📋 Indice
- Introduzione: un fenomeno in costante crescita
- Le principali tipologie di truffe bancarie online
- Il phishing: l’inganno via email
- Lo smishing: SMS fraudolenti
- Il vishing: la frode telefonica
- Il quadro normativo di riferimento
- La responsabilità della banca: evoluzione giurisprudenziale
- Misure di sicurezza e onere della prova
- La colpa del cliente: quando sussiste?
- Come tutelarsi: consigli pratici e azioni legali
- Prevenzione e buone pratiche
- Cosa fare in caso di truffa
- Ricorso all’Arbitro Bancario Finanziario
- Profili di responsabilità penale
- Conclusioni e prospettive future
📱 Introduzione: un fenomeno in costante crescita
I servizi bancari hanno subito una profonda trasformazione negli ultimi anni, con la quasi totale digitalizzazione delle operazioni quotidiane. Parallelamente, le truffe online si sono moltiplicate, creando nuove sfide per istituti di credito e correntisti. Phishing, smishing e vishing rappresentano oggi le tecniche fraudolente più diffuse, con un unico obiettivo: impossessarsi delle credenziali di accesso per svuotare conti correnti e carte di credito. Tale fenomeno solleva interrogativi giuridici complessi, specialmente in merito all’attribuzione di responsabilità tra banche e clienti.
Mi trovo spesso ad affrontare casi di clienti che si vedono negare il rimborso dalle proprie banche, le quali tendono a scaricare la responsabilità sul correntista, accusandolo di negligenza nella custodia delle credenziali. Il panorama normativo italiano ed europeo, tuttavia, offre strumenti di tutela significativi che meritano un’analisi approfondita per orientare correttamente sia il professionista che il consumatore.
🕸️ Le principali tipologie di truffe bancarie online
Il phishing: l’inganno via email
Il phishing costituisce, nella mia esperienza professionale, una delle frodi più frequenti nei contenziosi bancari. Questa tecnica, il cui nome richiama l’azione di “pescare” (fishing) informazioni riservate, si concretizza nell’invio di messaggi di posta elettronica fraudolenti che simulano comunicazioni di banche o altri enti. L’email truffaldina è spesso curata nei minimi dettagli, con loghi ufficiali e formattazione identica a quella autentica, inducendo anche i correntisti più attenti a cadere nella trappola.
La Corte di Cassazione, con la sentenza numero 7217/2023, ha tracciato un’importante linea interpretativa, stabilendo che:
“Se un cliente di una banca cade vittima di truffe online e fornisce informazioni personali quali il proprio user-ID o la password per accedere al proprio home banking, e la banca ha adottato tutte le misure di sicurezza efficaci per impedire che ciò accada, la responsabilità resta in capo al correntista e non può essere fatta ricadere sull’Istituto di Credito.”
Ho osservato come tale pronuncia abbia determinato un significativo cambio di rotta nella gestione dei contenziosi, creando una sorta di scudo per gli istituti bancari e riducendo il numero di risarcimenti accordati ai correntisti vittime di phishing.
Lo smishing: SMS fraudolenti
Lo smishing rappresenta l’evoluzione del phishing sul canale degli SMS. Nel corso della mia attività professionale, ho riscontrato un aumento esponenziale di questi casi negli ultimi anni. Il termine deriva dalla fusione di “SMS” e “phishing” e indica l’invio di messaggi di testo contenenti link ingannevoli che conducono a pagine contraffatte dove vengono carpiti dati personali e bancari.
Ciò che rende particolarmente insidiosa questa tipologia di frode è l’immediatezza e la percezione di affidabilità che gli utenti attribuiscono ai messaggi ricevuti sul proprio cellulare. In tribunale, ho spesso evidenziato come il carattere di urgenza di tali comunicazioni (“blocco del conto in corso“, “operazione sospetta rilevata“) costituisca un elemento determinante nell’indurre anche persone normalmente caute a cliccare sui link fraudolenti.
Il vishing: la frode telefonica
Il vishing rappresenta una delle tecniche di frode più sofisticate che ho dovuto affrontare in sede giudiziale. Questa modalità, che unisce “voice” e “phishing“, si realizza mediante telefonate nelle quali il truffatore, spacciandosi per un operatore bancario, richiede informazioni personali con pretesti apparentemente legittimi.
