1. Il problema: soldi spariti dal conto con un click
Un SMS che sembra inviato dalla banca, una telefonata da un numero identico a quello del servizio clienti, una pagina web indistinguibile dall'home banking: in pochi minuti il cliente inserisce le proprie credenziali o conferma un codice, e dal conto partono bonifici verso conti sconosciuti. È lo scenario delle frodi informatiche nei pagamenti, che negli ultimi anni ha alimentato un contenzioso crescente tra clienti e istituti di credito.
Spazio pubblicitario
La domanda è sempre la stessa: la banca deve rimborsare? La risposta dipende da una serie di distinzioni giuridiche precise, contenute soprattutto nel d.lgs. n. 11/2010, che ha recepito la disciplina europea sui servizi di pagamento. Occorre capire se l'operazione sia stata autorizzata, se sia stata correttamente autenticata, se il cliente abbia agito con colpa grave e se il bonifico sia stato disposto da un terzo oppure dal cliente stesso, ingannato.
2. Il quadro normativo: il d.lgs. n. 11/2010
Il d.lgs. n. 11/2010 disciplina i diritti e gli obblighi delle parti nei servizi di pagamento. Le norme centrali per le frodi sono gli articoli 5, sul consenso; 7 e 8, sugli obblighi dell'utilizzatore e del prestatore relativi agli strumenti di pagamento; 9, sulla notifica delle operazioni non autorizzate; 10, sulla prova di autenticazione ed esecuzione; 10-bis, sull'autenticazione forte; 11 e 12, sulla responsabilità rispettivamente del prestatore e del pagatore.
Si tratta di una disciplina speciale, che si coordina con le regole generali del codice civile sulla diligenza e sull'inadempimento. Il suo tratto caratteristico è la distribuzione del rischio: il legislatore pone a carico del prestatore di servizi di pagamento, che organizza e controlla il sistema, il rischio delle operazioni non autorizzate, lasciando al cliente solo una franchigia limitata, salvo i casi di dolo o colpa grave.
3. Il consenso all'operazione: l'art. 5
Secondo l'art. 5 del d.lgs. n. 11/2010, un'operazione di pagamento si considera autorizzata solo se il pagatore ha prestato il proprio consenso nella forma e secondo la procedura concordate con il prestatore. In mancanza di consenso, l'operazione non è autorizzata. Il consenso è quindi il discrimine fondamentale tra l'operazione che il cliente deve sopportare e quella che la banca deve rimborsare.
Il consenso non coincide con il semplice utilizzo delle credenziali. Un terzo che si impossessa dei codici e li utilizza non esprime la volontà del titolare: l'operazione appare formalmente regolare, ma resta priva di autorizzazione. Questa distinzione, tra apparenza tecnica e volontà effettiva, è il cuore di tutto il contenzioso sulle frodi.
4. Gli obblighi del cliente: l'art. 7
L'art. 7 impone all'utilizzatore di servizi di pagamento di utilizzare lo strumento in conformità ai termini che ne regolano l'emissione e l'uso, di adottare le misure idonee a proteggere le credenziali di sicurezza personalizzate e di comunicare senza indugio al prestatore lo smarrimento, il furto, l'appropriazione indebita o l'uso non autorizzato dello strumento, appena ne viene a conoscenza.
La violazione di questi obblighi rileva ai fini della responsabilità del cliente, ma solo se qualificata. Non ogni imprudenza esclude il rimborso: occorre che la violazione integri dolo o colpa grave, secondo quanto previsto dall'art. 12. La comunicazione tempestiva del blocco, inoltre, è decisiva per limitare le perdite successive.
5. Gli obblighi della banca: l'art. 8
L'art. 8 pone a carico del prestatore di servizi di pagamento l'obbligo di assicurare che le credenziali di sicurezza personalizzate non siano accessibili a soggetti diversi dall'utilizzatore, di non inviare strumenti non richiesti, di garantire in ogni momento strumenti adeguati per effettuare la comunicazione di blocco e di impedire qualsiasi utilizzo dello strumento dopo la comunicazione.
Questi obblighi si saldano con il dovere di diligenza professionale. La banca non è un semplice esecutore di ordini, ma il gestore di un sistema tecnico complesso, che deve essere progettato per prevenire gli abusi prevedibili. La diffusione di tecniche fraudolente note da anni rende esigibile un livello di protezione adeguato.
