Phishing: quando la banca deve rimborsare e quando il cliente rischia

Il phishing è oggi una delle frodi più diffuse in Italia: migliaia di correntisti ogni anno si ritrovano con il conto svuotato dopo aver ceduto, spesso senza rendersene conto, le proprie credenziali bancarie a truffatori. La domanda che tutti si pongono è sempre la stessa: quando la banca deve rimborsare e quando invece il cliente rischia di perdere tutto? La risposta dipende da una serie di fattori precisi — il tipo di truffa, il comportamento del correntista, le misure di sicurezza adottate dall’istituto — che analizziamo in dettaglio qui di seguito.

Phishing: cos’è e come funziona

Il phishing è una tecnica di frode informatica con cui i criminali si spacciano per soggetti affidabili — la banca, le Poste, l’Agenzia delle Entrate — per indurre la vittima a fornire dati personali, credenziali di accesso o codici OTP. I canali più usati sono:

• E-mail fraudolente che imitano le comunicazioni ufficiali della banca
• SMS (smishing) con link a siti clone
• Telefonate (vishing) in cui un finto operatore richiede codici di sicurezza
• Messaggi WhatsApp o social con offerte o avvisi urgenti falsi

Le tecniche si evolvono continuamente: oggi i siti contraffatti sono spesso indistinguibili dagli originali, e i messaggi non contengono più i grossolani errori grammaticali di un tempo.

Quando la banca è obbligata a rimborsare

Il quadro normativo di riferimento è il D.Lgs. 11/2010 (recepimento della Direttiva PSD) e la successiva PSD2, che pongono in capo alla banca l’onere di dimostrare che l’operazione contestata sia stata autenticata correttamente e che non vi siano stati malfunzionamenti. In linea generale, la banca è tenuta al rimborso nei seguenti casi:

• Operazione non autorizzata: il cliente non ha mai disposto il pagamento e la banca non riesce a provare il contrario.
• Sistemi di sicurezza inadeguati: l’istituto non ha adottato l’autenticazione forte (Strong Customer Authentication – SCA) prevista dalla PSD2.
• Mancata segnalazione di operazioni sospette: la banca non ha attivato alert o blocchi automatici di fronte a transazioni anomale (importi inusuali, accessi da dispositivi mai usati prima, ecc.).
• Frode sofisticata e non riconoscibile: quando il phishing è talmente ben costruito che anche un utente mediamente diligente non avrebbe potuto individuarlo.

Numerose sentenze dei tribunali italiani — e le decisioni dell’Arbitro Bancario Finanziario (ABF) — confermano che la responsabilità primaria ricade sulla banca, salvo prova di colpa grave del cliente.

👉 Leggi anche: BCE chiede alle banche difese contro l'IA entro il 31 ottobre

Quando il cliente rischia di non essere rimborsato

Il rimborso può essere negato, in tutto o in parte, quando il giudice o l’ABF accertano una colpa grave del correntista. Ecco i comportamenti che mettono a rischio il rimborso:

• Aver fornito volontariamente credenziali e codici OTP a terzi, anche se convinti di parlare con la banca
• Aver cliccato su link evidentemente sospetti o aver ignorato avvisi di sicurezza del browser
• Aver inserito i propri dati su siti con grafica approssimativa, URL diversi da quelli ufficiali o privi di certificato HTTPS
• Aver disattivato sistemi di sicurezza su richiesta di un presunto operatore
• Non aver comunicato tempestivamente alla banca l’operazione sospetta (il cliente ha l’obbligo di segnalare senza indugio)

In questi casi, i tribunali applicano il principio della responsabilità condivisa: la banca può essere condannata a rimborsare solo una parte delle somme, proporzionalmente al grado di negligenza del cliente.

Il concetto di colpa grave e responsabilità condivisa

La distinzione tra negligenza ordinaria e colpa grave è centrale in ogni controversia su phishing e rimborsi bancari. La colpa grave si configura quando il comportamento del cliente è talmente imprudente da risultare incompatibile con la minima diligenza richiesta a un utente dei servizi bancari online.

