Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Immaginate di ricevere un SMS apparentemente dalla vostra banca: tono urgente, grafica identica a quella ufficiale, un link che chiede di verificare le credenziali per "evitare il blocco del conto". Pochi secondi di distrazione, un click di troppo, e migliaia di euro scompaiono. Non è uno scenario ipotetico: nel 2024 a livello globale sono stati rilevati 3.541 incidenti informatici, con un aumento del 27,4% rispetto all'anno precedente, e l'Italia ha registrato un incremento del 15,2% degli attacchi, raccogliendo il 10% degli incidenti mondiali, una quota sproporzionata rispetto al suo peso economico. Il fenomeno del phishing — ossia l'truffa informatica in cui il malintenzionato si finge un soggetto affidabile, solitamente una banca, per carpire dati sensibili come credenziali di accesso, codici OTP o dati delle carte di pagamento — ha conosciuto un'ulteriore accelerazione grazie all'intelligenza artificiale generativa, che rende le comunicazioni fraudolente pressoché indistinguibili da quelle autentiche.
La domanda che tutti si pongono, e che la giurisprudenza più recente sta cercando di rispondere con maggiore precisione, è questa: chi paga? La risposta non è scontata, e la tensione tra orientamenti contrastanti della Cassazione è oggi il vero nodo operativo per vittime, istituti bancari e professionisti del diritto.
Il quadro normativo: tre norme, un unico fatto
Il furto d'identità digitale tramite phishing può integrare, a seconda delle circostanze, distinte fattispecie penali. Il punto di partenza è l'art. 640-ter c.p. (frode informatica): il reato punisce chiunque, alterando il funzionamento di un sistema informatico o intervenendo senza diritto su dati e informazioni, procura a sé o ad altri un ingiusto profitto con altrui danno; la fattispecie presenta la medesima struttura della truffa, differenziandosene per il fatto che l'attività fraudolenta investe direttamente il sistema informatico anziché la persona.
Sul punto si innesta un'aggravante specifica di grande rilievo pratico: la pena è della reclusione da due a sei anni e della multa da euro 600 a euro 3.000 se il fatto è commesso con furto o indebito utilizzo dell'identità digitale in danno di uno o più soggetti. La nozione di "identità digitale" rilevante ai fini dell'aggravante ha conosciuto un'espansione interpretativa decisiva: in tema di frode informatica, la nozione di "identità digitale" di cui all'art. 640-ter, comma terzo, cod. pen., non presuppone una procedura di validazione adottata dalla Pubblica Amministrazione, ma trova applicazione anche nel caso di utilizzo di credenziali di accesso a sistemi informatici gestiti da privati. Ciò significa, in concreto, che l'utilizzo abusivo delle credenziali di home banking o di piattaforme di pagamento online integra già l'aggravante, a prescindere dall'uso o meno di SPID o firma digitale.
Concorre poi la fattispecie di cui all'art. 494 c.p. (sostituzione di persona): come chiarito dalla Cassazione Penale, Sez. II, sentenza n. 3177 del 26 gennaio 2026, quando l'induzione in errore della persona offesa è posta in essere al fine di ottenere le credenziali di accesso ad un sistema informatico, ma l'atto di disposizione patrimoniale avviene mediante intervento abusivo sul sistema stesso, la fattispecie integra il reato di frode informatica.
L'aggravante del furto dell'identità digitale si configura quando l'agente utilizza abusivamente codici informatici per intervenire indebitamente su programmi contenuti in un sistema informatico al fine di procurare a sé o ad altri un ingiusto profitto. Ai fini dell'integrazione dell'aggravante, assume rilievo non già la modalità attraverso cui le credenziali siano state originariamente acquisite, bensì l'utilizzazione consapevole delle stesse per realizzare un'interferenza non autorizzata nel sistema informatico. Pertanto, l'abusivo utilizzo di credenziali di accesso al servizio di home banking, illecitamente carpite all'insaputa del correntista, per disporre operazioni sul conto corrente della persona offesa integra l'aggravante in questione.
Il nodo irrisolto: quando risponde la banca e quando la vittima
Il versante civilistico è quello più denso di implicazioni pratiche, e anche quello dove la giurisprudenza mostra le fratture più marcate. Il principio cardine, ormai consolidato, è che in tema di operazioni di pagamento non autorizzate realizzate mediante frodi informatiche di phishing, il prestatore di servizi di pagamento risponde del danno subito dal cliente salvo che provi la sussistenza del dolo o della colpa grave dell'utente e l'adozione di tutte le misure tecniche idonee a prevenire l'uso fraudolento dello strumento. La sottrazione delle credenziali mediante tecniche fraudolente rientra nel rischio professionale del prestatore.
