di chi ha ricevuto, oppure se i fondi sono già stati prelevati o trasferiti, il richiamo fallisce.

In altre parole: il richiamo è tecnicamente una richiesta di collaborazione, non un diritto di riprendersi i soldi. Riesce solo se i fondi sono ancora lì e la controparte coopera. Per questo la tempestività è tutto: ogni ora che passa il truffatore svuota il conto.

Bonifico istantaneo: perché è quasi irrecuperabile

Il bonifico istantaneo (SCT Inst) accredita i fondi sul conto del destinatario in pochi secondi, 24 ore su 24. Proprio per questo, una volta eseguito, è irrevocabile: non esiste una finestra in cui «intercettarlo» prima che arrivi, perché arriva immediatamente.

L’unica via resta un richiamo con il consenso del beneficiario, che nel caso di un truffatore è del tutto teorico: chi ha appena incassato una truffa non restituisce e, nella stragrande maggioranza dei casi, ha già svuotato il conto. È il motivo per cui i truffatori spingono così spesso a pagare con bonifico istantaneo: sanno che il denaro entra subito nella loro disponibilità e che il recupero diventa quasi impossibile.

Una tutela preventiva introdotta a livello europeo è la verifica del beneficiario (Verification of Payee): prima di confermare, la banca controlla se il nome del destinatario corrisponde all’IBAN e ti avvisa se non combaciano. Serve a evitare l’errore prima, ma non ti aiuta a recuperare un bonifico già partito.

Le prime ore: cosa fare subito

Il fattore che fa davvero la differenza è la velocità. Nell’ordine, e senza perdere tempo:

1. Chiama la tua banca immediatamente (numero di emergenza, filiale, o canali per blocco operazioni). Chiedi esplicitamente il blocco o il richiamo del bonifico e fatti dire lo stato dell’operazione. Annota nome dell’operatore, ora e numero della richiesta.
2. Recupera gli estremi del pagamento. Conserva l’IBAN del beneficiario e il codice identificativo dell’operazione (CRO o TRN), l’importo, la data e l’ora. Sono i dati che permettono alle autorità di tracciare e, dove possibile, chiedere il congelamento delle somme.
3. Sporgi denuncia/querela. Vai dalle forze dell’ordine (anche Polizia Postale, competente per le truffe online) e formalizza la denuncia per truffa (art. 640 c.p.) o, se c’è stata manipolazione di sistemi informatici/home banking, frode informatica (art. 640-ter c.p.). Per la truffa semplice la querela va presentata entro tre mesi dal fatto: non aspettare.
4. Conserva ogni prova. Chat, e-mail, annuncio, screenshot del sito, numero di telefono usato, contabile del bonifico. Tutto serve sia alle indagini sia a un’eventuale causa.
5. Segnala alla banca del beneficiario. Tramite la tua banca (o, se la conosci, direttamente) chiedi la segnalazione del conto come usato per frode: può favorire un blocco prima che i fondi vengano spostati.

Le vie per riavere i soldi

Recuperare non è impossibile, ma quasi mai è immediato. Le strade concrete sono queste.

• Il richiamo del bonifico (recall). La via più rapida quando funziona, ma utile solo se i fondi sono ancora sul conto e c’è collaborazione. È la prima cosa da tentare, nelle prime ore.
• L’azione civile contro il truffatore. Se l’autore viene identificato, puoi agirgli contro per ottenere la restituzione delle somme e il risarcimento del danno. Il limite pratico è doppio: bisogna sapere chi è e che abbia beni da aggredire.
• La costituzione di parte civile. All’interno del procedimento penale per truffa o frode informatica puoi costituirti parte civile per chiedere il risarcimento direttamente nel processo, sfruttando le indagini già svolte dalla procura.
• Eventuale responsabilità della banca del beneficiario. In alcuni casi si discute se la banca che ha aperto o gestito il conto del truffatore abbia rispettato gli obblighi antiriciclaggio e di controllo. È un profilo complesso e non automatico: va valutato caso per caso con un legale, e non va dato per scontato (vedi sotto, tra gli aspetti da verificare).