Ho assistito clienti vittima di vishing che hanno ricevuto chiamate estremamente convincenti, durante le quali l’interlocutore mostrava di conoscere dati personali della vittima (spesso ottenuti mediante precedenti attività di phishing o acquistati sul dark web), creando così un contesto di fiducia. La manipolazione psicologica messa in atto dai truffatori rappresenta un elemento determinante, difficile da contrastare con le ordinarie misure di sicurezza informatica.
Le tecniche di spoofing telefonico, che permettono di falsificare il numero chiamante facendolo apparire come quello ufficiale della banca, costituiscono un ulteriore elemento di complessità che ho dovuto dimostrare in sede di contenzioso per sostenere l’assenza di colpa grave nei comportamenti dei miei assistiti.
⚖️ Il quadro normativo di riferimento
In materia di truffe bancarie online, il legislatore è intervenuto con disposizioni specifiche che ho frequentemente richiamato nelle mie difese. Il Decreto Legislativo 11/2010, che ha recepito la direttiva europea 2007/64/CE sui servizi di pagamento, costituisce il cardine della disciplina. L’articolo 10 del decreto stabilisce:
“1. Qualora un utilizzatore di servizi di pagamento neghi di aver autorizzato un’operazione di pagamento già eseguita o sostenga che questa non sia stata correttamente eseguita, è onere del prestatore di servizi di pagamento provare che l’operazione di pagamento è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti.
- Quando l’utilizzatore di servizi di pagamento neghi di aver autorizzato un’operazione di pagamento eseguita, l’utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento non è di per sé necessariamente sufficiente a dimostrare che l’operazione sia stata autorizzata dall’utilizzatore medesimo, né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o più degli obblighi di cui all’articolo 7.”
Nella mia pratica professionale, ho rilevato come l’autenticazione forte del cliente rappresenti un elemento decisivo per determinare la responsabilità delle parti. L’articolo 97 della PSD2 (Payment Services Directive 2) ha introdotto obblighi stringenti per gli istituti bancari:
“1. Gli Stati membri assicurano che un prestatore di servizi di pagamento applichi l’autenticazione forte del cliente quando il pagatore: a) accede al suo conto di pagamento online; b) dispone un’operazione di pagamento elettronico; c) effettua qualsiasi azione, tramite un canale a distanza, che può comportare un rischio di frode nei pagamenti o altri abusi.”
Ho frequentemente contestato alle banche convenute la mancata implementazione di sistemi di autenticazione a più fattori, sostenendo l’inadempimento degli obblighi di diligenza professionale.
🧩 La responsabilità della banca: evoluzione giurisprudenziale
Nel corso della mia carriera, ho assistito a un’importante evoluzione giurisprudenziale in materia di responsabilità bancaria per le truffe online. Da un orientamento iniziale maggiormente favorevole agli istituti di credito, si è passati a interpretazioni più attente alle esigenze di tutela del cliente.
Nelle prime cause che ho seguito, le condanne agli intermediari bancari venivano fondate sulla normativa del D.Lgs. n. 196/2003, il cui art. 15 (oggi abrogato) prevedeva:
“Chiunque cagioni danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’articolo 2050 del codice civile.”
In una seconda fase, che ho potuto sperimentare direttamente nelle aule di tribunale, i giudici hanno preferito richiamare la responsabilità contrattuale della banca secondo la disciplina del mandato ex art. 1856 c.c.:
“La banca risponde secondo le regole del mandato per l’esecuzione di incarichi ricevuti dal correntista o da altro cliente. Se l’incarico deve eseguirsi su una piazza dove non esistono filiali della banca, questa può incaricare dell’esecuzione un’altra banca o un suo corrispondente.”
Più recentemente, in molti contenziosi che ho patrocinato davanti all’Arbitro Bancario Finanziario, ho osservato un ulteriore cambio di passo verso la configurazione di una vera e propria responsabilità oggettiva dell’intermediario.
In una causa particolare che ho discusso nel 2022, ho richiamato con successo la sentenza della Cassazione n. 9158/2018, secondo cui:
“In caso di operazioni effettuate a mezzo di strumenti elettronici, la sicurezza del sistema va ricondotta nell’area del rischio professionale dell’intermediario prestatore dei servizi di pagamento. L’istituto di credito è tenuto ad una diligenza valutabile tenendo conto del modello dell’operatore professionale, qual è l’accorto banchiere (bonus nummarius).”
