Truffa SMS dalla banca: ecco quando hai diritto al rimborso

Truffa SMS banca e rimborso: la guida completa alle casistiche in cui l’istituto deve restituire i soldi.

Un messaggio compare nella stessa conversazione in cui la banca ha sempre inviato codici e comunicazioni autentiche. Segnala un accesso sospetto, invita ad agire immediatamente e indica un numero da chiamare. Dall’altra parte risponde un sedicente addetto dell’ufficio antifrode, spesso già informato sul nome del cliente o su altri dettagli personali. Pochi minuti dopo, il conto viene svuotato.

Quando accade, la domanda è inevitabile: la banca deve rimborsare la truffa via SMS? La risposta non dipende soltanto dal fatto che il correntista abbia cliccato su un collegamento o comunicato un codice. Per capire chi deve sopportare la perdita occorre ricostruire l’intera sequenza, distinguendo soprattutto tra operazioni eseguite dal criminale e bonifici disposti personalmente dalla vittima sotto inganno.

È questa la linea di confine più importante. Anche la colpa grave del cliente nella truffa bancaria non può essere affermata in automatico: deve emergere da circostanze concrete e, nei casi di operazioni disconosciute, spetta all’intermediario provarla.

Spoofing bancario: perché il falso SMS sembra autentico

La truffa non comincia necessariamente con un messaggio pieno di errori o proveniente da un numero sconosciuto. Nello SMS spoofing i criminali alterano l’identificativo del mittente, facendo apparire la comunicazione come inviata dall’istituto di credito. Sullo smartphone il testo può così finire nella medesima chat che contiene le notifiche vere ricevute in precedenza.

Spesso l’attacco prosegue con il vishing, cioè una telefonata durante la quale il falso operatore costruisce un’emergenza: un bonifico da bloccare, un dispositivo da disattivare, un conto da mettere in sicurezza. Talvolta anche il numero visualizzato sullo schermo viene falsificato e coincide con quello della banca o di una sua filiale. Il raggiro, quindi, non sfrutta soltanto la distrazione della vittima, ma riproduce l’intera infrastruttura della fiducia bancaria.

I dati più recenti aiutano a comprendere il problema. Nel secondo semestre del 2025 il valore complessivo delle frodi sui pagamenti in Italia è rimasto contenuto, pari a circa 3 euro ogni 100.000 euro movimentati. Dietro questa media, però, esistono differenze rilevanti: per i bonifici ordinari il dato era di circa 2 euro ogni 100.000, mentre per quelli istantanei raggiungeva 28 euro.

L’autenticazione forte riduce sensibilmente il rischio, ma risulta meno efficace quando il criminale convince il titolare a compiere personalmente l’operazione. È il paradosso delle frodi moderne: il sistema riconosce correttamente il cliente, ma non comprende che la sua volontà è stata manipolata.

Dal 9 ottobre 2025 è operativo anche il servizio di verifica del beneficiario, che controlla la corrispondenza tra il nome indicato e il titolare dell’IBAN. È un presidio utile, ma non infallibile: se il truffatore comunica il vero nominativo dell’intestatario del conto utilizzato per ricevere il denaro, la verifica può risultare positiva pur trattandosi di una frode.

Quando la banca deve rimborsare un’operazione non autorizzata

Il quadro principale è contenuto nel decreto legislativo n. 11 del 2010, che disciplina i servizi di pagamento. Se il cliente nega di avere autorizzato un addebito, non basta alla banca mostrare che l’operazione è stata registrata correttamente o che è stato utilizzato un codice OTP.

L’intermediario deve dimostrare che il pagamento è stato autenticato, contabilizzato senza errori e non ha risentito di malfunzionamenti. Inoltre, se vuole attribuire la perdita al correntista, deve fornire elementi capaci di provare una condotta fraudolenta, dolosa o gravemente colposa.

Per le operazioni realmente non autorizzate, il rimborso deve avvenire immediatamente e comunque entro la fine della giornata operativa successiva a quella in cui il prestatore viene a conoscenza dell’addebito. La restituzione può essere sospesa in presenza di un motivato sospetto di frode da parte dell’utilizzatore, che deve essere comunicato alla Banca d’Italia secondo la procedura prevista.

Il cliente deve contestare il movimento senza indugio. Il limite massimo previsto dalla legge è normalmente di tredici mesi dalla data dell’addebito, ma attendere può compromettere sia il recupero delle somme sia la valutazione della condotta tenuta dopo la scoperta dell’accaduto.

In alcune ipotesi di utilizzo indebito dello strumento prima della segnalazione può rimanere a carico dell’utente una franchigia non superiore a 50 euro. La protezione viene meno, invece, se la banca dimostra il dolo o la colpa grave. Quando non è stata applicata l’autenticazione forte richiesta dalla normativa, il pagatore generalmente non sopporta le conseguenze economiche, salvo che abbia agito in modo fraudolento.

