Ti hanno svuotato il conto con un SMS, una telefonata o una email falsa: quando la banca deve restituirti i soldi

Per le decisioni del sito no. Le operazioni eseguite dal pagatore seguendo le indicazioni del frodatore, anche senza la consapevolezza di disporre una transazione (le cosiddette operazioni “sotto dettatura”), sono autorizzate e restano fuori dal regime di responsabilità della PSD2 (ABF Roma 2673/2026, ABF Roma 4667/2026). Vale anche per l’ordine impartito di persona allo sportello (ABF Bari 4112/2026).

Non significa che la banca sia sempre esente: una sua responsabilità concorrente, secondo le norme di diritto comune, resta possibile quando dalla documentazione emerge in concreto un apporto causale della banca alla frode (ABF Roma 2673/2026, ABF Bari 4112/2026).

Non necessariamente. Se il tuo contributo nella fase dispositiva o autorizzativa è solo parziale, l’operazione non è per ciò solo autorizzata: la legge richiede che il consenso sia prestato nella forma convenuta con la banca, e la mancanza anche parziale della prova di autenticazione è risolutiva. In quel caso il ricorso è stato accolto per intero (ABF Milano 4701/2026). Nei pagamenti a distanza con carta, una notifica push che non indica l’importo dà un’informazione incompleta e la transazione resta non autorizzata, con rimborso dovuto (ABF Napoli 4177/2026).

Diverso il caso del cliente che ha confermato il pagamento con notifica push e riconoscimento biometrico su istruzione telefonica di un sedicente operatore, senza verificarne l’identità con i canali ufficiali: operazione autorizzata e colpa grave (ABF Bologna 4643/2026). E la notifica che indica l’importo originario e il beneficiario rispetta il collegamento dinamico richiesto dalla legge, anche se l’importo è espresso solo in valuta estera (ABF Roma 4523/2026).

Può rispondere, ma non in base alla disciplina delle operazioni non autorizzate: la sua condotta si valuta con le regole generali delle obbligazioni e della buona fede (artt. 1375, 1176, comma 2, e 1218 c.c.), con il possibile concorso di colpa dell’art. 1227 c.c. (ABF Roma 2037/2026). Un apporto causale della banca è stato indicato, per esempio, nell’indisponibilità del numero verde o nel dipendente che, interpellato dal cliente, non riconosce il tentativo di frode (ABF Milano 8196/2026, ABF Bari 3905/2026).

Allo sportello, davanti a un’operazione oggettivamente anomala per importo e modalità, gli addetti devono rilevare gli indici di rischio e avvertire il consumatore: per l’omissione un Collegio ha liquidato in via equitativa il 20% della somma frodata (ABF Napoli 3383/2026). In un altro caso il personale aveva percepito l’agitazione del cliente e l’anomalia delle disposizioni senza allertare l’ufficio antifrode: concorso di colpa, con pretese ritenute già soddisfatte dagli importi recuperati con il richiamo del bonifico (ABF Roma 4729/2026).

Se invece vai in filiale e non riferisci al dipendente le richieste del truffatore, la tua colpa grave assorbe il rilievo di qualsiasi inadempimento della banca (ABF Bari 2322/2026).

Su questo le decisioni del sito non sono uniformi.

Per un primo orientamento la banca deve avere presidi idonei a rilevare le operazioni anomale (art. 2 del Regolamento delegato UE 2018/389 e indici di frode dell’art. 8 del d.m. 112/2007): molti bonifici online in poche ore, per importi simili e con azzeramento del conto, sono un indice di anomalia, e alla negligenza del cliente si contrappone l’illegittimità dell’operato della banca (ABF Napoli 4216/2026). Su questa base alcuni Collegi hanno riconosciuto una responsabilità parziale della banca per l’omesso monitoraggio anche quando l’autenticazione forte era provata (ABF Palermo 3959/2026, ABF Roma 4037/2026).

Per un secondo orientamento la disciplina di settore non prevede un dovere generale di monitoraggio degli ordini del cliente fuori dalle ipotesi di rischio di frode tipizzate (ABF Bari 4112/2026, ABF Torino 4097/2026), né un obbligo di blocco (ABF Bari 3905/2026, ABF Milano 4231/2026); il Regolamento delegato UE 2018/389 impone un monitoraggio ex post, non in tempo reale (ABF Roma 4527/2026).

Non c’è una risposta automatica. Nel caller ID spoofing la sofisticatezza della frode giustifica l’esclusione della colpa solo se non emergono indici di inattendibilità del messaggio esca: la valutazione è caso per caso (ABF Roma 4723/2026).

