Ha appena ricevuto un messaggio da un presunto acquirente interessato all'articolo in vendita. Il contatto sembra serio, la trattativa rapida. Poi arriva la proposta: usare un "corriere convenzionato" o un sistema di pagamento esterno alla piattaforma. Un link, un modulo, un codice OTP da inserire "per ricevere il denaro". E in pochi minuti il conto è svuotato. Il venditore è diventato vittima. Questa dinamica — paradossale quanto diffusa — è al centro di un orientamento giurisprudenziale in rapida evoluzione che vale la pena conoscere con precisione.
Le segnalazioni di frode informatica alla Polizia Postale, che nel 2020 erano circa 240.000 l'anno, hanno superato il milione nel 2025. Il fenomeno non riguarda più solo grandi piattaforme di e-commerce strutturate: la frontiera più esposta è oggi quella dei marketplace di annunci peer-to-peer, dove l'incontro tra privati avviene senza le garanzie contrattuali tipiche del commercio professionale. Il rapporto Europol IOCTA 2025 evidenzia l'esistenza di un vasto "ecosistema del mercato nero" che offre kit di phishing e tutorial, abbassando drasticamente la barriera d'ingresso per i criminali e permettendo anche a soggetti con competenze tecniche limitate di lanciare attacchi sofisticati.
Il quadro penale: tre reati in uno
Le frodi su marketplace attivano, a seconda delle modalità operative, un concorso di fattispecie penali distinte. Si applica in primo luogo il reato di truffa ex art. 640 c.p., che punisce chi ottiene un profitto con l'inganno; quando la frode avviene tramite sistemi digitali subentra la frode informatica ex art. 640-ter c.p., che sanziona chi "alterando il funzionamento di un sistema informatico o intervenendo senza diritto su dati, informazioni o programmi" ottiene un ingiusto profitto con altrui danno. Se viene utilizzata l'identità digitale altrui si configura anche la sostituzione di persona ex art. 494 c.p., punita con la reclusione.
Sul fronte degli elementi costitutivi, la Corte di Cassazione, Sez. II pen., con la sentenza n. 2055 del 13 febbraio 2026, ha definito con precisione i contorni della truffa online su piattaforma. Il caso riguardava la vendita fittizia di prodotti tecnologici su una piattaforma web: la Corte ha chiarito che per la configurazione del reato è sufficiente l'induzione in errore della vittima tramite artifizi e raggiri, con conseguente atto di disposizione patrimoniale, anche se il profitto per l'autore non è immediatamente conseguito. Non è dunque necessario dimostrare l'effettivo incasso da parte del truffatore: l'elemento decisivo per la consumazione del reato è il danno patrimoniale subito dalla vittima a seguito dell'inganno. Si tratta di un principio tutt'altro che scontato: chi si trova a dover denunciare una frode in cui il pagamento è andato "disperso" in catene di bonifici o portafogli digitali potrà far valere questo orientamento.
Ancora più rilevante, sotto il profilo processuale, è la Cass. pen., Sez. II, sentenza n. 8644 del 5 marzo 2026. Con questa pronuncia la Corte di Cassazione ha stabilito un principio destinato a pesare su molti procedimenti: quando il raggiro avviene tramite internet, sfruttando la distanza tra chi truffa e chi viene truffato, può scattare l'aggravante della minorata difesa. I giudici hanno chiarito che l'uso di strumenti informatici o telematici crea spesso un vantaggio concreto per chi commette il reato: la vittima non riesce a verificare l'identità dell'interlocutore né a controllare in tempo reale l'operazione. L'aggravante non è automatica ma dev'essere valutata in concreto; tuttavia il suo riconoscimento incide sull'aumento di pena e, soprattutto, sulla procedibilità d'ufficio del reato, eliminando il rischio che la querela tardiva pregiudichi l'azione penale.
La stessa sentenza n. 8644/2026 del 5 marzo 2026 ha chiarito che il reato si considera procedibile d'ufficio e può essere utilmente perseguito anche se la denuncia viene presentata successivamente allo spirare del termine ordinario della querela. Per la vittima che scopre di essere stata truffata mesi dopo i fatti — circostanza frequente quando il danno emerge solo con l'estratto conto — questo orientamento è di estrema importanza pratica.
Un terzo contributo rilevante proviene dalla Cass. pen., Sez. II, sentenza n. 5669 del 25 marzo 2026, che ha affrontato la truffa contrattuale nell'e-commerce ribadendo che il responsabile rischia la reclusione e la multa, oltre all'obbligo di risarcire integralmente i danni patrimoniali e morali causati alla vittima. La pronuncia consolida l'orientamento per cui il danno non morale in senso stretto ma anche il danno da stress, perdita di tempo e pregiudizio alla sfera organizzativa del privato rientrano nel perimetro risarcibile.
Il nodo aperto: la piattaforma può rispondere?