Il punto decisivo è comprendere chi ha materialmente impartito l’ordine:

• se il criminale è entrato nell’home banking e ha eseguito il pagamento, si è normalmente davanti a un’operazione disconosciuta;
• se la vittima ha comunicato un codice e il truffatore lo ha utilizzato per completare la transazione, devono essere esaminati il funzionamento dell’autenticazione e le informazioni associate a quel codice;
• se il correntista ha inserito personalmente beneficiario, importo e conferma finale, il bonifico può essere considerato autorizzato anche se frutto di un inganno.

Quest’ultimo scenario è il più difficile. La disciplina speciale del rimborso delle operazioni non autorizzate potrebbe non essere applicabile, ma ciò non libera automaticamente la banca da ogni responsabilità. Restano infatti gli obblighi contrattuali di diligenza, buona fede, sicurezza e controllo delle anomalie.

Colpa grave del cliente: non basta aver cliccato sul messaggio

La colpa grave non coincide con una normale disattenzione. Richiede una negligenza particolarmente marcata, valutata considerando la qualità dell’inganno, le conoscenze della vittima, il contenuto degli avvisi ricevuti e ogni passaggio dell’operazione.

Lo spoofing è generalmente ritenuto una tecnica insidiosa, soprattutto quando il testo compare nella chat autentica della banca o la telefonata sembra provenire da un numero ufficiale. Questo elemento può ridurre la responsabilità del cliente, ma non rappresenta un lasciapassare universale.

Possono pesare contro il correntista gli errori grammaticali evidenti, un indirizzo internet palesemente estraneo all’istituto, la richiesta di comunicare PIN e password, l’invito a trasferire denaro su un “conto sicuro” oppure le schermate dell’app che indicano chiaramente un beneficiario sconosciuto. Assume rilievo anche l’aver chiamato esclusivamente il numero contenuto nel messaggio senza controllarlo sul sito ufficiale, sull’applicazione o sul retro della carta.

Al contrario, rafforzano la posizione della vittima la presenza dell’SMS nella conversazione genuina, la falsificazione del numero telefonico, la conoscenza di informazioni personali da parte del truffatore e l’assenza di incongruenze immediatamente riconoscibili.

Va poi esaminato il comportamento dell’istituto. Tra gli indizi più significativi possono rientrare:

• l’accesso da un dispositivo mai utilizzato prima;
• la modifica improvvisa di recapiti, password o sistemi di autenticazione;
• l’inserimento di un nuovo beneficiario seguito immediatamente da un bonifico consistente;
• più trasferimenti ravvicinati capaci di azzerare quasi interamente il saldo;
• operazioni incompatibili con le abitudini del titolare;
• la mancata trasmissione di avvisi tempestivi;
• l’assenza di un intervento nonostante una combinazione evidente di segnali anomali.

Le decisioni dell’Arbitro Bancario Finanziario mostrano che possono esistere responsabilità condivise. Nel 2026, ad esempio, un caso di SMS inserito nella chat autentica, seguito da un bonifico istantaneo disposto dalla cliente, si è concluso con il riconoscimento del 20 per cento della perdita. La condotta della vittima è stata ritenuta gravemente negligente e causalmente prevalente, ma la particolare credibilità della frode ha giustificato una quota di responsabilità dell’intermediario.

In un’altra vicenda, tre trasferimenti eseguiti in pochi minuti avevano quasi azzerato il denaro disponibile. Pur essendo stati disposti dal titolare, le anomalie della sequenza hanno portato a un rimborso parziale. Non si tratta di percentuali applicabili automaticamente: ogni controversia viene decisa sulla base dei documenti prodotti e delle caratteristiche dell’attacco.

Banca non rimborsa la truffa: cosa fare e quali prove conservare

Le prime ore sono decisive. Occorre chiamare la banca attraverso un recapito ufficiale, bloccare carte e accessi, revocare i dispositivi sconosciuti e chiedere l’immediato tentativo di richiamo del bonifico. Il recall non garantisce la restituzione, specialmente per i pagamenti istantanei, ma può impedire che il denaro venga spostato altrove.

È opportuno modificare le credenziali da un dispositivo sicuro, controllare e-mail e numero telefonico associati al conto e contattare l’operatore mobile se si sospetta una duplicazione della SIM. Subito dopo bisogna presentare una denuncia alle autorità. La denuncia, tuttavia, non sostituisce la contestazione formale alla banca e non dimostra da sola che il cliente sia privo di responsabilità.

