Truffa bancaria online: come farsi rimborsare dalla banca

Le hanno svuotato il conto con un SMS, una telefonata o un link, e la banca rifiuta il rimborso. La legge parte dal principio opposto: nelle operazioni non autorizzate la banca deve rimborsare subito, entro la fine della giornata lavorativa successiva alla Sua segnalazione, e solo dopo può discutere. Per non pagare deve provare che Lei ha agito con frode, con dolo o con colpa grave. La prova tocca a lei, non a Lei. Questa pagina spiega quando il rimborso è dovuto, che cosa fare tempestivamente e come si ricorre all’Arbitro Bancario Finanziario.

Conto svuotato: cinque cose da fare oggi

Quello che succede nelle prime ore decide la pratica, perché il rimborso si chiede con i documenti e non con i ricordi.

1. Blocchi lo strumento e chieda la prova del blocco. La comunicazione dell’uso non autorizzato deve essere fatta senza indugio (art. 7, comma 1, lettera b, del d.lgs. 11/2010). La banca deve tenere sempre disponibili gli strumenti per riceverla, deve farlo gratuitamente e, se Lei lo chiede, deve fornirLe entro diciotto mesi la prova che la comunicazione è avvenuta (art. 8, comma 1, lettere c e c-bis). Da quel momento Lei non sopporta alcuna perdita per le operazioni successive (art. 12, comma 1).
2. Se il numero verde non risponde, annoti ora, numero e durata della chiamata. Se la banca non ha reso disponibile quel canale, Lei non risponde delle perdite (art. 12, comma 2), e l’irraggiungibilità del numero verde è una delle ragioni per cui l’Arbitro Bancario Finanziario addebita alla banca una parte del danno.
3. Non cancelli nulla e fotografi tutto. Gli screenshot degli SMS con il mittente e la conversazione visibili, il registro delle chiamate, le mail, il link ricevuto, le schermate della pagina clonata che Le hanno fatto aprire. Il procedimento davanti all’Arbitro si decide solo sui documenti depositati: quello che non è nel fascicolo non esiste.
4. Disconosca le operazioni per iscritto. È il passaggio che fa scattare l’obbligo di rimborso.
5. Presenti denuncia alle autorità. Il reato è la frode informatica dell’art. 640-ter del codice penale. Quando c’è un trasferimento di denaro la truffa informatica è procedibile d’ufficio, quindi non aspetti di capire se serve la querela. La denuncia Le serve anche come documento da produrre alla banca e all’Arbitro.

Phishing, smishing, vishing, spoofing: come si chiamano queste truffe

Sapere il nome della tecnica serve, perché è il modo in cui la banca la classificherà nella risposta al reclamo. Si parla di phishing quando la trappola arriva per posta elettronica, di smishing quando arriva con un SMS, spesso inserito nella stessa conversazione dei messaggi veri della banca, e di vishing quando arriva con una telefonata di un finto operatore dell’ufficio antifrode. Si parla di spoofing quando il truffatore falsifica il mittente o il numero chiamante, così che sul telefono compaia il nome o il numero ufficiale della banca. Nel linguaggio del codice penale è una frode informatica; in quello della normativa europea sui servizi di pagamento è, quasi sempre, una operazione non autorizzata.

La domanda che decide tutto: l’ordine lo ha dato Lei?

Prima di parlare di rimborso bisogna capire in quale delle due situazioni si trova, perché le regole sono diverse e le probabilità anche.

Operazione non autorizzata. I soldi sono usciti senza che Lei abbia disposto nulla, oppure Lei credeva di fare un’altra cosa: ha inserito le credenziali in una pagina clonata, ha comunicato un codice OTP a chi si spacciava per un operatore ufficiale della banca, è stata installata un’applicazione sul Suo telefono. Qui si applica in pieno il decreto legislativo 11 del 2010, che recepisce la direttiva europea sui servizi di pagamento nota come PSD2, e la posizione di partenza del correntista è molto favorevole.

