Carta clonata o conto svuotato: quando la banca deve rimborsare?
Mi hanno clonato la carta o rubato le credenziali del conto: la banca deve restituirmi i soldi?
Dipende da come è avvenuta la frode. Se si tratta di operazioni di pagamento non autorizzate, la legge prevede una tutela specifica e pone sulla banca importanti obblighi di prova e, in linea generale, di rimborso. Il semplice fatto che l’operazione risulti effettuata con password, OTP o autenticazione forte non dimostra automaticamente che il cliente l’abbia realmente autorizzata o che abbia agito con colpa grave. Diverso può essere il caso in cui sia stato il cliente stesso, ingannato dal truffatore, a disporre consapevolmente il pagamento verso il conto indicato dal falso operatore.
Il messaggio sembra arrivare dalla banca.
“Abbiamo rilevato un accesso anomalo.”
Poco dopo squilla il telefono. Sul display compare magari un numero apparentemente riconducibile all’istituto.
L’interlocutore conosce il nome del cliente, forse anche alcune informazioni sul conto. Dice che è necessario bloccare urgentemente un pagamento.
Seguono istruzioni, notifiche sullo smartphone, codici da inserire o operazioni da confermare.
Quando la telefonata finisce, il pagamento che si voleva evitare è avvenuto davvero.
Solo che a eseguirlo è stato il truffatore.
La prima reazione è quasi sempre la stessa: “Come ho potuto cascarci?”
La seconda è molto più importante: “Posso recuperare i soldi?”
Ed è qui che la vicenda non può essere liquidata con un semplice: “Hai comunicato il codice, quindi è colpa tua”.
La prima cosa da fare: fermare la frode e conservarne le prove
Quando ci si accorge di un pagamento, bonifico o prelievo che non si riconosce, il tempo conta.
Banca d’Italia raccomanda di contattare immediatamente l’intermediario per bloccare lo strumento di pagamento o gli accessi compromessi e attivare le contromisure disponibili. È inoltre opportuno denunciare la frode alle autorità competenti.
Ma c’è un’altra cosa altrettanto importante: non cancellare nulla.
SMS, email, schermate, numeri telefonici, notifiche ricevute dall’app, cronologia delle chiamate e messaggi del falso operatore possono diventare essenziali per ricostruire ciò che è realmente accaduto.
Una recente decisione dell’Arbitro Bancario Finanziario mostra quanto questo aspetto possa essere decisivo: in quel caso il cliente dichiarava di aver ricevuto un SMS fraudolento, ma non era più in grado di produrlo; ciò ha impedito al Collegio di valutarne concretamente le caratteristiche.
Quindi, prima ancora di discutere con la banca: salvare tutto.
Disconoscere l’operazione non significa soltanto telefonare al call center
Il pagamento deve essere contestato formalmente.
La normativa sui servizi di pagamento consente al cliente di disconoscere le operazioni che ritiene non autorizzate e prevede specifiche regole sulla relativa responsabilità. Banca d’Italia ricorda che la contestazione deve essere effettuata senza indugio e, comunque, entro il termine massimo previsto dalla legge, che per le operazioni non autorizzate è normalmente di tredici mesi dall’addebito.
Aspettare settimane perché “la banca sta facendo verifiche” senza aver formalizzato il disconoscimento può quindi essere una pessima idea.
Occorre distinguere:
- la segnalazione telefonica urgente;
- il blocco dello strumento;
- il disconoscimento formale dell’operazione;
- l’eventuale successivo reclamo.
Sono passaggi collegati, ma non necessariamente coincidenti.
“L’operazione è stata autenticata correttamente”: basta per negare il rimborso?
No.
Questo è uno dei punti più importanti.
Quando il cliente nega di avere autorizzato un pagamento, l’articolo 10 del D.Lgs. n. 11/2010 pone sull’intermediario l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non è stata interessata da malfunzionamenti o altri inconvenienti. La disciplina chiarisce inoltre che la semplice registrazione dell’utilizzo dello strumento di pagamento non è, da sola, necessariamente sufficiente a provare che il cliente abbia autorizzato l’operazione o abbia agito con dolo o colpa grave.
Tradotto in termini semplici: il fatto che il sistema informatico dica “OTP corretto” non chiude automaticamente la discussione.
Dimostra qualcosa sul procedimento tecnico di autenticazione.
Non necessariamente dimostra tutto ciò che serve per attribuire la perdita al cliente.
Autenticazione e autorizzazione non sono la stessa cosa
È una distinzione importante.
Un pagamento può risultare tecnicamente autenticato attraverso due o più elementi di sicurezza — per esempio dispositivo, password, codice OTP o dato biometrico — ma il cliente può sostenere di essere stato indotto con l’inganno a compiere quei passaggi.
È ciò che accade in molte truffe basate su phishing, smishing, vishing e spoofing.
Il falso operatore non si limita a rubare una password.