Caso pratico

Tizio compra online un’auto a un prezzo troppo conveniente e Caio, il finto venditore, gli chiede un acconto con bonifico istantaneo. Tizio paga 2.000 euro e, dopo un’ora, l’annuncio sparisce e Caio non risponde più. Tizio chiama subito la banca: gli spiegano che, trattandosi di bonifico istantaneo, l’accredito è già avvenuto ed è irrevocabile; possono solo inoltrare una richiesta di richiamo, che però dipende dal consenso del destinatario. Tizio conserva la contabile con IBAN e TRN, salva la chat e l’annuncio, e lo stesso giorno sporge querela per truffa alla Polizia Postale. Le indagini portano a identificare Caio: Tizio si costituisce parte civile nel procedimento penale per chiedere la restituzione dei 2.000 euro. Se Caio avesse accettato un bonifico ordinario e Tizio si fosse accorto del raggiro nello stesso pomeriggio, prima dell’accredito, la banca avrebbe potuto tentare un recall con qualche chance in più. La morale: con i truffatori, l’istantaneo è il pagamento più pericoloso, e i primi minuti valgono più di qualsiasi causa.

Questa è una guida divulgativa a cura di un praticante, non un parere legale: per il tuo caso concreto, soprattutto per l’azione civile o la costituzione di parte civile, rivolgiti a un avvocato.

Risposta secca: dopo un SIM swap che ti ha svuotato il conto possono risponderne sia la banca (per i pagamenti non autorizzati, salvo che tu abbia tenuto una condotta gravemente colposa, ipotesi rara in questo tipo di frode) sia l’operatore telefonico (per aver rilasciato un duplicato della tua SIM senza controlli adeguati). Conviene muoversi contro entrambi: disconosci subito le operazioni, fai reclamo alla banca e diffida all’operatore, e attiva gli strumenti gratuiti come l’ABF. Qui sotto trovi tutti i passaggi.

Cos’è il SIM swap e come funziona la truffa

Il SIM swap (letteralmente “scambio di SIM”) è una frode in cui un malintenzionato ottiene un duplicato della tua scheda telefonica, di solito presentandosi all’operatore (di persona o online) con documenti falsi o rubati e fingendosi te. Nel momento in cui il duplicato viene attivato, la tua SIM originale smette di funzionare e il tuo numero passa, di fatto, nelle mani del truffatore.

Perché è così pericoloso? Perché oggi gran parte della sicurezza bancaria si appoggia al telefono: i codici OTP e gli SMS di conferma servono ad autorizzare bonifici, pagamenti e accessi. Chi controlla il tuo numero intercetta quei codici e riesce a autorizzare operazioni sul tuo conto come se fossi tu. In poche ore il conto può essere svuotato con bonifici, ricariche o acquisti.

Il punto da tenere a mente è questo: la frode nasce a monte, sul versante dell’operatore telefonico, perché senza il duplicato della SIM il truffatore non avrebbe mai potuto ricevere i codici. Questo, come vedremo, pesa molto sulla questione di chi deve risarcirti.

Due possibili responsabili: banca e operatore telefonico

A differenza di altre truffe, nel SIM swap ci sono due soggetti che possono aver commesso un errore e che quindi possono essere chiamati a rispondere.

Da un lato la banca (o l’istituto di pagamento), che per legge deve rimborsare i pagamenti non autorizzati dal cliente. Il quadro di riferimento è il d.lgs. 11/2010, che ha recepito le direttive europee sui servizi di pagamento (la cosiddetta PSD2). La regola di fondo è semplice: se contesti un’operazione che non hai autorizzato, la banca deve rimborsartela, salvo che riesca a dimostrare il dolo o la colpa grave da parte tua. L’onere della prova è suo, non tuo.