Pagamento disposto da Lei. Lei ha fatto il bonifico con le Sue mani, magari allo sportello, convinta dal truffatore che Le aveva raccontato di un investimento, di un rimborso o di un familiare nei guai. Tecnicamente quel pagamento risulta autorizzato e la protezione automatica non scatta. Restano altre strade, che vedremo, ma vanno dette subito con onestà.

Non è una differenza teorica. Secondo la Banca d’Italia, nel secondo semestre del 2025 le frodi ottenute manipolando la persona hanno pesato per il settantadue per cento del valore delle truffe sui bonifici, e sui bonifici il novantadue per cento del valore delle perdite è rimasto a carico del cliente. Il bonifico istantaneo ha un tasso di frode quattordici volte quello del bonifico ordinario.

Quando la banca deve rimborsare: il quadro normativo in tre regole

Il decreto legislativo 11 del 2010, che recepisce la direttiva UE sui servizi di pagamento, impone alla banca tre regole precise, ed è l’opposto di quello che dicono molti operatori allo sportello.

Il rimborso è immediato. Ricevuta la Sua comunicazione, il prestatore di servizi di pagamento, cioè la banca o l’emittente della carta, rimborsa l’importo «immediatamente e in ogni caso al più tardi entro la fine della giornata operativa successiva», riportando il conto nello stato in cui si sarebbe trovato, con data valuta non successiva a quella dell’addebito (art. 11, comma 1). Può sospendere il rimborso solo in caso di motivato sospetto di frode, e allora deve darne immediata comunicazione scritta alla Banca d’Italia (art. 11, comma 2): chieda sempre copia di quella comunicazione, perché quasi nessuno la fa. Se poi risulterà che l’operazione era autorizzata, la banca potrà chiederLe indietro le somme (art. 11, comma 3). Prima si rimborsa, poi si discute.

La prova tocca alla banca. Se Lei nega di autorizzare l’operazione contestata, è la banca che deve provare che è stata autenticata, correttamente registrata e contabilizzata e che non ci sono stati malfunzionamenti (art. 10, comma 1). E soprattutto: il fatto che i sistemi registrino l’uso delle Sue credenziali «non è di per sé necessariamente sufficiente» a dimostrare che l’operazione sia stata autorizzata da Lei; la prova che il cliente ha agito con frode, con dolo o con colpa grave spetta alla banca (art. 10, comma 2). Autenticato non vuol dire autorizzato. La Cassazione dice da anni la stessa cosa: l’utilizzo dei codici da parte di terzi rientra nel rischio professionale dell’operatore, che deve rispondere secondo la diligenza dell’accorto banchiere (Cass. 2950/2017), e non è il cliente a dover provare di aver custodito bene carta e codici (Cass. 26916/2020).

Se manca l’autenticazione forte, Lei non paga nulla. Per l’accesso al conto e per ogni pagamento elettronico la banca deve applicare l’autenticazione forte, con due fattori indipendenti, e per i pagamenti a distanza deve collegare dinamicamente l’operazione a quell’importo e a quel beneficiario (art. 10-bis). Se non lo ha fatto, Lei «non sopporta alcuna perdita», salvo che abbia agito in modo fraudolento (art. 12, comma 2-bis). In questo caso il rimborso è integrale, non si applica neppure la franchigia di cinquanta euro, e la Sua eventuale negligenza diventa irrilevante. L’Arbitro lo ha detto con una formula da ricordare: la prova dell’autenticazione è un «prius logico» rispetto alla colpa del cliente, e il suo difetto anche parziale è risolutivo (Collegio di Milano, decisione 8783 del 2025). Quando la banca non produce quei dati, si arriva al rimborso integrale delle somme sottratte, senza franchigia (Collegio di Roma, decisione 10894 del 2025).

Per questo la prima domanda da mettere nel reclamo non è mai «perché non mi rimborsate», ma quali fattori di autenticazione avete usato, in che momento, e come era realizzato il collegamento dinamico con l’importo e con il beneficiario.