6. La diligenza professionale: l'art. 1176 c.c.
L'art. 1176 c.c. stabilisce, al secondo comma, che nell'adempimento delle obbligazioni inerenti all'esercizio di un'attività professionale la diligenza deve valutarsi con riguardo alla natura dell'attività esercitata. Per la banca si tratta della diligenza dell'accorto banchiere, parametro più rigoroso di quello del buon padre di famiglia.
Applicato ai pagamenti elettronici, questo criterio richiede sistemi di sicurezza aggiornati, monitoraggio delle operazioni anomale, procedure di blocco efficaci e informazioni chiare ai clienti sui rischi. La giurisprudenza utilizza la diligenza qualificata come metro per valutare se la banca abbia fatto quanto ragionevolmente possibile per evitare la frode.
7. La responsabilità contrattuale: l'art. 1218 c.c.
Il rapporto tra cliente e banca è contrattuale. Secondo l'art. 1218 c.c., il debitore che non esegue esattamente la prestazione dovuta è tenuto al risarcimento del danno, se non prova che l'inadempimento è stato determinato da impossibilità della prestazione derivante da causa a lui non imputabile. L'addebito di un'operazione non autorizzata costituisce, in questa prospettiva, un inesatto adempimento.
Ne deriva un'importante conseguenza probatoria: il cliente deve allegare l'operazione non autorizzata, mentre spetta alla banca dimostrare di aver adempiuto correttamente o che l'evento sia dipeso da una causa non imputabile, come il dolo o la colpa grave del cliente. La disciplina speciale del d.lgs. n. 11/2010 rafforza questa impostazione.
8. Autenticazione e autorizzazione: due concetti diversi
L'autenticazione è la procedura che consente al prestatore di verificare l'identità dell'utilizzatore o la validità dell'uso di uno strumento di pagamento, incluse le credenziali di sicurezza. L'autorizzazione è il consenso del pagatore all'operazione. La prima è un fatto tecnico; la seconda è un fatto di volontà.
Un'operazione può essere perfettamente autenticata, perché sono stati inseriti password e codici corretti, e tuttavia non autorizzata, perché a inserirli è stato un truffatore. La confusione tra i due piani è l'argomento difensivo più frequente delle banche: la circostanza che il sistema abbia registrato credenziali valide non dimostra, da sola, che il cliente abbia voluto il pagamento.
9. La prova dell'autenticazione: l'art. 10
Spazio pubblicitario
L'art. 10 del d.lgs. n. 11/2010 stabilisce che, quando l'utilizzatore nega di aver autorizzato un'operazione eseguita, è onere del prestatore provare che l'operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze di guasti tecnici o altri inconvenienti. La stessa norma precisa che l'utilizzo dello strumento registrato dal prestatore non è di per sé necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata, né che il cliente abbia agito con dolo o colpa grave.
È una regola decisiva. La banca non può limitarsi a produrre l'estratto delle operazioni o il log che attesta l'inserimento dei codici: deve fornire elementi ulteriori a supporto della frode, del dolo o della colpa grave del cliente. In mancanza, l'operazione deve essere trattata come non autorizzata.
10. L'onere della prova secondo l'art. 2697 c.c.
La regola generale dell'art. 2697 c.c. impone a chi agisce di provare i fatti costitutivi e a chi eccepisce di provare i fatti estintivi o impeditivi. Nel contenzioso sulle frodi il cliente deve provare il rapporto, l'addebito e la contestazione tempestiva; la banca deve provare l'autenticazione corretta e, se intende esonerarsi, la colpa grave del cliente.
Il coordinamento tra norma generale e disciplina speciale produce un assetto favorevole al cliente, giustificato dall'asimmetria informativa: solo la banca dispone dei dati tecnici sulle operazioni. Sull'onere della prova nei rapporti bancari si veda anche il commento sull'onere della prova del contratto di conto corrente (Cassazione n. 5616/2026).
11. L'autenticazione forte: l'art. 10-bis e la SCA
L'art. 10-bis del d.lgs. n. 11/2010 impone al prestatore di applicare l'autenticazione forte del cliente quando questi accede al conto online, dispone un'operazione di pagamento elettronico o effettua qualsiasi azione tramite un canale a distanza che può comportare un rischio di frode. L'autenticazione forte, nota come SCA, si basa sull'uso di almeno due elementi indipendenti tra conoscenza, possesso e inerenza.