Tale pronuncia ha rappresentato un punto di svolta, permettendomi di sostenere efficacemente che la corretta operatività del servizio bancario mediante collegamento telematico rientra nel rischio d’impresa, con conseguente responsabilità oggettiva o semioggettiva della banca.
🛡️ Misure di sicurezza e onere della prova
Nella mia esperienza forense, la questione delle misure di sicurezza e l’allocazione dell’onere probatorio rappresentano aspetti determinanti nell’esito dei contenziosi riguardanti le truffe bancarie online.
Ho avuto modo di citare, in diverse memorie difensive, una significativa pronuncia del Tribunale di Milano, che ha sottolineato:
“A partire dal 2005, i principali istituti di credito europei si sono dotati di meccanismi di autenticazione OTP nei casi di servizio bancario erogato on line, e proprio perciò ha ritenuto responsabile la banca convenuta per non essersi ancora adeguata agli standard di sicurezza dei sistemi informativi, non avendo adottato, nel servizio di home banking, quel sistema di autenticazione basato su OTP, che all’epoca dei fatti costitutiva uno standard consolidato per la tutela dei clienti di banche dal phishing e dai programmi spia.”
Tale orientamento mi ha consentito di contestare efficacemente alle banche convenute la mancata adozione degli standard di sicurezza ormai consolidati nel settore.
In una recente causa vinta, ho fatto leva sulla sentenza della Cassazione n. 9158/2018, richiamando il principio secondo cui:
“La banca è tenuta ad approntare misure idonee a verificare la riconducibilità delle operazioni alla volontà del cliente ed escludere la possibilità di una abusiva utilizzazione delle credenziali di accesso da parte dei terzi (a meno che non ricorra il dolo del titolare). È la banca a dover fornire la prova della riconducibilità dell’operazione al cliente.”
Nella pratica processuale, questo implica che l’onere della prova grava principalmente sull’istituto di credito, che deve dimostrare non solo di aver adottato tutte le misure di sicurezza prescritte dalla normativa, ma anche l’eventuale colpa grave del cliente. Ho spesso sottolineato nelle mie arringhe come tale allocazione dell’onere probatorio derivi dalla posizione di superiore conoscenza tecnica della banca rispetto al comune correntista.
🔍 La colpa del cliente: quando sussiste?
Uno degli aspetti più controversi che ho dovuto affrontare nelle cause di truffe bancarie online riguarda la determinazione della colpa del cliente. Non tutti i comportamenti negligenti, infatti, sono sufficienti a esonerare la banca dalla propria responsabilità risarcitoria.
Mi sono spesso richiamato alla sentenza della Cassazione n. 9158/2018, che ha stabilito un principio fondamentale:
“La sussistenza di grave negligenza in capo al cliente va provata dalla banca, che deve allegare circostanze a supporto. La banca va esente da responsabilità e non risponde del danno patito dal cliente solo qualora dimostri che il fatto sia attribuibile al dolo del correntista o a comportamenti particolarmente incauti. La colpa del cliente non può essere dimostrata in via presuntiva.”
Nel contenzioso bancario, ho riscontrato come gli istituti di credito tendano a sostenere la sussistenza della colpa grave del cliente sulla base di mere presunzioni, approccio che ho sistematicamente contestato con successo nelle mie difese.
Particolarmente utile nella mia pratica professionale è risultata la decisione del Collegio di Coordinamento dell’Arbitro Bancario Finanziario n. 22745/2020, secondo cui:
“Nonostante lo sviluppo tecnologico abbia reso sempre più complessa la possibilità di individuare le possibili frodi e sempre più aggressive le attività illecite del settore, è sempre necessario prestare attenzione ai segnali di inattendibilità spesso presenti nei messaggi incriminati, come l’indirizzo e-mail del mittente, la presenza di errori grammaticali, il carattere di urgenza nell’effettuare un’operazione e la presenza di link non riconducibili al proprio istituto di credito.”