Sul valore del numero apparso sul display le decisioni divergono. Un Collegio ha ravvisato un concorso colposo: la banca non aveva adottato i presidi necessari a impedire che il frodatore chiamasse con un numero apparentemente suo, il cliente aveva comunicato credenziali e codici, e il rimborso è stato liquidato in via equitativa, in misura ridotta (ABF Roma 3948/2026). Per un altro, chi autorizza le notifiche push convinto di bloccare operazioni sospette, con un chiamante che sembra la banca, concorre nella colpa con la banca: nel caso deciso il danno è stato diviso in parti uguali (ABF Milano 4586/2026). Per altri ancora l’utenza che sembra quella del servizio clienti non giustifica l’affidamento, perché il caller ID è facilmente alterabile e la verifica con i canali ufficiali spetta al cliente (ABF Bari 4381/2026), e consegnare i codici dispositivi al truffatore è colpa grave (ABF Milano 4443/2026).

Conserva il registro delle chiamate: senza, non si può verificare se il numero chiamante fosse riconducibile alla banca né configurare il tuo affidamento sulla genuinità del contatto (ABF Milano 8138/2026).

Sì, nel caso deciso dal sito. Quando il processo di secure call è aggirato con lo spoofing del numero certificato, il fattore di possesso è compromesso e la prova dell’autenticazione forte offerta dalla banca è insufficiente: la compromissione equivale a mancanza di autenticazione, con diritto al rimborso delle somme sottratte. La frode in quel caso non incide sulla colpa grave del cliente, ma sull’autenticazione (ABF Napoli 3516/2026).

Se il bonifico l’hai disposto tu, l’operazione è autorizzata anche quando il truffatore si presentava come operatore della banca, e il regime di rimborso delle operazioni non autorizzate non opera (ABF Milano 2631/2026, ABF Torino 4437/2026). Resta un possibile concorso della banca, se accertato secondo le norme di diritto comune (ABF Milano 2631/2026).

Se il “conto sicuro” era un tuo conto presso un’altra banca, la perdita non è conseguenza immediata e diretta di un inadempimento della banca da cui sono partiti i bonifici (ABF Torino 4435/2026).

Le decisioni del sito lo qualificano come colpa grave. Chi, su indicazione di un sedicente operatore, installa un’app di accesso e controllo da remoto e consente al frodatore di generare l’OTP e disporre pagamenti non ottiene il rimborso (ABF Roma 4526/2026). Lo stesso per chi si fa guidare al telefono per ore, consente l’accesso remoto all’home banking e comunica i codici (ABF Torino 4097/2026), o autorizza l’installazione di applicazioni di terze parti (ABF Bari 4381/2026).

Il bonifico disposto di persona allo sportello, dopo la regolare identificazione, è un’operazione autorizzata anche se indotta dal raggiro: è il caso del finto maresciallo (ABF Torino 4096/2026). Chi, ingannato da un sedicente operatore della polizia postale, esegue personalmente un bonifico verso un conto altrui versa in colpa grave e non può invocare la responsabilità della banca del beneficiario (ABF Bologna 4241/2026).

Resta possibile un concorso della banca per diritto comune, se emerge in concreto un suo apporto causale alla frode (ABF Torino 4096/2026): sopra trovi i casi del personale di sportello che avrebbe dovuto accorgersi dell’anomalia.

Nelle frodi da SMS spoofing, in cui il messaggio truffaldino si incasella nella chat ufficiale, secondo più decisioni la colpa grave del cliente non è di regola ravvisabile, data l’insidiosità del meccanismo (ABF Roma 4500/2026, ABF Roma 4386/2026); una decisione descrive l’orientamento dei Collegi ABF come esclusione in via generale della colpa grave, salvo elementi oggettivi di anomalia (ABF Bologna 4704/2026). Quando la truffa passa per un SMS inserito nella chat genuina, la banca risponde delle criticità organizzative del servizio (ABF Roma 4504/2026).

La colpa grave, insomma, non si presume: va accertata caso per caso (ABF Roma 4248/2026).

Quando il messaggio presenta indici di inattendibilità: errori grammaticali evidenti, link o richieste manifestamente non riconducibili alla banca (ABF Bologna 4704/2026). In quei casi i Collegi ravvisano un concorso di colpa tra la negligenza del cliente e le criticità organizzative della banca e liquidano il rimborso in via equitativa (ABF Roma 4500/2026, ABF Roma 4248/2026). Così anche quando il cliente chiama il numero indicato nel messaggio, che non è della banca (ABF Roma 4504/2026).

Il concorso con rimborso equitativo è stato riconosciuto anche senza anomalie nel messaggio, quando il cliente ha agevolato i truffatori seguendone le indicazioni (ABF Roma 4386/2026). Se invece l’SMS non arriva nella conversazione della banca e il numero del mittente le è estraneo, la frode integra una condotta imprudente del cliente (ABF Palermo 3965/2026).