Dall’altro lato l’operatore telefonico, che ha rilasciato il duplicato della SIM. Se lo ha fatto senza verificare seriamente l’identità di chi chiedeva la nuova scheda, ha tenuto una condotta negligente che ha reso possibile l’intera frode. In questo caso l’operatore può rispondere a titolo di responsabilità per i danni causati e anche per un trattamento illecito dei tuoi dati, perché ha permesso a un estraneo di subentrare nella tua utenza.

I due fronti non si escludono: puoi agire contemporaneamente contro la banca per ottenere il rimborso delle operazioni e contro l’operatore per la sua parte di responsabilità.

Perché nel SIM swap è difficile attribuirti una colpa grave

La banca, per non rimborsarti, deve provare che hai agito con colpa grave: ad esempio che hai consegnato i tuoi codici a uno sconosciuto o che hai ignorato segnali di allarme evidenti. Nel SIM swap questa prova è particolarmente difficile da raggiungere, ancora più che nel classico phishing.

Il motivo è che la frode si svolge fuori dal tuo controllo: tu non hai cliccato su nulla, non hai dato codici a nessuno, non hai sbagliato. È stato l’operatore a consegnare il duplicato della SIM a un truffatore. Tu, semmai, sei la vittima di quella consegna. Difficile sostenere che tu sia stato gravemente imprudente per qualcosa accaduto allo sportello (o online) di un’altra azienda.

Su questo terreno la giurisprudenza è severa con le banche. La Cassazione, con l’ordinanza n. 23683 del settembre 2024, ha ribadito che l’istituto di credito deve comportarsi con la diligenza del “banchiere prudente”, valutando con attenzione i rischi di frode tipici dei pagamenti elettronici. Se un’operazione anomala passa nonostante i sistemi di sicurezza, la posizione della banca è debole. Esiste inoltre giurisprudenza, anche dell’Arbitro Bancario Finanziario, che nei casi di SIM swap ha riconosciuto la responsabilità della banca e/o dell’operatore: vale la pena farsi assistere per verificare le pronunce più recenti e citarle nel reclamo o nel ricorso.

Cosa fare nelle prime ore

Il primo campanello d’allarme è quasi sempre lo stesso: il telefono smette di funzionare. Sul display compare “nessun servizio” o “SIM non valida”, non riesci a chiamare né a ricevere SMS. Non è un guasto qualunque: potrebbe significare che la tua SIM è stata disattivata da un duplicato. Reagisci subito.

1. Contatta l’operatore telefonico da un altro telefono o di persona, segnala il sospetto SIM swap e chiedi il blocco immediato del duplicato e il riaccredito del tuo numero.
2. Contatta la banca e fai bloccare il conto, le carte e gli accessi all’home banking. Chiedi di sospendere bonifici e pagamenti in corso.
3. Disconosci per iscritto tutte le operazioni che non riconosci, indicando data, importo e beneficiario. Conserva ogni schermata e ricevuta.
4. Annota tempi e contatti: a che ora la SIM ha smesso di funzionare, quando hai chiamato, con chi hai parlato. Questa cronologia sarà preziosa.

La rapidità conta: prima blocchi, meno operazioni passano e più chiara risulta la tua buona fede.

Come agire contro la banca e contro l’operatore

Passata l’emergenza, si apre la fase delle richieste formali. Conviene procedere su entrambi i fronti.

Contro la banca

• Reclamo scritto all’ufficio reclami, chiedendo il rimborso delle operazioni non autorizzate e ricordando che spetta alla banca provare l’eventuale tua colpa grave. La banca ha tempi precisi per risponderti.
• Se la risposta non arriva o è negativa, puoi presentare ricorso all’Arbitro Bancario Finanziario (ABF), uno strumento gratuito o a costo molto contenuto, senza bisogno di avvocato, che decide sulle controversie con banche e istituti di pagamento.
• In alternativa o in aggiunta resta la causa civile davanti al giudice ordinario, da valutare soprattutto per importi rilevanti.