Tale pronuncia mi ha permesso di strutturare l’analisi dei comportamenti dei miei assistiti, distinguendo tra semplice negligenza e colpa grave, evidenziando come solo quest’ultima possa esonerare la banca dalle proprie responsabilità.
📋 Come tutelarsi: consigli pratici e azioni legali
Prevenzione e buone pratiche
Nella mia attività di consulenza preventiva, suggerisco sempre ai clienti alcune regole fondamentali per evitare di cadere vittime di truffe bancarie online. La prevenzione rappresenta indubbiamente la strategia più efficace, permettendo di evitare i lunghi e costosi contenziosi successivi.
Richiamo spesso un principio basilare:
“Una sola regola aurea vige in rete, tra persone per bene: nessuno, per nessuna ragione al mondo, ci chiederà mai le nostre password e i nostri codici di accesso. Quindi se ci arriva una e-mail allarmista che ci informa che il nostro conto corrente è compromesso e dobbiamo fornire la nostra password, non crediamoci, si tratta di un tentativo di phishing.”
Oltre a questo, consiglio sempre alcune misure cautelative:
🔹 Verificare l’autenticità delle comunicazioni confrontando l’indirizzo email del mittente con quelli ufficiali della banca 🔹 Evitare di cliccare su link contenuti in email o SMS sospetti, preferendo l’accesso diretto al sito della banca 🔹 Non comunicare mai codici di accesso o dati personali in risposta a richieste telefoniche o via email 🔹 Adottare password complesse e diverse per ciascun servizio online utilizzato 🔹 Attivare l’autenticazione a due fattori per i servizi che la supportano 🔹 Controllare regolarmente i movimenti del conto per rilevare tempestivamente eventuali operazioni sospette 🔹 Mantenere aggiornati dispositivi e applicazioni utilizzate per l’accesso ai servizi bancari
Cosa fare in caso di truffa
Quando un cliente mi contatta dopo essere stato vittima di una truffa bancaria, il mio primo consiglio è di agire con la massima tempestività. La celerità nell’intervento rappresenta infatti un elemento cruciale, che ho visto fare la differenza in numerosi contenziosi.
Le azioni che raccomando immediatamente sono:
🔹 Contattare la banca tramite i canali ufficiali per bloccare le operazioni sospette e il conto corrente 🔹 Sporgere denuncia alle autorità competenti, documentando nei dettagli la dinamica della frode 🔹 Presentare un reclamo formale all’istituto bancario, contestando le operazioni non autorizzate 🔹 Raccogliere e preservare ogni prova relativa alla truffa (email, SMS, screenshot, registrazioni) 🔹 Modificare immediatamente le credenziali di accesso ai servizi potenzialmente compromessi
In diversi casi che ho seguito, ho potuto constatare l’efficacia di un intervento rapido nel limitare i danni derivanti da operazioni fraudolente. Particolarmente rilevante è la previsione normativa secondo cui:
“In presenza di contestazioni, l’istituto finanziario è tenuto a dimostrare di aver rispettato gli standard di sicurezza previsti dalla direttiva europea PSD (recepita in Italia con il D.Lgs. n. 218/2017). In caso di mancata dimostrazione, la banca è obbligata a rimborsare il cliente per le somme sottratte e, se necessario, risarcire ulteriori danni.”
Ricorso all’Arbitro Bancario Finanziario
Nei casi in cui la banca rifiuti il rimborso delle somme fraudolentemente sottratte, suggerisco frequentemente ai miei clienti di rivolgersi all’Arbitro Bancario Finanziario (ABF). Nella mia esperienza, l’ABF rappresenta un’alternativa efficace, economica e relativamente rapida rispetto al contenzioso ordinario.
L’ABF è un organismo indipendente, introdotto dall’art. 128-bis del Testo Unico Bancario (l. n. 262/2005), che offre una procedura stragiudiziale per risolvere le controversie tra clienti e intermediari finanziari.
La procedura che abitualmente seguo per i miei assistiti prevede:
- La presentazione di un reclamo formale alla banca, redatto con precisione tecnico-giuridica
- In caso di risposta insoddisfacente o di mancata risposta entro 30 giorni, la predisposizione di un ricorso dettagliato all’ABF
- Il versamento di un contributo di 20 euro, che viene rimborsato in caso di accoglimento anche parziale della domanda
- L’attesa della decisione, che solitamente interviene entro un termine di 90 giorni
Un aspetto che ritengo opportuno evidenziare ai clienti è che:
“Il ricorso all’ABF non preclude l’accesso all’ordinario giudizio civile, atteso che le decisioni dello stesso non sono vincolanti.”
