Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Il furto d'identità digitale attraverso il phishing non è solo una questione penale: chi subisce una frode informatica con svuotamento del conto corrente può far valere la responsabilità civile dell'istituto bancario. La giurisprudenza più recente — tra Cassazione, ABF e Garante Privacy — ha ridisegnato i confini dell'onere probatorio e della colpa grave, aprendo scenari di tutela concreti e spesso ignorati dalla vittima. Questo articolo analizza il quadro normativo e giurisprudenziale aggiornato, con un focus pratico sulle azioni da intraprendere immediatamente dopo la frode.
Un mattino qualunque: si apre l'app dell'home banking e il saldo è azzerato. Sul cellulare, la sera prima, era arrivato un SMS apparentemente inviato dalla propria banca — lo stesso numero, la stessa grafica, lo stesso tono rassicurante di sempre. Un link, l'inserimento delle credenziali, e il gioco è fatto. Migliaia di italiani ogni anno vivono questa esperienza, convinti di non poter fare nulla. La realtà giuridica, però, è ben diversa: la vittima di phishing ha strumenti di tutela civile concreti, e spesso è la banca a dover rispondere.
Il fenomeno del furto d'identità digitale attraverso tecniche di phishing è cresciuto in modo esponenziale. L'utilizzo di strumenti di intelligenza artificiale, come deepfake e voci generate artificialmente, rende le truffe basate sul furto d'identità sempre più credibili e difficili da riconoscere.
Il quadro normativo e penale: una mappa essenziale
Sul piano penale, il furto d'identità digitale è presidiato da più fattispecie. La principale è la frode informatica di cui all'art. 640-ter c.p., che punisce chiunque, alterando il funzionamento di un sistema informatico o intervenendo senza diritto su dati e informazioni, procura a sé o ad altri un ingiusto profitto con altrui danno, presentando la medesima struttura della truffa, differenziandosene per il fatto che l'attività fraudolenta investe direttamente il sistema informatico anziché la persona.
La norma prevede un'aggravante specifica e particolarmente rilevante. La pena è della reclusione da due a sei anni e della multa da euro 600 a euro 3.000 se il fatto è commesso con furto o indebito utilizzo dell'identità digitale in danno di uno o più soggetti. Questa aggravante ha una portata applicativa amplissima, come chiarito dalla Corte di Cassazione penale, Sez. II, sentenza n. 13559/2024 (depositata il 3 aprile 2024): in tema di frode informatica, la nozione di "identità digitale", che integra l'aggravante di cui all'art. 640-ter, comma terzo, cod. pen., non presuppone una procedura di validazione adottata dalla Pubblica amministrazione, ma trova applicazione anche nel caso di utilizzo di credenziali di accesso a sistemi informatici gestiti da privati. In altre parole, anche le credenziali di home banking rientrano nella nozione di identità digitale protetta dall'aggravante.
Sul confine tra truffa e frode informatica, la Cassazione penale, Sez. II, sentenza n. 3177 del 26 gennaio 2026, ha ribadito che quando l'induzione in errore della persona offesa è posta in essere al fine di ottenere le credenziali di accesso a un sistema informatico, ma l'atto di disposizione patrimoniale avviene mediante intervento abusivo sul sistema stesso, la fattispecie integra il reato di frode informatica. Si tratta di un orientamento che consolida il confine tra truffa ordinaria e frode informatica, con conseguenze dirette sulla competenza territoriale e sulla strategia processuale da adottare.
L'intelligenza artificiale ha trasformato radicalmente le modalità di attacco: il SIM swapping, tecnica che prevede la sostituzione della scheda telefonica della vittima per intercettare i codici di autenticazione, è divenuto particolarmente diffuso. L'intelligenza artificiale ha potenziato queste tecniche tradizionali: i deepfake vocali possono essere utilizzati per superare i sistemi di autenticazione biometrica, mentre i deepfake video consentono di aggirare le procedure di verifica dell'identità a distanza.
La responsabilità civile della banca: il vero nodo della tutela
Il profilo penale, per quanto importante, lascia spesso la vittima in una posizione di impotenza pratica: il truffatore è quasi sempre ignoto e irreperibile. Il fronte decisivo, sul piano del risarcimento effettivo, è quello civile nei confronti dell'istituto bancario. Qui il diritto ha compiuto un'evoluzione significativa, frutto di un orientamento giurisprudenziale che si sta consolidando e che il brocardo vigilantibus non dormientibus iura succurrunt ben riassume: il diritto soccorre chi si attiva prontamente.