Contro l’operatore telefonico

• Reclamo e poi diffida formale, in cui contesti il rilascio del duplicato senza controlli e chiedi il risarcimento dei danni.
• Segnalazione al Garante per la protezione dei dati personali per il rilascio illecito del duplicato e la perdita del controllo sui tuoi dati.
• Conserva la prova che la frode è partita dal duplicato SIM (data di attivazione del duplicato, blocco della tua SIM): è il collegamento che lega la negligenza dell’operatore al danno subito.

Le denunce penali

Oltre alle richieste di rimborso, è importante sporgere denuncia-querela presso le forze dell’ordine. Serve sia ad avviare le indagini, sia a rafforzare la tua posizione nei confronti di banca e operatore, perché documenta che sei stato vittima di un reato. I reati tipicamente contestabili sono:

• Frode informatica (art. 640-ter c.p.): chi, alterando un sistema informatico o intervenendo senza diritto su dati, procura a sé un profitto con altrui danno – è la norma cardine per i prelievi e i bonifici fraudolenti.
• Sostituzione di persona (art. 494 c.p.): chi si attribuisce una falsa identità per indurre in errore – qui, spacciandosi per te davanti all’operatore.
• Accesso abusivo a un sistema informatico (art. 615-ter c.p.): chi entra senza titolo nel tuo home banking protetto da credenziali.

La denuncia va corredata con tutta la documentazione raccolta: estratti conto, disconoscimenti, comunicazioni con banca e operatore.

Un caso pratico

Tizio, una mattina, si accorge che il telefono segna “nessun servizio”. Pensa a un guasto, ma poco dopo, da un altro apparecchio, vede sull’app della banca tre bonifici che non ha mai disposto, per un totale di diverse migliaia di euro, verso un certo Caio a lui sconosciuto. Capisce subito: è un SIM swap.

Tizio chiama l’operatore e scopre che il giorno prima qualcuno, presentandosi con un documento falso, ha richiesto e ottenuto un duplicato della sua SIM. Fa bloccare tutto, blocca il conto in banca, disconosce per iscritto i tre bonifici e sporge denuncia-querela per frode informatica e sostituzione di persona.

Poi agisce su due fronti. Manda un reclamo alla banca chiedendo il rimborso: la banca prova a sostenere che è stato lui ad autorizzare, ma non riesce a dimostrare alcuna colpa grave, perché Tizio non ha mai consegnato codici a nessuno. In parallelo invia una diffida all’operatore e una segnalazione al Garante per il duplicato rilasciato senza controlli. Davanti al rischio di soccombere, e ricordando l’orientamento della Cassazione sulla diligenza del banchiere prudente, la banca riconosce il rimborso, mentre la posizione dell’operatore resta esposta per la negligenza iniziale. Sempronio, vicino di Tizio, vittima della stessa truffa ma che aveva atteso settimane prima di reagire, ottiene invece molto più a fatica i suoi soldi: la tempestività, anche qui, fa la differenza.

Hai dato tu i codici o l’OTP al finto operatore della banca e ora temi di aver perso il diritto al rimborso? Non è così automatico. Anche se hai digitato o comunicato tu i codici, ingannato dalla telefonata, non perdi automaticamente il rimborso. La banca è tenuta a restituirti il denaro a meno che non provi la tua colpa grave (o il dolo). E provarla è raro, perché queste truffe sono costruite per ingannare anche le persone attente.

Cosa significa davvero «colpa grave»

Quando subisci un’operazione non autorizzata, la regola di base è che la banca deve rimborsarti. Lo prevede il decreto legislativo 11/2010, che ha recepito la direttiva europea sui servizi di pagamento (PSD2). L’onere della prova è a carico della banca: è lei che deve dimostrare che l’operazione è stata autenticata correttamente, registrata, e non viziata da un guasto tecnico.