Le corti analizzano caso per caso: un conto è cadere vittima di un SMS perfettamente clonato che arriva nello stesso thread dei messaggi autentici della banca (smishing avanzato), un altro è inserire le proprie credenziali su una pagina web con evidenti anomalie grafiche. Nel primo caso il rimborso è quasi sempre riconosciuto; nel secondo può essere negato.

È in questa zona grigia che si apre il dibattito sulla responsabilità condivisa: da un lato, la banca deve garantire procedure e strumenti efficaci; dall’altro, il correntista è chiamato a mantenere un comportamento consapevole. Solo un approccio equilibrato da entrambe le parti può ridurre le perdite economiche.

👉 Leggi anche: Fisco, nuove verifiche con incrocio dati: come funziona il ravvedimento preventivo

Protezione e limiti della sicurezza bancaria

Per contenere le truffe online, gli istituti di credito investono in sistemi di sicurezza bancaria sempre più avanzati: autenticazione a due fattori, notifiche push in tempo reale, analisi comportamentale delle transazioni. Le frodi, però, si evolvono di pari passo.

In diverse sentenze, i tribunali italiani hanno sottolineato l’importanza di monitorare gli alert di possibile frode e di segnalare tempestivamente le operazioni sospette. Se l’istituto non adotta procedure adeguate o non avvisa preventivamente il cliente, può essere ritenuto responsabile per le perdite subite.

Errore umano e vulnerabilità del cliente

Il giudice valuta attentamente l’errore umano, soprattutto quando il correntista fornisce credenziali su siti non autorizzati o risponde a richieste palesemente anomale. Per ridurre tale rischio, è fondamentale:

• Non cliccare su link ricevuti via SMS o e-mail: accedere sempre digitando l’indirizzo della banca nel browser
• Non comunicare mai codici OTP o PIN a nessuno, nemmeno a chi si presenta come operatore bancario
• Verificare sempre l’URL del sito prima di inserire dati
• Attivare le notifiche in tempo reale per ogni movimento sul conto

D’altro canto, la condizione di particolare vulnerabilità — si pensi alle persone anziane o poco avvezze alle tecnologie — può influenzare favorevolmente la sentenza, riducendo il peso della colpa attribuita al cliente.

Come tutelarsi: cosa fare subito dopo un attacco di phishing

Se si sospetta di essere stati vittima di phishing, è fondamentale agire rapidamente:

1. Bloccare immediatamente la carta e l’accesso all’home banking contattando la banca
2. Segnalare l’operazione non autorizzata per iscritto (e-mail o raccomandata) entro i termini previsti dal contratto, di norma entro 13 mesi dall’addebito
3. Presentare denuncia alle autorità competenti (Polizia Postale)
4. Conservare tutte le prove: screenshot, e-mail, SMS ricevuti
5. In caso di rifiuto del rimborso, ricorrere all’ABF (Arbitro Bancario Finanziario), strumento gratuito e alternativo al giudizio ordinario

FAQ: phishing, rimborsi e responsabilità della banca

La banca rimborsa sempre in caso di phishing?

No. Il rimborso è dovuto quando l’operazione non è stata autorizzata dal cliente e la banca non riesce a provare la colpa grave del correntista. Se il cliente ha fornito volontariamente i propri codici, il rimborso può essere negato o ridotto.

Cosa si intende per colpa grave nel phishing?

Si intende un comportamento gravemente imprudente, come inserire le proprie credenziali su siti palesemente falsi, comunicare codici OTP a terzi o ignorare ripetuti avvisi di sicurezza della banca.

Quanto tempo ho per contestare un’operazione non autorizzata?

La normativa prevede un termine massimo di 13 mesi dalla data di addebito per contestare un’operazione non autorizzata. È consigliabile agire il prima possibile.

Cos’è l’ABF e come funziona?

L’Arbitro Bancario Finanziario è un organismo di risoluzione alternativa delle controversie tra clienti e banche, istituito dalla Banca d’Italia. Il ricorso è gratuito per il cliente e rappresenta un’alternativa rapida al tribunale ordinario.

Il vishing (truffa telefonica) è equiparato al phishing?

Sì, i principi giuridici applicati sono analoghi. Anche in caso di vishing, la banca può essere ritenuta responsabile se non ha adottato misure di sicurezza adeguate, mentre il cliente rischia di perdere il rimborso se ha comunicato codici riservati nonostante avvisi espliciti.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.