Nel reclamo scritto è utile indicare con precisione:

1. data e ora del primo SMS, delle telefonate e di ogni movimento;
2. testo completo della comunicazione fraudolenta e modalità con cui appariva sul telefono;
3. numero visualizzato e registro delle chiamate;
4. azioni realmente compiute dalla vittima e informazioni eventualmente comunicate;
5. operazioni mai disposte personalmente;
6. momento della segnalazione e richieste fatte all’assistenza;
7. importo da restituire e motivi della contestazione.

Devono essere conservati screenshot non ritagliati, notifiche push, e-mail, estratti conto, ricevute, cronologia delle chiamate, risposta dell’istituto e copia della denuncia. Prima che i dati vengano cancellati è consigliabile chiedere alla banca di preservare i log relativi agli accessi e alle transazioni.

Nel reclamo si può inoltre domandare all’intermediario di documentare il tipo di autenticazione utilizzato, i dispositivi associati, l’eventuale registrazione di un nuovo telefono, gli indirizzi IP, gli avvisi antifrode generati, il momento di inserimento del beneficiario e le iniziative adottate per recuperare le somme.

Una risposta che si limita a dichiarare che “l’operazione è stata regolarmente autenticata” non chiude necessariamente la questione. La regolarità tecnica del pagamento e la responsabilità economica per la frode sono due piani differenti.

Ricorso ABF per phishing e spoofing: costi, tempi e procedura

Se il reclamo viene respinto, riceve una risposta incompleta oppure resta senza riscontro, il cliente può presentare un ricorso all’Arbitro Bancario Finanziario per phishing. Per le controversie riguardanti servizi di pagamento, come carte e bonifici, l’intermediario ha normalmente 15 giorni lavorativi per rispondere al reclamo.

Il ricorso si presenta attraverso il portale dell’ABF e non richiede obbligatoriamente l’assistenza di un avvocato. È previsto un contributo di 20 euro, restituito quando la domanda viene accolta, anche soltanto in parte. La richiesta economica non può superare 200.000 euro e la controversia non deve riferirsi a comportamenti anteriori al sesto anno precedente la presentazione.

L’ABF deve essere adito entro dodici mesi dal reclamo rivolto alla banca. Trascorso questo periodo è possibile inviarne uno nuovo, purché siano ancora rispettati gli altri limiti temporali. Non si può ricorrere se la stessa controversia è già stata sottoposta a un giudice, a un arbitro o a un organismo di conciliazione, salvo le eccezioni previste.

La decisione viene adottata sulla base dei documenti depositati. Per questo un ricorso efficace non dovrebbe limitarsi a raccontare la truffa: deve ricostruire la cronologia, distinguere le operazioni non autorizzate da quelle materialmente disposte dal cliente e indicare le eventuali anomalie che la banca avrebbe potuto rilevare.

Dal completamento del fascicolo è previsto un termine di 90 giorni per comunicare l’esito, prorogabile nei casi più complessi. La pronuncia non equivale a una sentenza esecutiva e le parti possono comunque rivolgersi al tribunale. In caso di mancato adempimento, però, l’inottemperanza dell’intermediario viene resa pubblica.

I numeri confermano che non si tratta di uno strumento marginale. Nel 2025 l’ABF ha ricevuto oltre 13.500 ricorsi e quelli relativi agli utilizzi fraudolenti hanno rappresentato più di un terzo del totale. Il 56 per cento di tutte le controversie decise si è concluso con un risultato sostanzialmente favorevole al cliente, comprendendo accoglimenti e accordi intervenuti prima della pronuncia. La percentuale non indica la probabilità di vincere una singola causa di phishing, ma dimostra l’utilità concreta della procedura.

Il vero punto: la sicurezza non può dipendere soltanto dalla prudenza del cliente

Ridurre ogni truffa bancaria alla frase “non doveva cliccare” significa ignorare l’evoluzione del fenomeno. Le frodi più sofisticate non imitano soltanto il logo di una banca: copiano il tono delle comunicazioni, falsificano il mittente, sfruttano dati personali e impongono alla vittima di decidere sotto pressione.

Ciò non elimina i doveri del correntista, che deve custodire i codici, leggere le schermate di conferma e interrompere qualsiasi conversazione sospetta. Ma la sicurezza dei pagamenti è una responsabilità distribuita. La banca possiede strumenti, informazioni e capacità di monitoraggio che il singolo utente non può avere.

La domanda corretta, quindi, non è soltanto se la vittima abbia commesso un errore. Bisogna chiedersi se quell’errore sia stato davvero gravissimo e se l’intermediario abbia fatto tutto quanto ragionevolmente possibile per evitare che diventasse una perdita irreversibile.

Quando una banca non rimborsa una truffa via SMS, il rifiuto non va considerato definitivo senza aver analizzato autenticazione, cronologia, anomalie e modalità del raggiro. Nello spoofing bancario non esistono automatismi: esiste una prova da costruire, documento dopo documento.