La banca può rifiutare il rimborso solo in due casi: se hai agito con dolo (cioè eri d’accordo con il truffatore, ipotesi rara e da provare) oppure con colpa grave. Ma la colpa grave non è qualunque distrazione o ingenuità. È una negligenza macroscopica: un comportamento così sprovveduto da azzerare ogni minima cautela che chiunque, al tuo posto, avrebbe adottato. Una leggerezza ordinaria, l’essere caduti in un inganno ben congegnato, non è colpa grave.

La differenza è sostanziale: con la colpa lieve hai comunque diritto al rimborso (al massimo può restare a tuo carico una franchigia limitata nei casi previsti); solo con la colpa grave la banca è davvero esonerata. Per questo l’etichetta che la banca attribuisce al tuo comportamento è il vero campo di battaglia.

Perché dare i codici sotto inganno non è (di per sé) colpa grave

Il punto più importante, e meno conosciuto, è proprio questo: il fatto di aver comunicato tu i codici non costituisce, da solo, colpa grave. Conta come e perché li hai forniti.

La Corte di Cassazione, con l’ordinanza n. 23683 del settembre 2024, ha richiamato il criterio della diligenza del «banchiere prudente»: l’istituto di credito, che opera professionalmente e dispone di sistemi antifrode evoluti, deve adottare misure tecniche adeguate al livello reale del rischio. La colpa grave del cliente esonera la banca solo quando il comportamento è talmente negligente da annullare ogni cautela. E i giudici riconoscono che le frodi moderne, come lo spoofing e il vishing, sono progettate apposta per ingannare anche utenti diligenti: di conseguenza la colpa grave non è affatto automatica.

In altre parole: se sei stato vittima di una truffa sofisticata, che imitava perfettamente la tua banca, l’aver consegnato i codici è la prova che l’inganno ha funzionato, non la prova che sei stato gravemente negligente.

Gli elementi che giocano a tuo favore

La valutazione si gioca sulle circostanze concrete. Ecco gli indici che pesano nei due sensi.

Più indici della prima colonna ricorrono nel tuo caso, più sarà difficile per la banca sostenere la colpa grave.

Il ruolo dello spoofing e della mancata autenticazione forte

Due elementi tecnici fanno spesso la differenza. Il primo è lo spoofing: i truffatori falsificano il numero chiamante o il mittente degli SMS, così che sul tuo telefono compaia esattamente il nome o il numero della tua banca. Se ti sei fidato perché tutto sembrava autentico, la tua condotta appare ragionevole, non gravemente negligente.

Il secondo è l’autenticazione forte del cliente (SCA). La PSD2 impone alla banca di proteggere le operazioni con almeno due fattori indipendenti. Se l’operazione fraudolenta è passata senza una vera SCA, oppure se i sistemi della banca non hanno intercettato un’operazione anomala, la responsabilità si sposta verso l’istituto. Ricorda: è la banca che deve provare di aver applicato correttamente la SCA, non sei tu a dover dimostrare il contrario.

Cosa fare subito

I primi passi sono decisivi. In ordine:

1. Blocca e disconosci subito. Contatta la banca tramite i canali ufficiali (non quelli del truffatore), fai bloccare carta e conto e disconosci formalmente le operazioni non autorizzate. La tempestività conta.
2. Presenta un reclamo scritto. Invia un reclamo all’ufficio reclami della banca, chiedendo il rimborso e descrivendo per filo e per segno la dinamica (spoofing, SMS nel thread, pagina clonata, eventuale assenza di SCA). Conserva ogni schermata e messaggio.
3. Sporgi denuncia. Presenta querela o denuncia alle forze dell’ordine per frode informatica (art. 640-ter del codice penale) e/o truffa (art. 640). Allega copia di tutto.
4. Ricorri all’ABF. Se la banca rifiuta o non risponde entro i termini, puoi rivolgerti all’Arbitro Bancario Finanziario, lo strumento stragiudiziale dedicato proprio a queste controversie, prima ed eventualmente in alternativa alla causa civile.