Questo principio — sancito dalla Cass. civ., Sez. III, sentenza 12 febbraio 2024 n. 3780 — stabilisce che l'onere della prova grava sulla banca: in assenza della prova dell'adozione di adeguati sistemi antifrode, come alert automatici o controlli rafforzati, non può che essere imputato alla banca il rischio professionale della possibilità che terzi accedano ai profili dei clienti con condotte fraudolente. La vittima, dunque, non deve dimostrare di essere stata truffata: deve solo provare l'operazione non autorizzata e il rapporto contrattuale con l'istituto. È poi la banca a dover dimostrare sia la colpa grave dell'utente sia l'adeguatezza dei propri presidi di sicurezza.
Eppure, il quadro non è così lineare. Un contrappeso significativo viene da un orientamento parallelo, che in presenza di sistemi di sicurezza certificati e di comportamenti gravemente negligenti del cliente esclude la responsabilità dell'istituto. Con la sentenza n. 7214 del 13 marzo 2023 la Corte Suprema di Cassazione, I sezione civile, ha sancito l'impossibilità di ascrivere alla banca la responsabilità di una truffa avvenuta tramite phishing, quando quest'ultima sia stata perpetrata da un hacker sfruttando un comportamento gravemente negligente dell'utente e in presenza di tutte le procedure di autenticazione richieste dalla normativa per garantire la sicurezza dell'operazione bancaria. In quella vicenda la banca aveva adottato sistemi certificati e aveva informato i clienti — ed è proprio questa combinazione a fare la differenza.
Due sentenze della stessa Corte, in apparenza contraddittorie. La chiave di lettura è nel dettaglio: ciò che conta non è la sofisticazione astratta del phishing, ma se la banca abbia adottato una tutela attiva — sistemi di monitoraggio delle anomalie, blocco automatico delle transazioni sospette, alert in tempo reale — o si sia limitata a una tutela passiva, cioè semplici comunicazioni informative al cliente. La banca, per esimersi dalla responsabilità contrattuale, avrebbe dovuto necessariamente provare di aver adottato le misure di tutela di tipo "attivo" volte a scongiurare illeciti. Le sole precauzioni classificabili tra le forme di tutela "passiva" — semplici "avvertimenti" e "raccomandazioni" tramite comunicazioni e-mail — sono mere informative circa la possibilità di essere vittime di truffe, finalizzate a far sì che siano i correntisti ad adottare condotte attive; tali raccomandazioni non possono considerarsi esaustive rispetto alla tutela demandata alla banca.
A questo dibattito si affianca, con un angolo assolutamente originale, la recente Cass. civ., Sez. Lavoro, sentenza 13 febbraio 2026 n. 3263 (Pres. Pagetta, Rel. Panariello). Il caso origina da un episodio verificatosi nell'ambito dell'attività amministrativo-contabile di una lavoratrice addetta alla gestione dei pagamenti aziendali, la quale disponeva un bonifico in favore di un soggetto estero sulla base di una richiesta ricevuta via e-mail apparentemente proveniente dal presidente della società. La vicenda presenta i tratti tipici delle cd. operazioni di CEO fraud, nelle quali la richiesta di pagamento proviene apparentemente da un soggetto apicale e si inserisce nelle ordinarie attività aziendali. La comunicazione si rivelava successivamente fraudolenta e determinava la perdita della somma trasferita, pari a circa 16.000 euro. La Corte, confermando quanto previsto dalla Corte d'Appello, precisava come nel caso di specie vi fossero diversi elementi che avrebbero dovuto indurre la lavoratrice ad adottare ulteriori verifiche; la Cassazione ha rilevato come sia irrilevante l'assenza di una specifica formazione sulla prevenzione e contrasto al phishing, poiché l'ordinaria diligenza avrebbe dovuto indurla ad adottare gli opportuni controlli. Si apre così una terza dimensione del problema: oltre alla vittima-correntista e alla banca, emerge la responsabilità del dipendente che, in contesto aziendale, non esercita la diligenza minima esigibile nella gestione dei pagamenti.
Un ultimo tassello, cruciale sul piano processuale, arriva dal Collegio ABF di Roma, con decisione n. 10894 dell'11 dicembre 2025: il Collegio ha accolto il ricorso di un cliente vittima di phishing in ragione della mancata costituzione dell'intermediario e, pertanto, della mancata prova della correttezza dell'autenticazione, registrazione e contabilizzazione delle operazioni contestate. Il punto è illuminante: solo a seguito dell'assolvimento di tale onere probatorio assume rilievo la valutazione della sussistenza della colpa grave in capo all'utilizzatore prevista dall'art. 12, comma 3 del D.lgs. n. 11/2010, con conseguente spostamento della responsabilità in capo a quest'ultimo. In altri termini, anche quando vi sia una chiara colpa grave del cliente, la banca che non produce in giudizio la documentazione tecnica sulle operazioni è comunque condannata al rimborso: l'onere probatorio non è un dettaglio procedurale, è il cuore della difesa o dell'attacco.
