Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Ricevi un SMS nel solito thread della tua banca — quello dove arrivano i codici OTP, gli avvisi di sicurezza, i messaggi ufficiali. Il testo ti avvisa di un accesso anomalo e ti chiede di chiamare un numero. Lo chiami. Una voce professionale ti guida passo dopo passo nel "bloccare" un bonifico sospetto. Ti sembra tutto normale, tutto autentico. Poi scopri che quel bonifico era il tuo, ed è andato sul conto del truffatore.
Quando ti rivolgi alla banca, la risposta è quasi sempre la stessa: "L'operazione è stata autenticata con SCA — Strong Customer Authentication — pertanto non siamo responsabili." È una risposta che suona tecnica, definitiva, e per molti clienti è la fine della storia. Ma non sempre le cose stanno così.
Smishing spoofing rimborso banca: cosa dicono le quattro decisioni ABF del 2026
Tra gennaio e febbraio 2026, quattro Collegi dell'Arbitro Bancario Finanziario hanno emesso decisioni che consolidano un orientamento preciso: la regolarità formale dell'autenticazione non esonera automaticamente la banca dalla responsabilità, quando la frode è sufficientemente sofisticata da rendere l'inganno quasi inevitabile per un cliente mediamente diligente.
Nel caso deciso dall'ABF Torino con la pronuncia n. 668 del 26 gennaio 2026 (Pres. Lucchini Guastalla, Rel. Isaia), la ricorrente aveva ricevuto un messaggio inserito nella chat abituale della banca che la avvisava di "un'operazione di sicurezza dati", e veniva poi contattata telefonicamente da un sedicente operatore del servizio antifrode dell'intermediario, che la informava di un bonifico sospetto e le impartiva istruzioni per bloccarlo. Il messaggio era inserito nel thread autentico: impossibile distinguerlo da un avviso reale.
A distanza di un mese, il Collegio di Roma si è pronunciato su un caso simile con la decisione n. 1794 del 26 febbraio 2026 (Pres. Sirena, Rel. Marinaro). La ricorrente aveva eseguito pagamenti a seguito di un raggiro telefonico da parte di un sedicente operatore della banca, che la contattava con un numero riconducibile alla banca stessa, guidandola nell'esecuzione di operazioni finalizzate a "bloccare" addebiti fraudolenti, mentre in realtà disponeva bonifici a favore del truffatore.
Il Collegio di Napoli, con decisione n. 797 del 28 gennaio 2026 (Pres. Carriero, Rel. Gigliotti), si è pronunciato su una frode realizzata mediante smishing e installazione di un'applicazione malevola, ripartendo la responsabilità in pari misura tra cliente e intermediario. Nel caso di specie, la ricorrente aveva ricevuto un SMS apparentemente proveniente dal servizio clienti dell'intermediario, che la invitava a contattare un numero telefonico. L'interlocutore la induceva a installare una nuova app token, apparentemente identica a quella ufficiale, che in realtà era un'applicazione malevola in grado di consentire l'accesso remoto al conto corrente.
Il Collegio di Bologna, con decisione n. 770 del 28 gennaio 2026 (Pres. C. Tenella Silvani, Rel. S. Traversi), si è pronunciato sul concorso di responsabilità della banca in un episodio di SMS spoofing, nel caso in cui la ricorrente chiedeva il rimborso di un bonifico che ella stessa aveva autorizzato dopo essere incorsa in una frode telefonica.
Nelle fattispecie di spoofing la frode si inserisce nella chat di messaggi autentici: secondo l'orientamento condiviso dei Collegi, "nelle fattispecie di spoofing, data l'insidiosità del meccanismo di aggressione, consistente nell'invio del messaggio SMS dall'utenza dell'intermediario, non è generalmente ravvisabile la colpa grave del ricorrente", salvo che non emergano specifici indici di inattendibilità che un cliente mediamente avveduto avrebbe dovuto cogliere.
Tre scenari, percentuali diverse: il Collegio di Torino e quello di Roma hanno riconosciuto una corresponsabilità significativa dell'intermediario. Il Collegio di Napoli ha ripartito il danno in misura paritaria (50/50) nel caso dell'app malevola. Il Collegio di Bologna, pur riconoscendo che la colpa grave della ricorrente assumeva carattere causale prevalente, ha ravvisato un concorso di responsabilità dell'intermediario determinato in via equitativa nella misura del 20% del danno, riconoscendo la restituzione di euro 320,00 su un bonifico di euro 1.600,00.