Documentare tutto fin dal primo minuto è l’arma più efficace: è proprio sulle circostanze concrete che si decide se vi sia stata colpa grave.

La valutazione è caso per caso

Non esiste una regola automatica del tipo «hai dato i codici, quindi niente rimborso». La colpa grave si valuta caso per caso, soppesando tutti gli elementi visti sopra. A decidere è l’ABF, se hai scelto questa strada, oppure il giudice civile. Sono loro a stabilire se la tua condotta sia stata una leggerezza scusabile, di fronte a una truffa ingannevole, oppure una negligenza talmente grossolana da liberare la banca.

Per questo non bisogna arrendersi al primo «no» della banca: quel rifiuto è una posizione di parte, non un verdetto.

Un caso pratico

Tizio riceve un SMS che compare nello stesso thread dei messaggi veri della sua banca, seguito da una telefonata: sul display appare il numero ufficiale della filiale. Il sedicente operatore lo avverte di un «accesso sospetto» e gli chiede di confermare un codice per «bloccare la frode». Tizio, sotto pressione, lo comunica. Qui spoofing, SMS nel thread e urgenza giocano a suo favore: difficilmente si configura colpa grave, e il rimborso è plausibile.

Caio è nella stessa identica situazione, ma in più i sistemi antifrode della banca non bloccano un bonifico anomalo verso un beneficiario mai usato e l’operazione passa senza una vera autenticazione forte. La posizione di Caio è ancora più solida: la responsabilità pende verso la banca.

Sempronio, invece, aveva ricevuto giorni prima un avviso chiarissimo della banca («non comunicheremo mai i tuoi codici telefonicamente») e ciononostante li ha dettati a uno sconosciuto per un’operazione palesemente irrituale, ignorando ogni segnale. Qui il rischio che venga riconosciuta la colpa grave è concreto.

Tre storie simili, tre esiti diversi: la prova che, in materia di vishing, sono i dettagli a fare la differenza.

Ti hanno svuotato il conto con una truffa di phishing e la banca dice che è colpa tua? La regola, in realtà, è opposta: per le operazioni che disconosci, di norma la banca deve rimborsarti, a meno che provi un tuo dolo (cioè che eri complice) o una tua colpa grave. E l’orientamento più recente della Corte di Cassazione (ordinanza n. 23683 del 2024) è nettamente favorevole al correntista. Vediamo quando il rimborso spetta, quando no, e cosa devi fare subito.

La regola del d.lgs 11/2010: rimborso salvo dolo o colpa grave

I pagamenti non autorizzati sono disciplinati dal d.lgs. 27 gennaio 2010, n. 11, che ha attuato in Italia la direttiva europea sui servizi di pagamento (la cosiddetta PSD2). Il principio è semplice e protegge il cliente: se tu disconosci un’operazione, cioè dichiari di non averla autorizzata, la banca o il prestatore di servizi di pagamento (PSP) deve restituirti la somma.

L’unica via d’uscita per la banca è dimostrare che hai agito con dolo oppure con colpa grave. Non basta una tua disattenzione qualunque: deve trattarsi di una negligenza pesantissima. In tutti gli altri casi — comprese le frodi sofisticate, i finti SMS della banca, i siti clone — il rischio resta a carico dell’intermediario.

Un altro tassello importante è l’autenticazione forte del cliente (in inglese Strong Customer Authentication, SCA): per molte operazioni online la banca è obbligata a richiedere almeno due elementi di verifica indipendenti (ad esempio password più codice usa-e-getta sul telefono). Se la banca non ha applicato la SCA dove avrebbe dovuto, la sua posizione si aggrava notevolmente e il rimborso diventa molto difficile da negare.