Sì. Spetta a chi ricorre allegare e produrre il messaggio ricevuto: senza, il Collegio non può verificare quanto fosse attendibile la comunicazione e quindi valutare la colpa grave (ABF Bologna 4704/2026). La mancata produzione delle evidenze della comunicazione fraudolenta è stata considerata un elemento contro il cliente (ABF Roma 4724/2026), e così la mancata allegazione del registro delle chiamate (ABF Milano 8138/2026).

Chi, avvertito da un SMS alert dell’importo elevato dell’operazione in corso, non attiva subito le procedure di blocco è stato ritenuto in colpa grave, con rilievo assorbente (ABF Milano 8131/2026).

Al contrario, la mancata attivazione dell’SMS alert è fatto generatore di responsabilità della banca, salvo prova del rifiuto esplicito del cliente; la notifica push inviata a un dispositivo in mano ai truffatori non equivale all’alert, e se le operazioni sono distanziate nel tempo il difetto di alert integra un concorso di colpa della banca (ABF Palermo 4359/2026). L’alert non rileva invece quando l’operazione fraudolenta è unica o concentrata in poco tempo (ABF Roma 3948/2026), o quando riceverlo non avrebbe limitato il danno (ABF Torino 4097/2026).

La banca deve prima provare l’autenticazione forte. Fornita questa prova, il rischio resta a suo carico salvo che dimostri il dolo o la colpa grave del cliente, anche per presunzioni gravi, precise e concordanti; integra colpa grave non accorgersi della palese falsità dell’indirizzo email del mittente e cliccare fornendo le credenziali (ABF Bologna 2522/2026).

Nei casi di sito clone in cui le operazioni erano autenticate a doppio fattore e confermate dal cliente con notifica push e riconoscimento biometrico, il rimborso è stato escluso per colpa grave (ABF Roma 4724/2026); lo stesso per l’inserimento dei dati della carta sul sito clone (ABF Milano 3993/2026). Se è il cliente stesso a disporre il pagamento sul sito clone, l’operazione è autorizzata e la responsabilità resta sua (ABF Roma 4489/2026).

La banca esegue il bonifico in base al solo identificativo unico, l’IBAN, e se questo è inesatto non risponde della mancata o inesatta esecuzione (art. 25 d.lgs. 11/2010); la regola vale anche per la banca del beneficiario. La stessa decisione precisa però che la banca risponde del danno se l’anomalia tra il beneficiario indicato nell’ordine e il titolare effettivo dell’IBAN era facilmente avvertibile (ABF Bologna 1063/2026).

Per i bonifici eseguiti prima del 9 ottobre 2025, data di efficacia del Regolamento UE 2024/886, la verifica di corrispondenza tra nome e IBAN non era esigibile (ABF Milano 2631/2026, ABF Milano 4003/2026). Sui bonifici successivi, vedi la domanda sulla verifica del beneficiario nella sezione 5.

Una volta ricevuto, l’ordine di pagamento diventa irrevocabile (artt. 5 e 17 d.lgs. 11/2010): la banca del pagatore non è tenuta a revocarlo, le somme si possono recuperare solo con la procedura di recall e l’art. 24, comma 2, le impone soltanto sforzi ragionevoli di recupero (ABF Palermo 8028/2026). Una volta contabilizzato il flusso, lo storno richiede il consenso del beneficiario (ABF Milano 4162/2026) o un provvedimento dell’Autorità giudiziaria (ABF Roma 4732/2026).

Se la banca attiva il recall con tempestività non risponde dell’esito negativo, e spetta al cliente dimostrarne la negligenza (ABF Milano 4162/2026, ABF Napoli 4554/2026). Il ritardo nell’attivare il recall SEPA, invece, riduce quasi del tutto la possibilità di recupero e integra un profilo di responsabilità della banca (ABF Bologna 6368/2026).

Attenzione: per un Collegio la richiesta di richiamo del bonifico non vale come reclamo, che è condizione per ricorrere all’Arbitro (ABF Milano 4231/2026). Come si fa il reclamo è spiegato nella guida al ricorso all’Arbitro Bancario Finanziario.

Se la banca ha eseguito la verifica tra IBAN e nominativo introdotta dal Regolamento UE 2024/886 e ha segnalato la discordanza, il pagatore che autorizza comunque il pagamento si assume il rischio e la responsabilità dell’esito (ABF Milano 4326/2026). Ignorare la segnalazione di discrepanza tra IBAN e intestatario è stato qualificato anche come colpa grave (ABF Torino 4437/2026).

Per i bonifici eseguiti prima del 9 ottobre 2025 la verifica non era esigibile (ABF Milano 2631/2026).

