Ventimila euro restituiti a un correntista che aveva digitato personalmente, uno dopo l’altro, i codici di conferma dei bonifici con cui i truffatori gli stavano svuotando il conto. È l’esito, nel maggio 2026, di una causa decisa dal Tribunale di Milano contro un istituto di credito che aveva opposto il diniego consueto: l’operazione risulta autorizzata, il rimborso non spetta. Chi subisce una truffa telefonica o un phishing ben costruito arriva quasi sempre alla stessa conclusione, e cioè che avendo eseguito materialmente l’operazione abbia perso ogni diritto. La disciplina dei servizi di pagamento dice altro, e lo dice dal 2010: solo che le lettere di diniego delle banche, comprensibilmente, non lo mettono in evidenza.
L’onere della prova è della banca, non del cliente
Il testo di riferimento è il Decreto Legislativo n. 11 del 2010, che ha recepito le direttive europee sui servizi di pagamento. La sua architettura rovescia lo schema che la vittima si aspetta. Quando il cliente nega di aver autorizzato un’operazione già eseguita, l’articolo 10 pone a carico dell’intermediario, cioè della banca o dell’istituto che gestisce il pagamento, l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, e che non ha risentito di malfunzionamenti. Lo stesso articolo aggiunge il passaggio decisivo: l’utilizzo registrato dello strumento di pagamento non basta, di per sé, a dimostrare che l’operazione sia stata autorizzata dal cliente, né che il cliente abbia agito in modo fraudolento o gravemente negligente. Non è la vittima a dover provare la truffa: è la banca a dover provare la colpa grave di chi l’ha subita.
Le conseguenze pratiche sono precise. Se la banca non assolve quest’onere, l’articolo 11 impone il rimborso dell’importo, di regola entro la fine della giornata operativa successiva alla comunicazione del cliente. Il cliente, dal canto suo, deve disconoscere l’operazione senza indugio, e comunque entro tredici mesi dall’addebito, come prevede l’articolo 9. L’articolo 12 aggiunge un tassello che molti dinieghi omettono: se la banca non ha preteso l’autenticazione forte, cioè la verifica dell’identità su almeno due fattori indipendenti tra loro, il cliente non sopporta alcuna perdita, salvo che abbia agito lui stesso in frode.
In questo quadro, la lettera di diniego standard («l’operazione risulta regolarmente autenticata con i codici in suo possesso») non è l’assolvimento dell’onere della prova: ne è, al più, l’annuncio. Autenticazione e autorizzazione non coincidono: che i codici siano stati inseriti dice come l’operazione è passata, non chi l’ha davvero voluta. La giurisprudenza di legittimità, del resto, riconduce da anni il rischio delle frodi informatiche al rischio d’impresa dell’intermediario, che del sistema di pagamento è l’organizzatore professionale e ne trae profitto.
Tre scenari che i dinieghi trattano allo stesso modo
- Il primo scenario è l’operazione mai disposta. Le credenziali sono state carpite con un phishing classico o con un software malevolo, e il bonifico è partito senza alcun gesto del cliente, che scopre l’addebito a cose fatte. È il terreno in cui la posizione della vittima è più solida: se la banca non dimostra la colpa grave, e la sola produzione dei tracciati informatici di norma non vi riesce, il rimborso è la regola.
- Il secondo scenario è la truffa con manipolazione, oggi la più diffusa: lo spoofing e il vishing, tecniche con cui il cliente viene indotto a operare da un SMS che compare nella conversazione autentica della banca o da una telefonata che parte, in apparenza, dal numero ufficiale dell’istituto. Qui la partita si gioca sui dettagli concreti. Il Tribunale di Milano, nella sentenza del maggio 2026 richiamata in apertura, ha escluso la colpa grave del correntista proprio perché la messinscena sfruttava i canali che la banca stessa usa per comunicare: l’inserimento dei codici, in quelle condizioni, non prova un’autorizzazione libera e consapevole. Pochi giorni prima, però, il Collegio di coordinamento dell’Arbitro Bancario Finanziario, con la decisione n. 4274 del 12 maggio 2026, aveva ritenuto gravemente negligente il cliente che aveva comunicato a voce i propri codici a un sedicente operatore antifrode, esonerando l’intermediario. La linea di confine si ricostruisce caso per caso: quanto la truffa era innestata nei canali autentici della banca, quali sistemi di allerta e di blocco delle operazioni anomale l’istituto aveva attivato, che cosa esattamente il cliente ha fatto e in quale sequenza.
