Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Il 24 giugno 2026 l'Arbitro Bancario Finanziario ha presentato la propria Relazione annuale sull'attività del 2025: i dati sono eloquenti. I ricorsi relativi a frodi su strumenti di pagamento sono cresciuti del 21% rispetto all'anno precedente e costituiscono ormai il 37% del contenzioso totale. Numeri che fotografano un'epidemia silenziosa: quella delle frodi smishing e phishing bancario, che colpiscono ogni anno decine di migliaia di correntisti italiani.
Il paradosso è che molte vittime, pur avendo subito una truffa reale, perdono il rimborso. Non perché la banca abbia ragione nel merito, ma perché nel corso della vicenda hanno commesso uno o più errori procedurali o comportamentali che, agli occhi dell'ABF e dei tribunali, integrano la cosiddetta colpa grave. Conoscere questi errori in anticipo — o subito dopo aver subito una frode — può fare la differenza tra il recupero delle somme e la perdita definitiva.
La banca è obbligata a rimborsarmi se sono stato vittima di smishing?
Questa è la domanda più cercata su Google sul tema, e la risposta è: dipende, ma il punto di partenza normativo è favorevole al cliente. Il D.lgs. 11/2010, che recepisce in Italia la direttiva PSD2 sugli strumenti di pagamento, stabilisce un principio chiaro: in caso di operazione di pagamento non autorizzata, l'onere di provare la colpa grave dell'utente spetta all'intermediario, non al cliente. La banca, in altri termini, non può limitarsi ad affermare che il cliente "ha sbagliato": deve dimostrarlo.
Questo assetto è stato ulteriormente rafforzato a livello europeo. Il 5 marzo 2026 l'Avvocato Generale della Corte di Giustizia dell'Unione Europea ha depositato le proprie conclusioni nella causa C-70/25, segnalando che la responsabilità dell'intermediario per operazioni non autorizzate derivanti da frodi informatiche deve essere valutata anche alla luce dell'adeguatezza dei meccanismi di autenticazione forte del cliente (Strong Customer Authentication, SCA). Se la banca o l'istituto di moneta elettronica non ha implementato correttamente la SCA, la responsabilità tende a ricadere sull'intermediario, indipendentemente dal comportamento del cliente. L'ABF di Napoli, nella decisione 797/2026, ha già applicato questo principio con riferimento a un IMEL estero che gestiva pagamenti disconosciuti senza procedure SCA adeguate.
Detto questo, il rimborso non è automatico. Esistono comportamenti precisi che, se tenuti dal correntista, possono portare l'ABF o il tribunale a ritenere integrata la colpa grave — con conseguente esclusione o riduzione del rimborso.
Cosa si intende per "colpa grave" del cliente in caso di phishing bancario?
Il concetto di colpa grave è il nodo centrale del contenzioso bancario sulle frodi digitali. Non coincide con la semplice imprudenza: richiede una negligenza qualificata, una condotta che si discosta in modo macroscopico da quella esigibile da un utente di media diligenza. L'orientamento dell'ABF su questo punto è consolidato ma non uniforme, e la distinzione tra i casi fa emergere quattro errori ricorrenti che fanno perdere il rimborso.
Primo errore: comunicare credenziali o codici OTP per telefono o via messaggio. Lo smishing funziona inducendo la vittima a inserire dati bancari su un sito clone — come ricostruito dall'ABF di Milano nella decisione 2081/2026, che ha esaminato proprio un caso di sito clone fraudolento — oppure a comunicare codici di autorizzazione a chi finge di essere il servizio antifrode della banca. Quest'ultimo caso è il più insidioso: il truffatore chiama il cliente, simula perfettamente il tono e il lessico della banca, e ottiene il codice OTP generato per un'operazione che il cliente non ha richiesto. Se il cliente ha comunicato verbalmente quel codice, l'ABF tende a qualificare il comportamento come colpa grave, perché nessuna banca chiede mai i codici di autenticazione per telefono — e questa informazione è contenuta in qualsiasi contratto di home banking.
Secondo errore: non disconoscere l'operazione nei termini previsti dalla legge. Il D.lgs. 11/2010 fissa un termine di 13 mesi per il disconoscimento delle operazioni non autorizzate, ma la prassi ABF e quella bancaria convergono nel ritenere che il ritardo nel segnalare la frode — anche quando ci si trovi ben all'interno di quel termine — possa essere valutato negativamente. Se il cliente si accorge di un addebito sospetto e aspetta settimane prima di contattare la banca, senza bloccare la carta o il conto, il ritardo può incidere sulla valutazione della sua diligenza e, nei casi più gravi, sull'esito del ricorso.