Una riflessione che vale la pena svolgere riguarda proprio questo punto strutturale. La giurisprudenza sta costruendo, attorno al phishing, un sistema di responsabilità a livelli: prima si accerta se la banca ha adottato misure di sicurezza attive; solo dopo, in caso positivo, si esamina la condotta del cliente. È l'applicazione del brocardo vigilantibus iura subveniunt — il diritto soccorre chi vigila — ma con un esito ribaltato rispetto all'intuizione comune: non il correntista che avrebbe dovuto vigilare meglio sulle proprie credenziali, bensì la banca che avrebbe dovuto vigilare proattivamente sulle anomalie delle transazioni. Questa inversione logica, consolidata dalla Cassazione civile, ha implicazioni profonde: scarica sull'intermediario professionale il rischio sistemico della criminalità informatica, lasciando alla vittima l'onere residuale di non aver agito con dolo o colpa grave qualificata.
Come scrisse Rodolfo von Jhering, il diritto è una conquista continua: ogni diritto nella storia dell'umanità è stato strappato con fatica a chi lo negava. Per le vittime di phishing, quella conquista passa oggi attraverso la capacità di documentare prontamente i fatti e conoscere con precisione il meccanismo probatorio.
Cosa fare in concreto: tempistiche e errori da evitare
La vittima di phishing che voglia tutelarsi deve muoversi secondo una sequenza precisa. Il primo atto è bloccare immediatamente la carta o il conto, contattando la banca: ogni ora di ritardo può incidere sulla valutazione della diligenza dell'utente. Subito dopo va sporta denuncia-querela alla Polizia Postale o ai Carabinieri, allegando tutti gli elementi: SMS, e-mail fraudolente, screenshot delle conversazioni, estratto conto con le operazioni non autorizzate. Questo atto è essenziale sia per il profilo penale — il reato di frode informatica aggravata è procedibile a querela di parte, salvo le aggravanti di cui al secondo e terzo comma dell'art. 640-ter c.p. — sia per il successivo contenzioso civile, dove la querela costituisce prova della tempestività della reazione.
Un errore frequente e costoso è attendere prima di contestare l'operazione alla banca, nella speranza che la situazione si risolva da sola: il D.lgs. n. 11/2010, attuativo della Direttiva PSD2, prevede termini stringenti per la contestazione delle operazioni non autorizzate, e un ritardo ingiustificato può essere letto come elemento di colpa grave. Un secondo errore è trascurare il percorso alternativo dell'Arbitro Bancario Finanziario, che offre una via più rapida ed economica rispetto al contenzioso ordinario e i cui orientamenti, come visto, sono oggi pienamente favorevoli alla vittima che si presenti con una documentazione completa.
Come emerge dalla Decisione ABF del Collegio di Bologna n. 10624/2025, grava sull'intermediario l'obbligo di monitorare le transazioni e di adottare le misure idonee a prevenire le frodi informatiche, attivando, in presenza di anomalie, il blocco automatico delle operazioni. Chi subisce un'operazione anomala e dimostra che la banca non ha attivato alcun alert né bloccato la transazione nonostante i segnali di irregolarità ha oggi una posizione processuale solida.
Va segnalato, infine, il profilo della responsabilità solidale dell'operatore telefonico nei casi di SIM swapping — la tecnica con cui il truffatore sostituisce la SIM della vittima per intercettare i codici OTP — tecnica che prevede la sostituzione della scheda telefonica della vittima per intercettare i codici di autenticazione ed è divenuta particolarmente diffusa. In questi casi si pone la questione della responsabilità del gestore di telefonia che ha eseguito la portabilità del numero senza le necessarie verifiche: è un fronte ancora poco esplorato in Italia ma su cui la giurisprudenza inizia a pronunciarsi.
Il dato sistemico che emerge dall'analisi è questo: il phishing non è più soltanto un problema di sicurezza informatica, ma un nodo giuridico a più dimensioni — penale, contrattuale, lavoristica, amministrativa — dove la tutela effettiva della vittima dipende dalla tempestività della reazione, dalla completezza della documentazione e dalla capacità di muoversi con consapevolezza attraverso percorsi processuali differenti. La complessità del fenomeno rende sempre più inadeguata la risposta improvvisata: riconoscere in anticipo i propri diritti e i meccanismi probatori applicabili è la prima, concreta forma di difesa.
Redazione - Staff Studio Legale MP
