Mi hanno clonato la SIM (SIM swap) e svuotato il conto: chi paga, la banca o l’operatore?

Risposta secca: dopo un SIM swap che ti ha svuotato il conto possono risponderne sia la banca (per i pagamenti non autorizzati, salvo che tu abbia tenuto una condotta gravemente colposa, ipotesi rara in questo tipo di frode) sia l’operatore telefonico (per aver rilasciato un duplicato della tua SIM senza controlli adeguati). Conviene muoversi contro entrambi: disconosci subito le operazioni, fai reclamo alla banca e diffida all’operatore, e attiva gli strumenti gratuiti come l’ABF. Qui sotto trovi tutti i passaggi.

Cos’è il SIM swap e come funziona la truffa

Il SIM swap (letteralmente “scambio di SIM”) è una frode in cui un malintenzionato ottiene un duplicato della tua scheda telefonica, di solito presentandosi all’operatore (di persona o online) con documenti falsi o rubati e fingendosi te. Nel momento in cui il duplicato viene attivato, la tua SIM originale smette di funzionare e il tuo numero passa, di fatto, nelle mani del truffatore.

Perché è così pericoloso? Perché oggi gran parte della sicurezza bancaria si appoggia al telefono: i codici OTP e gli SMS di conferma servono ad autorizzare bonifici, pagamenti e accessi. Chi controlla il tuo numero intercetta quei codici e riesce a autorizzare operazioni sul tuo conto come se fossi tu. In poche ore il conto può essere svuotato con bonifici, ricariche o acquisti.

Il punto da tenere a mente è questo: la frode nasce a monte, sul versante dell’operatore telefonico, perché senza il duplicato della SIM il truffatore non avrebbe mai potuto ricevere i codici. Questo, come vedremo, pesa molto sulla questione di chi deve risarcirti.

Due possibili responsabili: banca e operatore telefonico

A differenza di altre truffe, nel SIM swap ci sono due soggetti che possono aver commesso un errore e che quindi possono essere chiamati a rispondere.

Da un lato la banca (o l’istituto di pagamento), che per legge deve rimborsare i pagamenti non autorizzati dal cliente. Il quadro di riferimento è il d.lgs. 11/2010, che ha recepito le direttive europee sui servizi di pagamento (la cosiddetta PSD2). La regola di fondo è semplice: se contesti un’operazione che non hai autorizzato, la banca deve rimborsartela, salvo che riesca a dimostrare il dolo o la colpa grave da parte tua. L’onere della prova è suo, non tuo.

Dall’altro lato l’operatore telefonico, che ha rilasciato il duplicato della SIM. Se lo ha fatto senza verificare seriamente l’identità di chi chiedeva la nuova scheda, ha tenuto una condotta negligente che ha reso possibile l’intera frode. In questo caso l’operatore può rispondere a titolo di responsabilità per i danni causati e anche per un trattamento illecito dei tuoi dati, perché ha permesso a un estraneo di subentrare nella tua utenza.

I due fronti non si escludono: puoi agire contemporaneamente contro la banca per ottenere il rimborso delle operazioni e contro l’operatore per la sua parte di responsabilità.

Perché nel SIM swap è difficile attribuirti una colpa grave

La banca, per non rimborsarti, deve provare che hai agito con colpa grave: ad esempio che hai consegnato i tuoi codici a uno sconosciuto o che hai ignorato segnali di allarme evidenti. Nel SIM swap questa prova è particolarmente difficile da raggiungere, ancora più che nel classico phishing.

Il motivo è che la frode si svolge fuori dal tuo controllo: tu non hai cliccato su nulla, non hai dato codici a nessuno, non hai sbagliato. È stato l’operatore a consegnare il duplicato della SIM a un truffatore. Tu, semmai, sei la vittima di quella consegna. Difficile sostenere che tu sia stato gravemente imprudente per qualcosa accaduto allo sportello (o online) di un’altra azienda.

Su questo terreno la giurisprudenza è severa con le banche. La Cassazione, con l’ordinanza n. 23683 del settembre 2024, ha ribadito che l’istituto di credito deve comportarsi con la diligenza del “banchiere prudente”, valutando con attenzione i rischi di frode tipici dei pagamenti elettronici. Se un’operazione anomala passa nonostante i sistemi di sicurezza, la posizione della banca è debole. Esiste inoltre giurisprudenza, anche dell’Arbitro Bancario Finanziario, che nei casi di SIM swap ha riconosciuto la responsabilità della banca e/o dell’operatore: vale la pena farsi assistere per verificare le pronunce più recenti e citarle nel reclamo o nel ricorso.

