Truffe bancarie e spoofing: quando il click non è “colpa grave” e la banca deve risarcire

30 Luglio 2026

Non serve più forzare una cassaforte: oggi ai criminali informatici basta manipolare la fiducia. Per anni le frodi digitali sono state liquidate come un problema per utenti ingenui o poco avveduti. Oggi non è più così. Le tecniche di ingegneria sociale hanno raggiunto picchi di sofisticazione tali da indurre in errore professionisti, imprenditori e risparmiatori esperti.

Il salto di qualità definitivo è arrivato con lo spoofing: una tecnica di camuffamento informatico che permette ai truffatori di alterare l’identità di SMS, email e telefonate, facendoli apparire come comunicazioni ufficiali della propria banca o, persino, delle Forze dell’Ordine. Quando la truffa diventa fotocopia della realtà, il confine giuridico della responsabilità si sposta. La domanda, allora, diventa inevitabile: se il conto viene svuotato attraverso un inganno perfetto, la banca è davvero esente da colpa?

L’illusione ottica dello spoofing: perché la vittima non vede il pericolo

Il phishing tradizionale faceva leva su email sgrammaticate e link sospetti. Lo spoofing, invece, si insinua nei canali di comunicazione legittimi. Il correntista vede comparire sul display del cellulare il numero esatto del servizio clienti del proprio istituto; l’operatore all’altro capo del telefono conosce già il suo nome, il codice fiscale e spesso gli ultimi movimenti. In altri casi, l’SMS truffaldino che avvisa di un “accesso anomalo” si inserisce nella stessa identica chat dei messaggi autentici inviati in precedenza dalla banca.

Davanti a questa alterazione tecnologica, l’approccio dei tribunali e dell’Arbitro Bancario Finanziario (ABF) è radicalmente cambiato. Se un tempo si tendeva a colpevolizzare automaticamente il cliente per aver ceduto le proprie credenziali, oggi i giudici analizzano il livello di precisione della trappola, ponendo sotto la lente d’ingrandimento i sistemi di protezione dell’intermediario finanziario.

Tutto inizia con l’alterazione tecnologica del mittente: sul display del telefono compare il numero ufficiale della banca o, ancora peggio, l’SMS truffaldino si inserisce nella chat dei messaggi autentici ricevuti in passato.

A questo punto scatta la leva del panico: il finto operatore avvisa il cliente che è in corso un gravissimo attacco hacker e che il conto rischia di essere svuotato. Spinta dall’urgenza e convinta di interloquire con l’istituto, la vittima collabora per “mettere in sicurezza” i propri fondi. L’ultimo atto è il paradosso definitivo: convinto di proteggere i propri risparmi, il correntista inserisce i codici di autorizzazione o effettua un bonifico d’emergenza, consegnando di fatto il denaro direttamente nelle mani dei truffatori.

L’onere della prova è ribaltato

Il cuore legale della questione risiede nel D.Lgs. n. 11/2010 (che recepisce le direttive europee PSD e PSD2). L’articolo 10 stabilisce un principio cardine che tutela il consumatore: quando un correntista disconosce un’operazione, spetta alla banca l’onere di dimostrare che il pagamento è stato correttamente autenticato, registrato e che non ha subìto malfunzionamenti tecnici.

Tuttavia, la giurisprudenza ha chiarito che dimostrare il semplice utilizzo dei codici corretti (come l’inserimento dell’OTP) non basta a scagionare l’istituto. La banca, per sottrarsi all’obbligo di risarcimento, deve fornire la prova regina: dimostrare che il cliente ha agito con dolo o colpa grave.

Nel caso dello spoofing, considerare “colpa grave” la condotta di un utente che risponde a un numero identico a quello del servizio clienti o che clicca su un SMS integrato nella chat ufficiale è una tesi che regge sempre meno nelle aule di giustizia.

Cosa dice la normativa e come si sta orientando la giurisprudenza

Le frodi realizzate mediante tecniche di phishing e spoofing rappresentano oggi uno dei temi più complessi del contenzioso bancario, proprio perché richiedono un delicato equilibrio tra la tutela del correntista e gli obblighi di sicurezza gravanti sugli intermediari finanziari.