La colpa grave del cliente: l’unica vera difesa della banca

Se la banca riesce a provare che Lei ha agito con dolo o colpa grave rispetto agli obblighi di custodia delle credenziali e di segnalazione, Lei sopporta tutte le perdite e salta il limite dei cinquanta euro (art. 12, commi 3 e 4). Se il fatto è anteriore al 2018 il limite non era cinquanta ma centocinquanta euro, e i giudici lo applicano ancora ai casi vecchi. Attenzione però a che cosa significa: la colpa grave si misura su quei due obblighi soltanto, cioè proteggere le credenziali con misure ragionevoli e segnalare senza indugio. La legge non Le chiede di riconoscere una truffa costruita bene.

Quando lo spoofing aiuta Lei. Se il messaggio arriva con il nome della banca e si inserisce nella stessa conversazione dei messaggi veri, oppure se la telefonata arriva dal numero della banca, l’orientamento dell’Arbitro è che non si può parlare di colpa grave esclusiva, perché la tecnica è particolarmente insidiosa. L’esito tipico non è però il rimborso totale: è un concorso di colpa, con rimborso parziale deciso caso per caso. Nel 2026 si sono visti rimborsi del venti per cento (Collegio di Bologna, decisione 770) e del cinquanta per cento, anche a chi aveva comunicato i codici al finto operatore (Collegio di Napoli, decisione 797; Collegio di Roma, decisione 1792).

Quando gioca contro. Il Collegio di coordinamento dell’Arbitro, con la decisione 4274 del 12 maggio 2026, ha respinto il ricorso di una persona vittima di spoofing perché il messaggio conteneva errori di grammatica e di punteggiatura che avrebbero dovuto insospettirla, e perché è «totalmente irrealistico» pensare di bloccare un addebito eseguendo un pagamento. La stessa decisione ha ritenuto valida l’autenticazione realizzata con codice dinamico della carta più codice usa e getta via SMS. Sul versante della responsabilità del cliente contano anche gli avvisi ignorati, le operazioni ripetute senza reazione e il ritardo nel controllare i movimenti: la Cassazione ha considerato colpa grave l’aver atteso due anni prima di segnalare l’uso non autorizzato, quando una consultazione sollecita degli estratti conto lo avrebbe fatto scoprire molto prima (Cass. 18045/2019).

Che cosa si contesta alla banca. Oltre all’autenticazione, gli indici di anomalia che i sistemi avrebbero dovuto intercettare: un importo fuori dalle Sue abitudini, il saldo azzerato in una volta sola, un beneficiario mai visto prima, un conto all’estero, molte operazioni ravvicinate. Sono gli argomenti che hanno portato ai rimborsi parziali citati sopra, insieme alle «debolezze organizzative del servizio» offerto dalla banca.

Se il bonifico lo ha fatto Lei: che cosa resta

Qui bisogna essere chiari, perché è il punto su cui molti siti promettono quello che non possono mantenere. Se il pagamento è stato disposto interamente da Lei, secondo l’orientamento prevalente dell’Arbitro non si applica la disciplina dell’operazione non autorizzata e non si passa nemmeno all’esame della colpa grave (Collegio di Milano, decisione 4700 del 2026; Collegio di coordinamento, decisione 8671 del 2024). Non tutti i giudici condividono questa lettura, ma è quella con cui deve fare i conti chi presenta il reclamo. La responsabilità della banca va allora dimostrata secondo le regole ordinarie dell’inadempimento contrattuale. Restano quattro appigli concreti.