Chi deve provare cosa: l’onere è della banca

È il punto che ribalta tutto. Quando contesti un’operazione, non sei tu a dover dimostrare di essere stato truffato: è la banca a dover provare che l’operazione era stata autenticata correttamente, registrata in modo accurato e non inficiata da guasti tecnici o malfunzionamenti del sistema.

In concreto significa che la banca deve portare elementi tecnici precisi. Non le basta dire «l’operazione è partita dal tuo dispositivo, dunque sei stato tu»: la legge esclude espressamente che la sola registrazione dell’operazione sia prova sufficiente del fatto che tu l’abbia autorizzata o che tu abbia agito con dolo o colpa grave. Tradotto: l’asticella probatoria pesa sulle spalle dell’intermediario, non sulle tue.

La svolta della Cassazione 2024: il «banchiere prudente»

Con l’ordinanza n. 23683 del settembre 2024 la Corte di Cassazione ha consolidato un orientamento molto favorevole al correntista. Il ragionamento è questo: la banca esercita un’attività professionale e per questo le si chiede la diligenza qualificata del «banchiere prudente» (la diligenza professionale di cui all’art. 1176, secondo comma, del Codice civile).

Da qui discende che la banca risponde di tutto ciò che rientra nella sua sfera di controllo tecnico: la sicurezza dei sistemi, l’efficacia dell’autenticazione, la capacità di intercettare operazioni anomale. L’unico modo per liberarsi è provare che la condotta del cliente sia stata così gravemente negligente da uscire dalle possibilità di controllo ragionevolmente esigibili dalla banca stessa.

È un’inversione di prospettiva che pesa: la frode informatica non viene più vista come un evento «esterno» di cui il cliente porta automaticamente il rischio, ma come un rischio tipico dell’attività bancaria, che la banca deve presidiare con strumenti adeguati.

Quando invece NON ti rimborsano: la colpa grave

Il rimborso non è automatico in ogni situazione. La banca può legittimamente rifiutarlo se prova il tuo dolo (eri d’accordo con il truffatore o hai simulato la frode) oppure la tua colpa grave.

La colpa grave, però, è molto più di una distrazione. Ricorre solo quando il comportamento è così imprudente da azzerare ogni cautela minima: pensa a chi comunica spontaneamente a uno sconosciuto, magari più volte, le credenziali complete e i codici di autenticazione, ignorando avvisi chiari e palesi. Nella pratica è un’ipotesi rara, perché le frodi moderne sono costruite apposta per sembrare comunicazioni legittime: loghi perfetti, numeri di telefono che risultano quelli della banca, messaggi che si inseriscono nello stesso thread degli SMS reali.

Per questo cadere in una truffa ben congegnata, da solo, non equivale a colpa grave. Il giudice valuta caso per caso quanto fosse riconoscibile l’inganno: più la frode era sofisticata, più difficile sarà per la banca dimostrare che tu sia stato gravemente negligente.

Cosa fare subito, passo per passo

La rapidità è decisiva, sia per recuperare i soldi sia per rafforzare la tua posizione. Ecco la sequenza.

1. Disconosci l’operazione e blocca lo strumento. Appena ti accorgi dell’addebito, contatta la banca (numero verde, app, filiale) e dichiara formalmente di non aver autorizzato l’operazione. Chiedi il blocco immediato di carta, conto online o app di pagamento, e fatti dare conferma scritta dell’orario della segnalazione.
2. Presenta un reclamo scritto. Invia alla banca un reclamo formale (PEC o raccomandata A/R), descrivendo i fatti, indicando le operazioni contestate, gli importi e le date, e chiedendo espressamente il rimborso. La banca ha un termine per risponderti; conserva ogni ricevuta.
3. Se non rimborsa, rivolgiti all’ABF. In caso di risposta negativa o di silenzio, puoi presentare ricorso all’Arbitro Bancario Finanziario (ABF), un organismo che decide le controversie tra clienti e banche in modo più rapido ed economico di una causa. In alternativa o in aggiunta resta sempre possibile la causa civile davanti al giudice ordinario.
4. Sporgi denuncia o querela. Recati dalle forze dell’ordine (Polizia Postale, Carabinieri) e presenta denuncia/querela per frode informatica, reato previsto dall’art. 640-ter del Codice penale. La denuncia documenta la natura illecita dell’accaduto e spesso è richiesta dalla banca nell’istruttoria.