Puoi rivolgerti anche alla banca del beneficiario: tra chi ordina il bonifico e quella banca si instaura un contatto sociale qualificato, idoneo a fondare obblighi giuridici (ABF Roma 4732/2026). Nel merito, però, nei casi decisi quella banca non ha risposto quando il bonifico era stato disposto personalmente dal cliente e non emergeva un suo contributo causale alla frode (ABF Roma 4732/2026, ABF Milano 4167/2026).

Gli obblighi antiriciclaggio di adeguata verifica e di astensione operano solo nelle condizioni eccezionali previste dal d.lgs. 231/2007, che il ricorrente deve provare (ABF Milano 4167/2026). La banca del beneficiario esegue l’operazione in base al solo IBAN e non ha un obbligo generale di monitoraggio o di blocco preventivo (ABF Bologna 4241/2026).

Prima di tutto che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ci sono stati malfunzionamenti (art. 10 d.lgs. 11/2010). È il prius logico: se la prova manca, assorbe ogni valutazione su dolo o colpa grave del cliente, e l’autenticazione forte deve presidiare anche le operazioni strutturali, come l’attivazione dell’app su un nuovo dispositivo (ABF Palermo 3972/2026). Basta un difetto anche parziale della prova di autenticazione perché la banca risponda (ABF Milano 1192/2026).

Se l’autenticazione forte non è stata adottata, il cliente risponde solo per dolo o frode (art. 12, comma 2-bis) e, senza la prova, la banca sopporta per intero le conseguenze, senza franchigia (ABF Bologna 4245/2026). Fornita la prova, il rischio resta comunque alla banca salvo che dimostri dolo o colpa grave del cliente (ABF Roma 4248/2026).

Qui le decisioni del sito divergono.

Per alcuni Collegi la prova dell’autenticazione forte sposta sul cliente l’onere di dimostrare la propria diligenza, cioè l’assenza di colpa grave (ABF Milano 8138/2026, ABF Milano 4443/2026).

Per altri la prova della SCA e della regolarità formale dell’operazione non basta: la banca deve indicare gli elementi di fatto da cui trarre, anche per presunzioni, il dolo o la colpa grave del cliente (ABF Bari 4119/2026, ABF Bologna 4268/2026). La prova dell’autenticazione non dimostra da sola l’autorizzazione dell’operazione (ABF Palermo 4359/2026), e l’uso di uno strumento registrato non dimostra né l’autorizzazione né la colpa grave (ABF Napoli 2011/2026).

Il Collegio di Coordinamento ha ritenuto conforme la procedura che consente di accedere al conto con un solo fattore, nel regime di esenzione dalla SCA dell’art. 10 del Regolamento delegato UE 2018/389, e di eseguire poi il pagamento riutilizzando quel fattore insieme a un secondo elemento di natura diversa. Servono quattro condizioni: accesso e pagamento nella stessa sessione, collegamento dinamico tra i due elementi, che non si tratti del primo accesso e che non siano passati più di 180 giorni dall’ultima applicazione della SCA. È valido anche il CVV dinamico generato all’accesso all’area riservata, accompagnato da un OTP via SMS (ABF Coll. Coord. 4274/2026).

Quando la tua colpa concorre con le carenze della banca. Nelle frodi da spoofing alcuni Collegi hanno ripartito il danno in parti uguali, se emergono indici di anomalia o una cooperazione attiva, anche inconsapevole, alla frode (ABF Milano 4070/2026), o hanno liquidato il rimborso in via equitativa (ABF Roma 4386/2026, ABF Roma 4248/2026). Per l’omesso monitoraggio delle operazioni anomale la responsabilità concorrente della banca è stata fissata al 20% (ABF Palermo 3959/2026).

Anche la Cassazione ha affermato che consegnare volontariamente a terzi le credenziali di accesso on line al conto integra un concorso di colpa del correntista (art. 1227, primo comma, c.c.), che il giudice, una volta accertata la condotta, non può escludere discrezionalmente (Cass. 11240/2025).

Devi comunicarlo alla banca senza indugio e comunque entro tredici mesi dalla data di addebito (ABF Roma 234/2026). Il termine dell’art. 9 d.lgs. 11/2010 è di decadenza: scaduto senza richiesta di rettifica o contestazione, il rimborso è precluso, anche se la contestazione arriva poi con il reclamo o il ricorso all’Arbitro (ABF Milano 2142/2026).

La decadenza non è rilevabile d’ufficio: la banca deve eccepirla, e a quel punto spetta a te dimostrare di aver contestato in tempo (ABF Roma 1434/2026). Un disconoscimento anteriore privo di riscontro documentale non basta (ABF Milano 2142/2026), e la semplice richiesta di esibire l’originale non vale come disconoscimento tempestivo (ABF Roma 234/2026).