• Il numero verde muto nel momento in cui cercava di verificare se la richiesta fosse autentica.
• L’impiegato allo sportello che non ha riconosciuto una truffa in corso mentre Lei gli esponeva quello che Le era stato chiesto.
• Gli indici di frode non rilevati, soprattutto quando Le hanno fatto credere di stare ricevendo un accredito mentre stava disponendo un pagamento.
• Gli indizi che la banca avrebbe dovuto vedere e non ha visto: un’operazione che lei stessa aveva classificato come sospetta e non ha bloccato, un accesso da un indirizzo IP estero, il servizio di avviso via SMS mai attivato, la Sua segnalazione arrivata prima che i soldi partissero e rimasta senza effetto. Sono gli stessi indici di rischio che la banca è tenuta a sorvegliare. La verifica del beneficiario. Dal 9 ottobre 2025 la banca deve controllare, prima che Lei autorizzi il bonifico, che il nome del beneficiario corrisponda all’IBAN, e avvisarLa se non corrisponde. Il servizio è gratuito e vale per tutti i bonifici in euro, anche per quelli disposti su carta allo sportello. Se la banca non lo ha fatto e da questo è derivata l’esecuzione inesatta, «rimborsa immediatamente al pagatore l’importo del bonifico» (art. 5-quater del regolamento UE 260/2012, introdotto dal regolamento UE 2024/886). Se invece l’avviso di mancata corrispondenza è arrivato e Lei ha proseguito lo stesso, la Sua posizione peggiora.

Va chiesto subito, e per iscritto, il richiamo del bonifico e la comunicazione dei dati del beneficiario: quando l’IBAN è inesatto la banca deve compiere sforzi ragionevoli per recuperare i fondi e, su richiesta scritta, fornire ogni informazione utile per agire (art. 24, comma 2). La Cassazione ha aggiunto che, se il beneficiario indicato non ha un conto presso la banca ricevente, quella banca risponde secondo le regole comuni e deve provare di aver adottato le cautele necessarie o almeno di averLe comunicato i dati di chi ha incassato (Cass. 17415/2024). Resta fermo che, se l’IBAN lo ha indicato Lei, gli intermediari in linea di principio non rispondono dell’esecuzione, pur conservando l’obbligo di attivarsi e collaborare per il recupero delle somme (Cass. 21105/2024).

Il reclamo alla propria banca e il ricorso all’ABF

Il reclamo scritto all’ufficio reclami è obbligatorio prima di qualunque ricorso, e va scritto bene: davanti all’Arbitro si possono sollevare soltanto le questioni già contenute nel reclamo. Per i servizi di pagamento la banca deve rispondere entro quindici giornate lavorative, non entro sessanta giorni: il termine più lungo vale per le altre materie, e in casi eccezionali qui si arriva a trentacinque giornate solo con una risposta interlocutoria motivata.

Se la risposta non arriva o non soddisfa, il ricorso all’Arbitro Bancario Finanziario, l’ABF, va presentato entro dodici mesi dal reclamo. Costa venti euro, che la banca Le rimborsa se il ricorso è accolto anche solo in parte, e si possono chiedere somme fino a duecentomila euro. Non si possono portare fatti anteriori al sesto anno precedente. La decisione arriva mediamente in poco più di tre mesi e si fonda esclusivamente sui documenti depositati.

Che cosa aspettarsi, con i numeri veri della Relazione della Banca d’Italia sul 2025. Gli utilizzi fraudolenti sono ormai più di un ricorso su tre (4.951 su 13.518) e quelli sui bonifici sono cresciuti del sessantatré per cento in un anno. L’esito è favorevole al cliente in un caso su due, in calo rispetto al sessanta per cento del 2024: non è una strada vinta in partenza. L’importo medio riconosciuto nei casi di frode è di 5.200 euro. La decisione non è vincolante come una sentenza, ma fuori dalla cessione del quinto le banche la eseguono nel novantaquattro per cento dei casi, e l’inadempimento viene pubblicato per cinque anni sul sito dell’Arbitro e per sei mesi sul sito della banca.