Il punto di partenza è la distribuzione dell'onere probatorio. È l'istituto bancario a dover dimostrare di aver adottato tutte le misure di sicurezza necessarie per prevenire frodi, non il cliente a dover provare di essere stato truffato. In assenza di questa dimostrazione l'operazione va rimborsata; salvo dolo o colpa grave, al cliente può restare a carico al massimo una franchigia di 50 euro (artt. 10-12 D.Lgs. 11/2010). Questo principio trova applicazione concreta nelle decisioni dell'Arbitro Bancario Finanziario. In una recente decisione, l'ABF ha accolto il ricorso di un cliente vittima di un caso di phishing in ragione della mancata costituzione dell'intermediario e, pertanto, della mancata prova della correttezza dell'autenticazione, registrazione e contabilizzazione delle operazioni contestate. Nonostante il Collegio fosse in presenza di una attività conclamata di phishing, che addosserebbe all'utilizzatore una colpa grave nella custodia degli strumenti di riconoscimento, la banca non ha allegato la prova dell'autenticazione.
L'ABF ha poi esplicitato obblighi specifici in capo agli istituti: una decisione dell'ABF ha ribadito con particolare chiarezza la struttura bifasica dell'onere probatorio in capo all'intermediario: nell'ipotesi in cui l'utente neghi di aver autorizzato le operazioni, il PSP deve dapprima dimostrare l'avvenuta autenticazione, la corretta registrazione e l'assenza di malfunzionamenti. Tale prova, tuttavia, non è di per sé sufficiente a escludere la propria responsabilità. Un secondo livello di obblighi, aggiunto dalla stessa giurisprudenza ABF, riguarda i sistemi antifrode in tempo reale: secondo l'ABF grava sull'intermediario l'obbligo di monitorare le transazioni e di adottare le misure idonee a prevenire le frodi informatiche, attivando, in presenza di anomalie, il blocco automatico delle operazioni.
La distinzione cruciale — spesso non colta dalle vittime — riguarda la tecnica fraudolenta impiegata. Solitamente, nei casi classici di phishing, la responsabilità viene attribuita alla vittima, in quanto è a questa imputabile una colpa "grave", consistente nell'aver fornito i propri dati di accesso al truffatore, con la conseguenza che l'istituto di credito rimane estraneo alla vicenda. Ma quando la frode è più sofisticata — come nel SIM swapping o nell'SMS spoofing — il quadro cambia radicalmente. Con riferimento alle più recenti forme di truffa, diverse pronunce sia dell'autorità giudiziaria che dell'ABF hanno ravvisato in capo all'istituto bancario un profilo di colpa "semi-oggettiva" ex art. 10 del D.lgs. 11/2010, con condanna al rimborso della somma sottratta.
Nel caso specifico del SIM swapping, un correntista si era visto sottrarre oltre 60.000 euro dal proprio conto attraverso questa tecnica: il truffatore era riuscito a prendere il controllo del numero di telefono della vittima, intercettando così i codici di sicurezza necessari per autorizzare i bonifici. Le operazioni risultavano formalmente corrette. In casi di questo tipo la giurisprudenza ha ritenuto che l'errore indotto da una frode credibile non basti a escludere la responsabilità dell'istituto.
Il prestatore di servizi di pagamento è tenuto a rendere edotti i propri clienti, attraverso i canali ufficiali di comunicazione, dei principali rischi di frode, precisando in modo chiaro che l'istituto non richiede in alcun caso la comunicazione di credenziali personali tramite telefono, SMS o altri mezzi analoghi. L'inadempimento di questo obbligo informativo, come ha precisato l'ABF, costituisce autonomo titolo di responsabilità.
Vi è anche un profilo di protezione dei dati che si intreccia con la tutela civile. Quando una banca non protegge adeguatamente le credenziali del cliente, viola al tempo stesso il contratto bancario e il Regolamento GDPR, esponendosi a una duplice via di tutela per la vittima — la richiesta di rimborso contrattuale e il reclamo al Garante per violazione delle regole sul trattamento dei dati personali.
Sul versante della deindicizzazione e reputazione digitale, va ricordato che la vittima di furto d'identità può trovarsi, a distanza di anni, con il proprio nome associato online a procedimenti penali o notizie di frode riferiti in realtà all'autore del reato che ha utilizzato la sua identità. In questo campo, la Cassazione civile, Sez. I, ordinanza n. 6433 del 18 marzo 2026 ha proposto una lettura più concreta e meno formalistica del danno da violazione del diritto all'oblio: una lettura che tiene conto della realtà digitale, in cui la diffusione e la permanenza delle informazioni possono incidere profondamente sulla vita delle persone, anche a distanza di tempo.