Se cado in una truffa smishing la banca è obbligata a rimborsarmi?
Non automaticamente, ma nemmeno mai no. La risposta dipende da tre variabili: la sofisticazione della frode, la condotta del cliente, e la capacità dell'intermediario di dimostrare la colpa grave.
Il quadro normativo di riferimento è il D.Lgs. 27 gennaio 2010, n. 11, che recepisce la Direttiva PSD2 in materia di servizi di pagamento. L'art. 11 del D.Lgs. 11/2010 prevede che in caso di operazioni di pagamento non autorizzate il pagatore abbia diritto al rimborso entro la fine della giornata operativa successiva a quella in cui il prestatore di servizi di pagamento prende atto dell'operazione eseguita in assenza di autorizzazione.
Il nodo centrale è però il concetto di "operazione autorizzata": se il cliente ha fisicamente digitato il codice OTP e confermato il bonifico, la banca sostiene che l'operazione è autorizzata. La giurisprudenza arbitrale risponde che questa autorizzazione è viziata dall'inganno, e che la frode sofisticata trasforma l'operazione in una forma di coazione psicologica che il sistema di sicurezza avrebbe dovuto intercettare.
Come precisato da orientamenti consolidati sia dell'ABF che della Cassazione, la prova della regolarità formale dell'operazione non è di per sé sufficiente a escludere la responsabilità della banca. È necessario che l'intermediario dimostri la colpa grave dell'utente, fornendo elementi di fatto da cui desumerla in via presuntiva.
Questo significa che il peso probatorio si sposta: non è il cliente a dover dimostrare di essere stato truffato, ma la banca a dover dimostrare che il cliente ha agito con colpa grave. Una distinzione che nel concreto può fare la differenza tra un rimborso e un diniego.
Cosa significa colpa grave del cliente nelle frodi informatiche bancarie?
La colpa grave non coincide con qualsiasi imprudenza. L'ABF ha nel tempo delineato una serie di indici concreti che la configurano: rispondere a messaggi palesemente scritti in italiano stentato o con errori grammaticali evidenti; cliccare su link che non rimandano minimamente ai domini ufficiali della banca; comunicare credenziali complete a un interlocutore telefonico senza alcuna verifica; installare applicazioni da store non ufficiali senza alcun elemento di pressione da parte del truffatore.
Il Collegio ha ritenuto decisivi, a sfavore del ricorrente, due elementi: l'omessa produzione di prove (il cliente non aveva prodotto copia del messaggio SMS né screenshot del registro chiamate), e questa omissione aveva impedito al Collegio di valutare la natura e la sofisticazione della frode — ad esempio, se si trattasse di un caso di spoofing, in cui il messaggio fraudolento si inserisce nella cronologia di quelli autentici, rendendo l'inganno più insidioso.
Questo passaggio merita attenzione: la sofisticazione della frode è un elemento che il cliente deve dimostrare, non solo invocare. Chi non conserva le prove — SMS, screenshot, registro chiamate, email — rischia di veder rigettare la domanda non per colpa sua nella frode, ma per incapacità di documentarla.
L'orientamento è stato ribadito con chiarezza: "l'intermediario non si libera dalla responsabilità provando la mera regolarità formale delle transazioni", dovendo documentare elementi di fatto idonei a provare, anche per via presuntiva, la colpa grave del cliente (cfr. Collegio di Coordinamento ABF, n. 22745/2019).
Come si ripartisce la responsabilità tra banca e cliente in caso di bonifico fraudolento?
Il meccanismo applicato dai Collegi è quello del concorso di colpa ai sensi dell'art. 1227 del codice civile, che consente di ripartire il danno in proporzione alla rispettiva responsabilità delle parti. Non si tratta di un principio nuovo, ma la sua applicazione alle frodi bancarie digitali è relativamente recente e in piena evoluzione.
Sebbene non sia normativamente previsto in capo agli intermediari uno specifico obbligo di monitoraggio preventivo delle transazioni, è tuttavia opinione condivisa dai Collegi quella secondo la quale — oltre agli specifici indici di anomalia di cui al D.M. n. 112/2007 — gli intermediari debbono predisporre sistemi di rilevazione delle anomalie proporzionati ai rischi noti.