Per i pagamenti elettronici a distanza la SCA deve includere elementi che colleghino dinamicamente l'operazione a un importo e a un beneficiario specifici. La mancata applicazione dell'autenticazione forte, quando dovuta, ha conseguenze rilevanti sulla responsabilità: in tal caso il pagatore non sopporta alcuna perdita, salvo che abbia agito fraudolentemente.
12. Il phishing
Il phishing è la tecnica con cui il truffatore induce il cliente a comunicare le proprie credenziali attraverso messaggi o pagine web contraffatti. Il classico esempio è l'e-mail che invita a cliccare su un link per sbloccare il conto e conduce a un sito clone dell'home banking, dove il cliente inserisce nome utente, password e codici.
Nella valutazione della colpa grave assume rilievo il grado di sofisticazione dell'attacco. Un messaggio grossolano, con errori evidenti e mittente palesemente estraneo, può far ritenere grave l'imprudenza del cliente; un attacco ben costruito, che riproduce fedelmente grafica e linguaggio della banca, rende invece più difficile qualificare come gravemente colposa la condotta di chi vi è caduto.
13. Lo spoofing
Lo spoofing consiste nella falsificazione dell'identità del mittente: l'SMS compare nella stessa conversazione in cui il cliente riceve i messaggi autentici della banca, oppure la telefonata proviene da un numero che il telefono identifica come quello dell'istituto. Questa tecnica sfrutta la fiducia del cliente nei canali ufficiali.
Lo spoofing è particolarmente rilevante perché riduce drasticamente la riconoscibilità della frode. Quando il messaggio fraudolento si inserisce nel canale ufficiale, il cliente medio non dispone di strumenti per distinguerlo. Questa circostanza incide sulla valutazione della colpa grave e, in alcuni casi, sulla valutazione della sicurezza del sistema adottato dalla banca.
14. Il vishing e l'ingegneria sociale telefonica
Il vishing è la variante telefonica del phishing. Un sedicente operatore della banca, spesso dopo un SMS di allarme, contatta il cliente segnalando operazioni sospette e lo guida, con tono rassicurante, a comunicare codici o a compiere operazioni presentate come misure di protezione. L'ingegneria sociale sfrutta l'urgenza e la paura per abbassare le difese della vittima.
La combinazione di spoofing e vishing costituisce oggi lo schema più diffuso. Nella valutazione della condotta del cliente occorre considerare il contesto: la plausibilità del contatto, la conoscenza da parte del truffatore di dati personali o di movimenti reali del conto, la pressione esercitata. Elementi che, se presenti, rendono meno agevole affermare la colpa grave.
15. I codici OTP e la loro comunicazione
Il codice OTP, monouso e temporaneo, è uno degli elementi su cui si fonda l'autenticazione forte. La sua comunicazione a terzi rappresenta, in linea di principio, una violazione degli obblighi di custodia delle credenziali. Molte banche indicano espressamente che non chiederanno mai il codice per telefono.
Tuttavia anche la comunicazione dell'OTP va valutata nel contesto. Rileva se il messaggio contenente il codice indicava chiaramente l'importo e il beneficiario dell'operazione che si stava autorizzando, oppure se era generico e ambiguo. Un OTP privo di indicazioni sull'operazione rende più comprensibile l'errore del cliente e più discutibile l'adeguatezza del sistema.
16. La colpa grave del cliente
La colpa grave è la nozione su cui si gioca la maggior parte delle controversie. Non coincide con la semplice negligenza, ma consiste in una straordinaria e inescusabile imprudenza, nella violazione di regole di prudenza elementari che chiunque avrebbe osservato. È un concetto da valutare caso per caso, alla luce delle circostanze concrete.
Spetta alla banca provare la colpa grave. Non basta dimostrare che il cliente ha comunicato le credenziali: occorre dimostrare che lo ha fatto in circostanze tali da rendere la sua condotta inescusabile. La sofisticazione dell'attacco, l'uso di spoofing, la conoscenza di dati riservati da parte del truffatore sono elementi che tendono a escludere la gravità della colpa.
Spazio pubblicitario