Quando conviene andare dal giudice

Il ricorso all’ABF non chiude la porta del tribunale, e il giudice non è vincolato dalla decisione: le cause di diritto bancario su frodi informatiche si propongono comunque davanti al giudice ordinario. Conviene rivolgersi al giudice quando l’importo supera il limite dei duecentomila euro, quando servono accertamenti che un procedimento solo documentale non consente, quando la banca non esegue la decisione o quando si vuole chiedere, oltre alla sorte, la rivalutazione e gli interessi. Il diritto al rimborso si prescrive in dieci anni, trattandosi di responsabilità contrattuale della banca, mentre la strada del risarcimento extracontrattuale ne prevede cinque: è una delle ragioni per cui l’impostazione della domanda va scelta con attenzione fin dal reclamo. Su oltre quarantamila pronunce dell’Arbitro fra il 2023 e il 2025, solo il sei per cento ha avuto un seguito giudiziario, e in quei casi il giudice ha confermato l’orientamento dell’Arbitro in circa sette casi su dieci.

Domande frequenti

Sono vittima di phishing e ho dato io il codice al finto operatore: posso ancora ottenere il rimborso?

Sì, non è una porta chiusa. Aver comunicato i codici OTP è un elemento a Suo sfavore, ma quando la truffa è stata costruita con il numero o il nome ufficiale della banca l’ABF esclude che la colpa grave del cliente sia esclusiva e riconosce di regola un rimborso parziale. Nel 2026 sono stati riconosciuti rimborsi dal venti al cinquanta per cento a persone che avevano comunicato i codici.

Chi è vittima di phishing ha diritto al rimborso se la banca dice che l’operazione era autenticata?

No. La legge dice espressamente che la registrazione dell’uso della credenziale non basta a provare che l’operazione sia stata autorizzata da Lei. La banca deve anche provare la Sua frode o la Sua colpa grave, con elementi concreti sulle modalità dell’operazione, non con una affermazione generica.

Quanto tempo ho per disconoscere le operazioni?

Deve farlo tempestivamente, senza indugio, e comunque entro 13 mesi dalla data di addebito. I tredici mesi sono il limite esterno, non il termine ordinario: un disconoscimento tardivo viene usato contro di Lei, e la Cassazione ha ritenuto colpa grave la mancata consultazione prolungata dei movimenti.

Quanto costa il ricorso all’Arbitro e serve un avvocato?

Il contributo per il ricorso all’ABF è di venti euro, rimborsati dalla banca se il ricorso viene accolto anche solo in parte, e l’assistenza di un avvocato non è obbligatoria. È però un procedimento che si decide solo sulle carte, e nel ricorso non si possono introdurre questioni nuove rispetto al reclamo: gli errori commessi nel reclamo non sono più rimediabili.

La denuncia alla Polizia Postale per la truffa online mi restituisce i soldi?

Di regola no, e questo è il malinteso più diffuso. La denuncia serve a perseguire il truffatore e Le serve come documento, ma il rimborso delle somme sottratte si ottiene dalla banca, con il disconoscimento, il reclamo e poi l’ABF o il giudice.

Che cosa può fare adesso

Raccolga tre cose: l’elenco delle operazioni che non riconosce con data e importo, tutto quello che ha ricevuto prima del fatto, e la richiesta di rimborso già inviata alla Sua banca con l’eventuale risposta scritta. Con questi elementi si capisce se il Suo è un caso di operazione non autorizzata o di pagamento carpito con l’inganno, quali domande vanno messe nel reclamo e se conviene l’Arbitro o il giudice. Se la banca rifiuta il rimborso, il diniego non chiude nulla: è il punto di partenza del ricorso.

Fonti: d.lgs. 27 gennaio 2010 n. 11, che recepisce la direttiva UE sui servizi di pagamento, come modificato dal d.lgs. 218/2017; regolamento UE 2024/886, che ha introdotto l’art. 5-quater del regolamento UE 260/2012; Banca d’Italia, Relazione sull’attività dell’Arbitro Bancario Finanziario, anno 2025; Banca d’Italia, Rapporto sulle operazioni di pagamento fraudolente, secondo semestre 2025; decisioni dell’Arbitro Bancario Finanziario citate nel testo; Corte di cassazione, sentenze n. 2950/2017, 18045/2019, 26916/2020, 3780/2024, 17415/2024 e 21105/2024. Pagina aggiornata al 20 settembre 2026.