- Il terzo scenario riguarda le imprese e rovescia la prospettiva. Quando un dipendente abilitato ai pagamenti esegue il bonifico chiesto da una falsa email del titolare, la cosiddetta truffa del CEO, l’operazione è, nei confronti della banca, autorizzata a tutti gli effetti: l’ha disposta chi aveva il potere di disporla. La Cassazione, con l’ordinanza n. 3263 del 13 febbraio 2026, ha confermato in un caso simile il licenziamento per giusta causa della dipendente contabile e la sua condanna a restituire all’azienda i quasi sedicimila euro bonificati: per chi maneggia pagamenti da anni, la diligenza richiesta dall’articolo 2104 del codice civile è qualificata, e le anomalie della richiesta imponevano di fermarsi e verificare. Per l’impresa, dunque, la tutela non passa dal disconoscimento ma dalla prevenzione interna.
Le mosse delle prime quarantotto ore
Per il privato truffato, l’ordine delle mosse conta quanto le mosse stesse.
- Nelle prime ore, il blocco. Contattare la banca attraverso un canale ufficiale verificato (il numero stampato sul retro della carta o quello del sito, mai quello da cui si è stati chiamati), far bloccare conto e strumenti di pagamento e chiedere l’attivazione del richiamo del bonifico verso la banca del beneficiario. Il richiamo non assicura il recupero, ma le probabilità che i fondi siano ancora aggredibili si misurano in ore, non in giorni.
- Subito dopo, il disconoscimento scritto: una PEC o una raccomandata in cui si nega di aver autorizzato l’operazione, con l’indicazione puntuale degli addebiti contestati. Il termine ultimo è di tredici mesi, ma conviene non attendere, perché è la comunicazione a far decorrere l’obbligo di rimborso entro la giornata operativa successiva previsto dall’articolo 11.
- La denuncia, alla Polizia Postale o ai Carabinieri, descrivendo la dinamica con precisione: orari, numeri chiamanti, contenuto dei messaggi. La ricevuta va allegata al disconoscimento, perché documenta la tempestività e la buona fede della vittima.
Se la banca respinge la richiesta, si sale di un gradino alla volta. Prima il reclamo scritto, al quale l’istituto deve rispondere entro quindici giornate operative quando riguarda servizi di pagamento. Poi il ricorso all’Arbitro Bancario Finanziario, che costa venti euro, non richiede l’assistenza obbligatoria di un difensore e decide controversie fino a duecentomila euro. Infine, se serve, il giudice ordinario, davanti al quale l’onere della prova resta congegnato come si è visto. Per le imprese la sequenza utile è un’altra e viene prima della truffa: procedure scritte di doppia validazione per i pagamenti sopra una certa soglia, un canale interno di verifica per le richieste anomale e formazione documentata del personale amministrativo, perché dopo l’ordinanza n. 3263 è chiaro che il costo dell’assenza di procedure si scarica sul rapporto di lavoro, non sulla banca.
Il punto da evidenziare è che l’esecuzione materiale di un pagamento non ne implica l’autorizzazione giuridica, e che un diniego non chiude la questione. Se un addebito non autorizzato è recente, o se un reclamo è già stato respinto con formule di stile, la ricostruzione della dinamica e dei presidi di sicurezza dell’istituto va fatta presto e con metodo. Lo Studio Legale VDS, attraverso l’area Diritto Bancario, può accompagnare l’analisi del caso specifico; alle imprese, il servizio di Prevenzione del Contenzioso offre il supporto per costruire le procedure interne che evitano di scoprire il problema a bonifico partito.