In pratica: la banca che non ha sistemi di rilevamento delle anomalie comportamentali (bonifici inusuali per importo, orario, destinatario mai usato prima), che non ha avvisato il cliente prima dell'esecuzione, e che non può dimostrare di aver adottato misure di sicurezza adeguate rispetto alle frodi note del settore, risponde in misura proporzionale. Le percentuali variano: dal 20% al 50% del danno, a seconda dell'insidiosità della frode e della condotta del cliente.
È il principio latino vigilantibus iura subveniunt declinato in senso bidirezionale: il diritto tutela chi è diligente, ma questo vale sia per il cliente che per l'istituto di credito. La banca che conosce le tecniche di spoofing — e le conosce certamente, essendo fenomeno documentato da anni — ha il dovere professionale di attrezzarsi di conseguenza.
Come scriveva Luigi Ferrajoli, il diritto è uno strumento di garanzia che vale quanto la sua effettività. Una norma che riconosce il diritto al rimborso per operazioni non autorizzate, ma che poi ammette come scudo assoluto la SCA anche in presenza di frode sofisticata, si svuota di contenuto. Le recenti decisioni ABF si muovono proprio in direzione opposta, cercando di restituire effettività alla tutela del consumatore bancario.
Cosa fare concretamente se sei vittima di smishing o spoofing: la sequenza pratica
Il primo errore è aspettare. Il D.Lgs. 11/2010 prevede termini precisi per il disconoscimento delle operazioni, e il decorso del tempo può pregiudicare il diritto al rimborso. La sequenza corretta è la seguente.
Appena ti accorgi della frode, chiama subito il numero di blocco della banca e blocca il conto o le carte coinvolte. Poi manda immediatamente una comunicazione scritta — PEC o raccomandata — all'intermediario, disconoscendo formalmente le operazioni non autorizzate. Nel testo indica con precisione: data e ora delle operazioni, importi, causali, e la dicitura esplicita "operazione non autorizzata ai sensi del D.Lgs. 27 gennaio 2010, n. 11".
Conserva tutto: lo screenshot del thread SMS (compreso il messaggio fraudolento inserito tra quelli autentici), il registro chiamate con il numero del sedicente operatore, qualsiasi email o comunicazione ricevuta. Se hai installato un'applicazione durante la frode, non disinstallarla immediatamente: potrebbe essere utile per una perizia tecnica.
Fai denuncia alla Polizia Postale: non è solo un adempimento formale. La denuncia è un elemento di prova che corrobora la tua versione e, in sede ABF, pesa concretamente nella valutazione della sofisticazione della frode.
Se la banca respinge il rimborso o propone una cifra irrisoria, il ricorso all'ABF è la via più rapida e gratuita. Il procedimento è accessibile senza avvocato, sebbene la presenza di un professionista con esperienza in diritto bancario migliori sensibilmente la qualità dell'esposizione dei fatti e degli argomenti giuridici. I termini per il ricorso ABF decorrono dal momento in cui la banca comunica il diniego o trascorrono 30 giorni senza risposta.
Un aspetto spesso trascurato: la documentazione non serve solo a dimostrare che sei stato truffato, ma a dimostrare la sofisticazione della frode. È questa caratteristica — il messaggio nel thread autentico, il numero telefonico spoofato identico a quello della banca, l'app visivamente indistinguibile dall'originale — che sposta la responsabilità dalla sfera dell'imprudenza scusabile del cliente a quella del rischio di impresa dell'intermediario.
I Collegi ABF hanno chiarito che quando il truffatore "ha adottato un sistema tecnicamente sofisticato", questo "concreta un'ipotesi di malfunzionamento del servizio di pagamento o altro inconveniente connesso al servizio di disposizione di ordine di pagamento", destinato a ricadere nella sfera del rischio di impresa dell'intermediario.
Il punto di equilibrio non è ancora definito in modo stabile: le percentuali di ripartizione variano da caso a caso, e la giurisprudenza — sia arbitrale che ordinaria — è ancora in movimento. Ciò che appare tuttavia consolidato è il principio di fondo: la SCA da sola non basta a esonerare la banca, quando la frode è abbastanza sofisticata da rendere il consenso del cliente non genuinamente libero. Difendere questo spazio di tutela, caso per caso, è compito del diritto e di chi lo pratica.
Usura, anatocismo, segnalazioni e fideiussioni: contenzioso bancario.
Redazione - Staff Studio Legale MP