Sul fronte dei tempi di rimborso: la regola generale prevede che, una volta segnalata l’operazione non autorizzata, la banca restituisca la somma entro la giornata operativa successiva alla segnalazione, riportando il conto allo stato in cui si trovava. La banca può sospendere il rimborso solo se ha un motivato sospetto di frode da parte tua, comunicandolo per iscritto: non è un alibi per rinviare a tempo indeterminato.

La franchigia dei 50 euro e quando non si applica

La legge prevede, per le operazioni non autorizzate compiute con uno strumento di pagamento smarrito, sottratto o utilizzato indebitamente, una franchigia a carico del cliente: storicamente fissata fino a 50 euro, è la quota di perdita che in linea di principio resta a tuo carico anche quando il resto ti viene rimborsato.

Attenzione, però, perché questa franchigia ha importanti eccezioni e non si applica quando:

• l’utilizzo indebito non poteva essere notato dal cliente prima del pagamento (cioè non potevi accorgerti per tempo della sottrazione);
• la perdita è stata causata da atti o omissioni della banca o di un suo dipendente;
• la banca non ha richiesto l’autenticazione forte (SCA) dove era obbligatoria.

In questi casi la franchigia salta e il cliente in buona fede non sopporta nemmeno i 50 euro. Resta inteso che se invece il cliente ha agito con dolo o colpa grave, il discorso franchigia non lo aiuta affatto: in quel caso può perdere l’intero importo. I dettagli numerici esatti e i casi puntuali di esclusione vanno sempre verificati sul testo aggiornato del d.lgs 11/2010 e sulle istruzioni della Banca d’Italia.

Un caso pratico: Tizio, Caio e Sempronio

Tizio riceve un SMS che sembra della sua banca, lo apre perché finisce nello stesso thread dei messaggi veri, clicca un link e inserisce le credenziali su un sito clone perfetto. Poche ore dopo gli svuotano il conto. Tizio disconosce subito, blocca tutto, fa reclamo e denuncia. La banca prova a dire che «l’operazione risulta autenticata», ma non dimostra una sua colpa grave: l’inganno era sofisticato e non riconoscibile. Tizio ha ottime probabilità di essere rimborsato, in linea con la Cassazione 2024.

Caio subisce la stessa truffa, ma scopre che la banca non aveva attivato l’autenticazione forte sui bonifici online. Qui la posizione della banca è ancora più debole: senza SCA dove era dovuta, non solo deve rimborsare, ma non può nemmeno applicare la franchigia dei 50 euro.

Sempronio, invece, riceve diverse telefonate da un «operatore», viene avvisato più volte dalla banca con messaggi che dicono espressamente di non comunicare i codici, eppure detta al truffatore tutti i codici usa-e-getta uno dopo l’altro autorizzando lui stesso i bonifici. Qui la banca può sostenere la colpa grave: il rimborso diventa molto incerto. La differenza, come si vede, non è nell’aver subito la frode, ma in quanto era riconoscibile e in cosa hai concretamente fatto o ignorato.

In sintesi: parti dal presupposto che il rimborso ti spetti, muoviti in fretta, metti tutto per iscritto e non accettare un rifiuto generico. L’onere di provare la tua colpa grave è della banca, e nelle frodi ben costruite è un onere tutt’altro che facile.