Questa caratteristica permette di tentare la via stragiudiziale senza rinunciare alla possibilità di adire successivamente il giudice ordinario, strategia che si è rivelata vincente in diversi casi complessi che ho seguito.
💼 Profili di responsabilità penale
Le truffe bancarie online non integrano esclusivamente illeciti civili, ma configurano anche fattispecie penalmente rilevanti. Nel corso della mia attività professionale, mi sono trovato spesso a dover coordinare l’azione civile con la denuncia penale, al fine di ottenere una tutela completa per i miei assistiti.
La normativa penale applicabile in questi casi è variegata. L’art. 167 del Codice della privacy prevede che:
“Chiunque, al fine di trarne per sè o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dal presente codice, è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi.”
Nella maggior parte dei casi di phishing, smishing e vishing che ho trattato, si configura anche il reato di truffa previsto dall’art. 640 c.p., che punisce:
“Chiunque, con artifizi o raggiri, inducendo taluno in errore, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a euro 1.032.”
Nei casi più gravi, ho sostenuto con successo la configurabilità della truffa aggravata ai sensi dell’art. 640, 2° comma, c.p., fattispecie che si realizza quando il fatto:
“è commesso ingenerando nella persona offesa il timore di un pericolo immaginario o l’erroneo convincimento di dovere eseguire un ordine dell’autorità […] o se il fatto è commesso con abuso della qualità di operatore del sistema.”
La rilevanza penale di queste condotte costituisce un elemento importante anche nell’ambito del contenzioso civile, contribuendo a delineare il quadro complessivo di tutela del correntista danneggiato.
🌐 Conclusioni e prospettive future
Il fenomeno delle truffe bancarie online rappresenta una sfida in continua evoluzione, che richiede un costante aggiornamento sia degli strumenti di prevenzione che delle strategie difensive. Nella mia esperienza professionale, ho rilevato come l’equilibrio tra responsabilità della banca e del cliente debba essere valutato caso per caso, tenendo conto del concreto comportamento di entrambe le parti e del contesto tecnologico di riferimento.
La giurisprudenza, pur riconoscendo generalmente un’ampia responsabilità in capo alle banche in ragione della loro superiore competenza tecnica e della loro posizione di garanti della sicurezza delle transazioni, esige comunque un comportamento diligente da parte dei correntisti. Il problema centrale, che ho dovuto affrontare in numerosi contenziosi, riguarda la distinzione tra semplice negligenza e colpa grave, confine spesso labile e soggetto a interpretazioni contrastanti.
Per il futuro, ritengo che assisteremo a un ulteriore rafforzamento degli obblighi di sicurezza a carico degli istituti bancari, con l’adozione di tecnologie sempre più sofisticate per la prevenzione delle frodi, come l’intelligenza artificiale per l’individuazione di transazioni anomale e i sistemi biometrici per l’autenticazione dell’utente. Parallelamente, sarà indispensabile promuovere una maggiore alfabetizzazione digitale dei correntisti, aspetto su cui insisto frequentemente nella mia attività di consulenza preventiva.
📞 Hai bisogno di assistenza?
Se sei stato vittima di una truffa bancaria online o desideri ricevere una consulenza preventiva sui rischi connessi all’home banking, il nostro Studio Legale è a tua disposizione. Offriamo assistenza specializzata nella tutela dei diritti dei correntisti, con particolare esperienza nella gestione dei contenziosi relativi a frodi informatiche in ambito bancario. Contattaci per una prima valutazione del tuo caso.
📍 Dove trovarci:
Studio Legale Montinaro Via M.R. Imbriani n. 24, Lecce
📱 Contatti:
- Telefono: 0832/1827251
- Email: segreteria@studiomontinaro.it
- Orari: Lun-Ven 9:00-19:00 | Appuntamenti anche il sabato mattina su prenotazione
Richiedi Consulenza – Il primo passo per proteggere il tuo patrimonio e i diritti dei tuoi cari