Il punto più interessante — e meno esplorato nella prassi quotidiana — riguarda la responsabilità civile della piattaforma marketplace. Qui il diritto è in movimento. La vittima che si costituisce parte civile può richiedere di citare in giudizio quale "responsabile civile" il sito che ha favorito la transazione illecita; un giudice di merito ha già autorizzato tale chiamata in giudizio, con riserva di approfondirne la responsabilità civile nel corso del processo, qualificando il marketplace come hosting provider "attivo" tenuto a garantire il rispetto degli obblighi di protezione e informazione tra utente e provider.
La distinzione tra hosting provider passivo e attivo è il fulcro del problema. Il primo si limita a memorizzare contenuti altrui senza intervenirvi, beneficiando dell'esonero di responsabilità previsto dalla Direttiva e-commerce (oggi recepito nel Digital Services Act). Il secondo — il marketplace che organizza, classifica, indicizza gli annunci, gestisce sistemi di valutazione e incassa commissioni — assume un ruolo ben più pervasivo che secondo una lettura evolutiva della giurisprudenza non può restare esente da ogni forma di responsabilità quando la piattaforma non ha adottato misure ragionevoli per contrastare schemi di frode sistematici e notori.
Il vigilantibus iura subveniunt — il diritto soccorre chi è vigile — vale tanto per la vittima che agisce tempestivamente, quanto per la piattaforma che avrebbe potuto e dovuto segnalare tempestivamente i pattern fraudolenti. Il legislatore europeo con il Digital Services Act impone alle piattaforme di grandi dimensioni obblighi di gestione del rischio sistemico: il mancato presidio di fenomeni di frode su annunci, documentato e reiterato, potrebbe configurare un'omissione rilevante ai fini della responsabilità extracontrattuale ex art. 2043 c.c.
Il filosofo del diritto Rudolf von Jhering scriveva che il diritto non si ottiene chiedendolo con gentilezza: bisogna combatterlo. Questa massima descrive con precisione la condizione di chi ha subito una truffa su marketplace e si trova di fronte a una piattaforma che declina ogni responsabilità invocando le clausole di esonero nei propri termini d'uso. Quelle clausole non sono impermeabili: vanno verificate alla luce della normativa consumeristica, del GDPR e dei nuovi obblighi del DSA.
Sul piano del rimborso bancario occorre tenere presente la disciplina delle operazioni di pagamento non autorizzate prevista dal d.lgs. 11/2010 (PSD2): la banca deve rimborsare senza indugio le operazioni non autorizzate, salvo provi dolo o colpa grave dell'utente, e il mero uso dell'OTP non basta a dimostrare la colpa grave, essendo necessari elementi concreti. L'orientamento ABF (Arbitro Bancario Finanziario) è ricorrente su questo punto: l'onere probatorio della colpa grave ricade sull'intermediario, non sulla vittima.
Cosa fare concretamente quando si scopre la frode? Il primo passo, quello irrinunciabile, è agire entro ore, non giorni. Bloccare immediatamente la carta o il conto tramite l'app bancaria o il numero verde, e contestualmente segnalare l'operazione alla banca richiedendo il recall del bonifico, che ha possibilità concrete di successo nelle prime 24-48 ore. Acquisire e conservare ogni evidenza digitale: screenshot della chat, link del profilo del truffatore, URL della pagina falsa, ricevuta del pagamento. Presentare denuncia/querela alla Polizia Postale corredandola di tutta la documentazione raccolta — gli estremi del profilo, i messaggi, il numero di telefono usato — perché la qualità della denuncia determina la velocità con cui le autorità possono operare il tracciamento bancario. Non effettuare ulteriori operazioni suggerite dall'autore della frode con la scusa di "recuperare il denaro": è quasi sempre la seconda truffa nella truffa.
Un errore frequente, e costoso, è aspettare. La maggior parte delle truffe online oggi avviene tramite marketplace falsi, phishing bancari, truffe sui pagamenti elettronici e piattaforme di investimento inesistenti: in tutti questi casi la catena di bonifici si smembra rapidamente attraverso conti esteri o portafogli virtuali. Ogni ora persa riduce la probabilità di recupero.
La vicenda processuale dei "corrieri fake" su marketplace offre un monito ulteriore: la responsabilità penale non riguarda solo gli autori materiali della truffa, ma anche chi partecipa alla fase finale del reato come la ricezione dei beni illecitamente acquistati, come ha confermato una recente sentenza della Corte di Cassazione che ha condannato soggetti che pur non essendo gli autori diretti del phishing avevano ricevuto la merce frodata. Questo significa che, sul fronte opposto, anche chi presta inconsapevolmente il proprio conto come "prestanome" può trovarsi in una situazione giuridicamente delicata.
Il quadro complessivo che emerge da questi orientamenti è quello di un diritto penale digitale che si sta dotando di strumenti via via più precisi — aggravante della minorata difesa, procedibilità d'ufficio, danno morale risarcibile — ma che impone alla vittima di muoversi con tempestività e consapevolezza. La giurisprudenza recente tutela chi agisce, non chi attende.
Redazione - Staff Studio Legale MP