Costruisce una situazione credibile e urgente nella quale la vittima pensa di stare bloccando una frode mentre, in realtà, sta contribuendo a renderla possibile.
La domanda giuridicamente rilevante, allora, non è soltanto: “È stato inserito il codice corretto?”
Ma anche: “Come è stato ottenuto quel codice, che cosa stava facendo il cliente e quale operazione riteneva di confermare?”
“Ma l’OTP l’ho comunicato io”: significa colpa grave?
Non necessariamente.
Può essere un elemento molto importante, ma non esiste un automatismo per cui la comunicazione di una credenziale equivalga sempre a colpa grave.
La valutazione dipende dalle concrete modalità della frode: attendibilità del messaggio ricevuto, eventuale falsificazione del mittente o del numero chiamante, informazioni possedute dal truffatore, avvisi inviati dalla banca, chiarezza delle notifiche di autorizzazione e comportamento complessivo del cliente.
Le decisioni dell’Arbitro Bancario Finanziario mostrano proprio questo approccio caso per caso. Nel 2026, ad esempio, l’ABF ha respinto il ricorso di una cliente vittima di phishing dopo aver ritenuto adeguatamente provata l’autenticazione forte e rilevato elementi che, nelle circostanze concrete, escludevano una responsabilità dell’intermediario. In un altro caso ha esaminato specificamente la comunicazione di PIN e OTP al falso operatore proprio ai fini della valutazione della colpa grave.
Per questo la frase: “Hai comunicato l’OTP, quindi non ti spetta nulla”
è troppo semplice per descrivere correttamente tutte le possibili situazioni.
C’è però una distinzione ancora più importante: chi ha disposto il pagamento?
Qui bisogna fare attenzione.
Non tutte le frodi bancarie funzionano allo stesso modo.
Nel primo caso il truffatore ottiene le credenziali e dispone direttamente un pagamento che il cliente non ha mai voluto effettuare.
Nel secondo, invece, convince il cliente a effettuare personalmente un bonifico verso un conto indicato dal truffatore, magari facendogli credere che sia necessario trasferire temporaneamente il denaro su un “conto sicuro”.
Sono fenomeni diversi.
Banca d’Italia distingue infatti le operazioni non autorizzate dalle frodi da manipolazione del pagatore, nelle quali è lo stesso titolare, ingannato, a impartire l’ordine di pagamento. Nel secondo semestre 2024 queste frodi da manipolazione rappresentavano la maggior parte del valore delle frodi sui bonifici. Le tutele previste per le operazioni tecnicamente non autorizzate non sono sempre applicabili nello stesso modo alle operazioni che il cliente ha materialmente disposto, seppure perché raggirato.
Questa distinzione può cambiare radicalmente la valutazione della vicenda.
Quando la banca deve rimborsare?
Per le operazioni non autorizzate, la disciplina prevede in linea generale che il prestatore di servizi di pagamento rimborsi l’importo immediatamente e, comunque, entro la fine della giornata operativa successiva a quella in cui prende conoscenza dell’operazione o riceve la relativa comunicazione, salvo le eccezioni previste dalla legge.
Banca d’Italia è intervenuta nel 2024 proprio perché aveva rilevato criticità nelle modalità con cui alcuni intermediari gestivano i disconoscimenti e i rimborsi delle operazioni non autorizzate.
Il rimborso, tuttavia, può essere negato quando ricorrano i presupposti previsti dalla disciplina, fra cui il dolo o, nei casi pertinenti, la colpa grave dell’utente.
Ed è proprio sull’esistenza della colpa grave che si concentra una parte significativa delle controversie.
La risposta standard della banca non è necessariamente l’ultima parola
Può accadere che, dopo il disconoscimento, la banca risponda:
“L’operazione risulta regolarmente autenticata mediante credenziali personali e OTP e pertanto non possiamo procedere al rimborso.”
Una risposta simile va letta con attenzione.
Bisogna capire:
- quale autenticazione è stata utilizzata;
- quali log sono disponibili;
- quali dispositivi risultano coinvolti;
- quali notifiche sono state inviate;
- quale testo contenevano;
- se vi siano state anomalie rispetto alle abitudini del cliente;
- come la banca ricostruisce la presunta colpa grave;
- se si tratta realmente di operazione non autorizzata oppure di manipolazione del pagatore.
Non tutte queste domande porteranno necessariamente al rimborso.
Ma sono molto più utili del semplice: “Il codice era corretto.”
Cosa fare, concretamente, dopo avere scoperto la frode
Nelle prime ore è utile procedere con ordine:
- contattare immediatamente la banca attraverso i canali ufficiali e bloccare carta, app e credenziali compromesse;
- disconoscere formalmente le operazioni che non si riconoscono;
- modificare le credenziali di accesso e mettere in sicurezza email e dispositivi collegati;
- conservare SMS, email, screenshot, notifiche e cronologia delle telefonate;
- presentare denuncia alle autorità competenti;
- richiedere alla banca una risposta formale sul disconoscimento;
- se il rimborso viene negato, verificare le motivazioni e valutare il reclamo e gli strumenti successivi di tutela.