Cosa fare nelle prime ore

Il primo campanello d’allarme è quasi sempre lo stesso: il telefono smette di funzionare. Sul display compare “nessun servizio” o “SIM non valida”, non riesci a chiamare né a ricevere SMS. Non è un guasto qualunque: potrebbe significare che la tua SIM è stata disattivata da un duplicato. Reagisci subito.

1. Contatta l’operatore telefonico da un altro telefono o di persona, segnala il sospetto SIM swap e chiedi il blocco immediato del duplicato e il riaccredito del tuo numero.
2. Contatta la banca e fai bloccare il conto, le carte e gli accessi all’home banking. Chiedi di sospendere bonifici e pagamenti in corso.
3. Disconosci per iscritto tutte le operazioni che non riconosci, indicando data, importo e beneficiario. Conserva ogni schermata e ricevuta.
4. Annota tempi e contatti: a che ora la SIM ha smesso di funzionare, quando hai chiamato, con chi hai parlato. Questa cronologia sarà preziosa.

La rapidità conta: prima blocchi, meno operazioni passano e più chiara risulta la tua buona fede.

Come agire contro la banca e contro l’operatore

Passata l’emergenza, si apre la fase delle richieste formali. Conviene procedere su entrambi i fronti.

Contro la banca

• Reclamo scritto all’ufficio reclami, chiedendo il rimborso delle operazioni non autorizzate e ricordando che spetta alla banca provare l’eventuale tua colpa grave. La banca ha tempi precisi per risponderti.
• Se la risposta non arriva o è negativa, puoi presentare ricorso all’Arbitro Bancario Finanziario (ABF), uno strumento gratuito o a costo molto contenuto, senza bisogno di avvocato, che decide sulle controversie con banche e istituti di pagamento.
• In alternativa o in aggiunta resta la causa civile davanti al giudice ordinario, da valutare soprattutto per importi rilevanti.

Contro l’operatore telefonico

• Reclamo e poi diffida formale, in cui contesti il rilascio del duplicato senza controlli e chiedi il risarcimento dei danni.
• Segnalazione al Garante per la protezione dei dati personali per il rilascio illecito del duplicato e la perdita del controllo sui tuoi dati.
• Conserva la prova che la frode è partita dal duplicato SIM (data di attivazione del duplicato, blocco della tua SIM): è il collegamento che lega la negligenza dell’operatore al danno subito.

Le denunce penali

Oltre alle richieste di rimborso, è importante sporgere denuncia-querela presso le forze dell’ordine. Serve sia ad avviare le indagini, sia a rafforzare la tua posizione nei confronti di banca e operatore, perché documenta che sei stato vittima di un reato. I reati tipicamente contestabili sono:

• Frode informatica (art. 640-ter c.p.): chi, alterando un sistema informatico o intervenendo senza diritto su dati, procura a sé un profitto con altrui danno – è la norma cardine per i prelievi e i bonifici fraudolenti.
• Sostituzione di persona (art. 494 c.p.): chi si attribuisce una falsa identità per indurre in errore – qui, spacciandosi per te davanti all’operatore.
• Accesso abusivo a un sistema informatico (art. 615-ter c.p.): chi entra senza titolo nel tuo home banking protetto da credenziali.

La denuncia va corredata con tutta la documentazione raccolta: estratti conto, disconoscimenti, comunicazioni con banca e operatore.

Un caso pratico

Tizio, una mattina, si accorge che il telefono segna “nessun servizio”. Pensa a un guasto, ma poco dopo, da un altro apparecchio, vede sull’app della banca tre bonifici che non ha mai disposto, per un totale di diverse migliaia di euro, verso un certo Caio a lui sconosciuto. Capisce subito: è un SIM swap.

Tizio chiama l’operatore e scopre che il giorno prima qualcuno, presentandosi con un documento falso, ha richiesto e ottenuto un duplicato della sua SIM. Fa bloccare tutto, blocca il conto in banca, disconosce per iscritto i tre bonifici e sporge denuncia-querela per frode informatica e sostituzione di persona.

Poi agisce su due fronti. Manda un reclamo alla banca chiedendo il rimborso: la banca prova a sostenere che è stato lui ad autorizzare, ma non riesce a dimostrare alcuna colpa grave, perché Tizio non ha mai consegnato codici a nessuno. In parallelo invia una diffida all’operatore e una segnalazione al Garante per il duplicato rilasciato senza controlli. Davanti al rischio di soccombere, e ricordando l’orientamento della Cassazione sulla diligenza del banchiere prudente, la banca riconosce il rimborso, mentre la posizione dell’operatore resta esposta per la negligenza iniziale. Sempronio, vicino di Tizio, vittima della stessa truffa ma che aveva atteso settimane prima di reagire, ottiene invece molto più a fatica i suoi soldi: la tempestività, anche qui, fa la differenza.