Il principale riferimento normativo è costituito dal D.Lgs. n. 11 del 27 gennaio 2010, come modificato in attuazione della Direttiva (UE) 2015/2366 (PSD2). In particolare, l’articolo 10 stabilisce che, quando un cliente contesta un’operazione di pagamento non autorizzata, spetta al prestatore di servizi di pagamento dimostrare che l’operazione sia stata correttamente autenticata, registrata e contabilizzata e che il sistema non abbia presentato anomalie.

Tuttavia, tale prova non è di per sé sufficiente a dimostrare che il cliente abbia autorizzato consapevolmente l’operazione o abbia agito con dolo o colpa grave.

Su quest’ultimo aspetto si è pronunciata la Corte di Cassazione con l’ordinanza n. 7214 del 13 marzo 2023, precisando che la responsabilità della banca può essere esclusa quando venga accertato che il correntista abbia tenuto un comportamento qualificabile come gravemente negligente, come nel caso esaminato dalla Corte, in cui il cliente aveva comunicato spontaneamente le proprie credenziali di sicurezza aderendo a una tradizionale e-mail di phishing.

La pronuncia, tuttavia, riguarda una fattispecie diversa rispetto alle più sofisticate frodi basate su tecniche di SMS spoofing o caller ID spoofing, nelle quali il truffatore riesce a simulare il numero telefonico o il canale ufficiale della banca.

Proprio su queste modalità più evolute si è sviluppata un’ampia giurisprudenza dell’Arbitro Bancario Finanziario (ABF), che negli ultimi anni ha più volte evidenziato come la valutazione della responsabilità debba essere effettuata caso per caso, verificando non solo il comportamento del cliente, ma anche l’efficacia dei sistemi di autenticazione, dei meccanismi antifrode e dei controlli predisposti dall’intermediario.

Per questo motivo non è possibile affermare in via generale che la banca sia sempre responsabile, così come non è corretto sostenere il contrario: ogni vicenda richiede un’attenta analisi della concreta dinamica della frode, delle misure di sicurezza adottate e dell’eventuale sussistenza di una colpa grave del correntista.

Cosa fare subito: la strategia per il recupero delle somme

In caso di frode, la tempestività non è un’opzione, ma un requisito procedurale. I passi fondamentali da compiere immediatamente sono:

• Blocco istantaneo: contattare il servizio clienti per bloccare l’accesso all’home banking e le carte associate.

• Cristallizzazione delle prove: non cancellare nulla. Conservare screenshot degli SMS, i log delle chiamate ricevute, le email e l’estratto conto.

• Denuncia formale: presentare una querela dettagliata alle Forze dell’Ordine, specificando che il mittente o il chiamante appariva come quello della banca (elemento cruciale per dimostrare lo spoofing).

• Reclamo e ricorso: inviare una formale richiesta di rimborso all’istituto e, in caso di diniego, valutare il ricorso all’ABF o alla magistratura ordinaria.

Il danno erariale privato: oltre al rimborso delle somme sottratte, qualora la condotta omissiva della banca (ad esempio il ritardo nel blocco del conto dopo la segnalazione) abbia causato ulteriori pregiudizi economici, il cliente ha il diritto di richiedere il risarcimento del maggior danno subìto.

La tecnologia ha reso invisibili le rapine in banca, spostando l’arena del crimine sugli schermi dei nostri smartphone. Ma i diritti dei correntisti restano solidi. Se sei stato vittima di una frode e l’istituto di credito ha respinto la tua richiesta di rimborso trincerandosi dietro una presunta “negligenza”, il supporto di professionisti esperti può fare la differenza.

Lo Studio Legale Bombaci & Partners analizza la dinamica tecnica di ogni tipo di truffa (come per i finti incidenti stradali) e verifica la conformità dei sistemi di sicurezza della banca e ti accompagna passo dopo passo per ottenere il totale ripristino delle tue somme e la tutela dei tuoi risparmi.

Avv. Alessio Bombaci