Banca d’Italia indica espressamente, tra i possibili strumenti successivi, il reclamo all’intermediario, l’esposto alla stessa Banca d’Italia e il ricorso all’Arbitro Bancario Finanziario. Per le controversie relative ai servizi di pagamento, la banca deve normalmente rispondere al reclamo entro quindici giorni lavorativi, salvo circostanze eccezionali.
La denuncia è necessaria per ottenere il rimborso?
È opportuno presentarla, perché consente di documentare tempestivamente la frode e può essere importante nella successiva ricostruzione dei fatti.
Tuttavia, Banca d’Italia precisa che la denuncia non costituisce un requisito che l’intermediario possa pretendere necessariamente prima ancora di avviare la pratica di disconoscimento, pur potendo richiederla successivamente nell’ambito delle proprie verifiche.
Anche questo è un particolare importante: prima viene la contestazione dell’operazione. Non bisogna attendere di avere completato ogni altro adempimento per comunicarla alla banca.
Se la banca nega il rimborso, cosa si può fare?
Il primo passaggio è normalmente il reclamo formale.
Se la risposta non arriva nei termini o non è soddisfacente, è possibile valutare il ricorso all’Arbitro Bancario Finanziario (ABF), sistema indipendente di risoluzione stragiudiziale delle controversie bancarie e finanziarie. Prima del ricorso è necessario avere presentato reclamo all’intermediario.
La valutazione non dovrebbe però limitarsi all’importo sottratto.
Occorre ricostruire la frode con precisione e verificare se la documentazione disponibile consenta di contestare efficacemente la posizione assunta dalla banca.
A volte il problema è giuridico.
Altre volte è soprattutto probatorio.
Domande frequenti su carta clonata e conto corrente svuotato
Se hanno usato il mio OTP, ho perso automaticamente il diritto al rimborso?
No. L’utilizzo dell’OTP è rilevante, ma non dimostra automaticamente né l’autorizzazione sostanziale dell’operazione né la colpa grave. Occorre ricostruire come è avvenuta la frode e valutare le prove fornite dall’intermediario.
Se ho fatto personalmente il bonifico perché il truffatore mi ha ingannato, posso disconoscerlo come pagamento non autorizzato?
La situazione è più complessa. Se il cliente ha materialmente impartito l’ordine di bonifico, può trattarsi di frode da manipolazione del pagatore, distinta dalle operazioni tecnicamente non autorizzate. La disciplina del rimborso non opera necessariamente nello stesso modo.
Quanto tempo ho per contestare un’operazione?
La contestazione va effettuata il prima possibile. Per le operazioni non autorizzate la normativa prevede normalmente un termine massimo di tredici mesi dall’addebito, ma aspettare può rendere più difficile bloccare ulteriori operazioni e ricostruire i fatti.
La banca può limitarsi a dire che l’operazione era autenticata?
La prova dell’autenticazione è essenziale, ma la mera registrazione dell’uso dello strumento non è necessariamente sufficiente, da sola, a provare l’autorizzazione del cliente o il suo dolo o colpa grave.
Posso rivolgermi direttamente all’ABF?
Prima di presentare ricorso all’Arbitro Bancario Finanziario occorre avere presentato un reclamo alla banca o all’intermediario.
Non chiedersi soltanto «dove ho sbagliato»
Le truffe bancarie moderne funzionano proprio perché inducono la vittima a fidarsi.
Utilizzano urgenza, paura, numeri telefonici apparentemente attendibili, messaggi costruiti per sembrare autentici e procedure che imitano quelle della banca.
Questo non significa che il comportamento del cliente sia sempre irrilevante.
Significa che la vicenda deve essere ricostruita, non giudicata con una sola frase.
Quando la banca nega il rimborso, la domanda non dovrebbe essere soltanto:
“Ho inserito io quel codice?”
Le domande da fare sono anche: Quale operazione è stata realmente autorizzata? Come è avvenuta l’autenticazione? Quali informazioni vedeva il cliente? Quali alert ha inviato la banca? E quali elementi dimostrano davvero una sua eventuale colpa grave?
È su queste risposte, e non sulla sola esistenza di un OTP, che può essere valutata la possibilità di ottenere il rimborso.
Lo Studio assiste i clienti nella valutazione delle contestazioni relative a carte clonate, phishing, accessi fraudolenti ai conti correnti e operazioni di pagamento disconosciute, anche nei rapporti con l’intermediario e nelle procedure davanti all’Arbitro Bancario Finanziario.
Le informazioni contenute nell’articolo hanno carattere generale. La possibilità di ottenere il rimborso dipende dalle modalità concrete della frode, dal tipo di operazione, dai sistemi di autenticazione utilizzati, dalla condotta del cliente e dalla documentazione disponibile.