Terzo errore: non sporgere denuncia penale tempestiva. La denuncia querela alla Procura della Repubblica non è solo un atto dovuto sul piano civico: è uno strumento probatorio fondamentale nel procedimento ABF. L'Arbitro la richiede sistematicamente come documento allegato al ricorso. Chi non denuncia — o denuncia mesi dopo — si priva di un elemento istruttorio cruciale e indebolisce la propria posizione nella valutazione della buona fede e della diligenza. In alcuni casi l'assenza di denuncia è stata letta come indice indiretto di una condotta non conforme alla normale diligenza.
Quarto errore: presentare il ricorso ABF senza avere prima proposto reclamo scritto alla banca. L'accesso all'ABF è subordinato all'esperimento preliminare del reclamo formale all'intermediario, da presentare per iscritto e da conservare con la ricevuta di invio. Chi salta questa fase vede il proprio ricorso dichiarato inammissibile, indipendentemente dalla fondatezza della pretesa. Il reclamo deve essere proposto prima e l'intermediario ha 30 giorni (60 per questioni particolarmente complesse) per rispondere. Solo in caso di risposta negativa o di silenzio si può adire l'ABF.
Come fare ricorso all'ABF per un bonifico non autorizzato a causa di truffa online?
Il procedimento ABF è uno strumento accessibile, gratuito per il cliente (con un contributo spese di soli 20 euro, rimborsato in caso di accoglimento), e statisticamente rilevante: nella materia delle frodi su strumenti di pagamento, il tasso di accoglimento almeno parziale delle domande è storicamente significativo. Il procedimento si svolge interamente per via telematica tramite il portale ABF, e non richiede necessariamente l'assistenza di un legale — anche se questa può risultare determinante nella costruzione del fascicolo istruttorio.
I documenti essenziali sono: il contratto di home banking, la denuncia penale, la corrispondenza con la banca (inclusi SMS e e-mail ricevuti nel periodo della frode), il reclamo scritto inviato all'intermediario con prova di ricezione, e tutta la documentazione relativa alle operazioni contestate. La qualità del fascicolo allegato al ricorso incide in modo diretto sull'esito: un ricorso ben documentato è già, di per sé, una forma di tutela.
Un aspetto spesso sottovalutato riguarda la distribuzione dell'onere probatorio. Come anticipato, il D.lgs. 11/2010 pone sull'intermediario l'onere di dimostrare la colpa grave del cliente. In pratica, però, se il cliente non produce documentazione adeguata, l'ABF può trovarsi nell'impossibilità di ricostruire la dinamica della frode e valutare la condotta delle parti in modo equilibrato. La prova della propria diligenza — paradossalmente — ricade in buona parte sul cliente che vuole vedersi riconosciuto il rimborso.
Il brocardo vigilantibus iura subveniunt — il diritto soccorre chi vigila — coglie con precisione la logica sottostante a questo sistema: chi agisce tempestivamente, denuncia, reclama per iscritto e conserva ogni traccia della comunicazione fraudolenta è nella posizione migliore per vedere tutelati i propri diritti. Chi invece attende, confida in una soluzione informale o non traccia nulla, rischia di trovarsi privo di strumenti anche quando la frode è reale e documentabile.
Come scriveva Norberto Bobbio, il problema fondamentale dei diritti non è enunciarli ma garantirli. Nel diritto bancario delle frodi digitali questa osservazione si traduce in termini molto concreti: il diritto al rimborso esiste sulla carta e nella norma, ma spetta al correntista costruire le condizioni procedurali affinché possa essere effettivamente riconosciuto.
Il dato della Relazione ABF 2025 — un ricorso su tre riguarda frodi su strumenti di pagamento — suggerisce che il fenomeno è strutturale, non episodico. Le conclusioni dell'Avvocato Generale nella causa C-70/25 indicano che a livello europeo si sta consolidando un orientamento che responsabilizza maggiormente gli intermediari sul piano della sicurezza tecnologica. Ma fino a quando quella giurisprudenza non sarà definitiva e recepita nel sistema italiano, la tutela concreta del cliente dipende dalla qualità della sua condotta e dalla tempestività delle sue reazioni.
Redazione - Staff Studio Legale MP