L'orientamento giurisprudenziale non è tuttavia uniforme, e sarebbe scorretto presentarlo come tale. Una recente sentenza della Cassazione ha stabilito che la banca non è responsabile di una truffa avvenuta tramite phishing se quest'ultima è stata perpetrata sfruttando la negligenza del cliente. Gli orientamenti giurisprudenziali, però, non sono tutti allineati. È proprio questa eterogeneità del quadro — tra giurisprudenza di legittimità, ABF e giudici di merito — a rendere essenziale un'analisi caso per caso.
Cosa fare subito: la sequenza operativa che la vittima deve seguire
La tempistica è decisiva. Chi subisce un furto d'identità digitale o una frode phishing deve agire nell'ordine seguente.
Il primo passo è il blocco immediato: contattare la banca per bloccare le carte, il conto e tutti i servizi di home banking. Il cliente ha il dovere di attivarsi immediatamente una volta avuta conoscenza del furto o dell'utilizzo illegittimo dei propri strumenti di pagamento. Infatti il cliente potrebbe essere ritenuto responsabile — e la banca rifiutare il risarcimento — se, con il proprio comportamento, avesse consentito o aggravato le transazioni illegittime.
Il secondo passo è la denuncia-querela alla Polizia Postale o ai Carabinieri, con allegazione di tutti gli elementi probatori disponibili: SMS ricevuti, email, screenshot della schermata di accesso al falso sito, estremi delle transazioni fraudolente. La frode informatica è di regola procedibile d'ufficio quando produce un trasferimento di denaro o è commessa con indebito utilizzo dell'identità digitale; negli altri casi serve la querela, da presentare entro tre mesi dalla conoscenza del fatto. In ogni caso è opportuno agire il prima possibile.
Il terzo passo, spesso trascurato, è il reclamo formale alla banca: va inviato per iscritto, con raccomandata A/R o PEC, disconoscendo espressamente tutte le operazioni non autorizzate e chiedendo il rimborso ai sensi del D.lgs. 11/2010 (norma di recepimento della Direttiva PSD2). Il cliente dovrà indicare specificamente tutte le operazioni non autorizzate al fine di disconoscerle. All'esito di questa procedura, la banca potrà risarcire il cliente di tutte le somme sottratte.
Se la banca respinge il reclamo o non risponde nei termini previsti (per i servizi di pagamento, di regola 15 giornate operative), si apre il quarto canale: il ricorso all'ABF, strumento poco costoso (è previsto un contributo di 20 euro, rimborsato se il ricorso è accolto) e di rapida definizione, che negli ultimi anni ha accordato tutela in molti casi di phishing sofisticato.
Vanno evitati alcuni errori comuni che pregiudicano la tutela. Il primo è aspettare troppo prima di bloccare il conto, aggravando così il danno. Il secondo è trattare con la banca verbalmente, senza lasciare traccia scritta. Il terzo — forse il più grave — è non conservare le evidenze digitali della frode: lo screenshot del messaggio truffaldino, il link cliccato, la data e l'ora dell'operazione. Senza prove, l'onere probatorio che per legge grava sulla banca diventa difficile da azionare concretamente.
Un ultimo profilo riguarda la vittima che si scopre essere stata usata come prestanome digitale: qualcuno ha aperto contratti, richiedendo prestiti o sottoscrivendo servizi usando la sua identità rubata. In questi casi conviene chiedere subito l'accesso ai propri dati nella Centrale dei rischi della Banca d'Italia e nei sistemi di informazioni creditizie privati (come CRIF), disconoscere i contratti non sottoscritti e segnalare il furto d'identità agli intermediari coinvolti, per limitare i danni creditizi.
La complessità di questi scenari — che incrociano diritto penale, responsabilità contrattuale, normativa sui pagamenti digitali e protezione dei dati personali — richiede una valutazione tecnica preliminare per individuare la strategia più efficace. La pluralità degli strumenti disponibili (denuncia penale, reclamo bancario, ricorso ABF, azione civile, richiesta al Garante Privacy) è una risorsa, non una complicazione: la chiave è sapere quale attivare, in quale ordine e con quale documentazione a supporto. Il diritto digitale, in questo campo, non è ancora un sistema compiuto e coerente, ma è già abbastanza maturo da offrire tutele concrete a chi sa muoversi con consapevolezza.
Redazione - Staff Studio Legale MP
