Conto corrente svuotato da phishing, spoofing o vishing: quando la banca deve rimborsare
Hai ricevuto un SMS apparentemente proveniente dalla banca?
Ti ha chiamato un falso operatore antifrode?
Hai cliccato un link e poi hai trovato il conto corrente svuotato?
In questi casi si parla spesso di phishing bancario, smishing, spoofing o vishing. Sono truffe digitali sempre più sofisticate, nelle quali il cliente viene indotto a credere di comunicare realmente con la propria banca.
La banca, però, non può negare il rimborso in modo automatico solo perché l’operazione risulta eseguita tramite home banking, app, OTP o dispositivo del cliente.
Il punto decisivo: la banca deve provare l’autenticazione dell’operazione
La disciplina sulle operazioni di pagamento non autorizzate pone un preciso onere probatorio in capo al prestatore di servizi di pagamento. Quando il cliente disconosce l’operazione, la banca deve provare che il pagamento sia stato autenticato, correttamente registrato e contabilizzato; inoltre, l’uso dello strumento di pagamento non basta, da solo, a dimostrare che il cliente abbia autorizzato l’operazione o abbia agito con dolo o colpa grave. Questo principio è richiamato anche nella nota pubblicata dall’Avv. Mario Pio Contessa su Diritto del Risparmio, dedicata a una decisione ABF del Collegio di Roma del 9 settembre 2026 in materia di spoofing e vishing.
Nel caso esaminato, la frode era avvenuta tramite SMS apparentemente provenienti dalla banca e telefonata di un falso operatore antifrode. Il Collegio ABF ha valorizzato il difetto di prova dell’intermediario sulla procedura di autenticazione forte e ha disposto la restituzione integrale dell’importo sottratto, pari a euro 6.393,17, oltre interessi legali.
Phishing, spoofing e vishing: la colpa del cliente non è automatica
Nelle frodi bancarie online la banca spesso sostiene che il cliente sia stato imprudente. Ma la valutazione deve essere concreta.
Quando il messaggio fraudolento si inserisce nel medesimo flusso degli SMS reali della banca, quando il numero sembra quello ufficiale dell’intermediario o quando il truffatore si presenta come operatore antifrode, non è sempre corretto parlare automaticamente di colpa grave del cliente.
La questione centrale resta questa: la banca ha provato davvero tutti i passaggi tecnici dell’operazione?
Ha provato l’attivazione dell’app sul nuovo dispositivo?
Ha provato i fattori di autenticazione forte?
Ha prodotto log chiari, completi e leggibili?
Secondo la comunicazione della Banca d’Italia del 17 giugno 2024, gli intermediari devono adottare condotte conformi alle regole sulle operazioni non autorizzate e improntate alla correttezza nei rapporti con la clientela. La Banca d’Italia richiama inoltre l’esigenza di procedure interne coerenti con la disciplina di settore.
Cosa fare subito se ti hanno svuotato il conto corrente
In caso di conto corrente svuotato, bonifici non autorizzati o pagamenti fraudolenti, è opportuno agire immediatamente:
- bloccare conto, carte, app bancaria e home banking;
- contestare formalmente le operazioni alla banca;
- chiedere il rimborso per operazioni non autorizzate;
- conservare SMS, email, screenshot, notifiche, numeri di telefono e movimenti;
- presentare denuncia-querela;
- valutare reclamo, ricorso ABF o azione giudiziale.
La Banca d’Italia ricorda che il cliente deve segnalare l’operazione senza ritardo e comunque entro il termine massimo previsto dalla disciplina applicabile; in caso di diniego o mancata risposta entro 15 giorni lavorativi al disconoscimento, può essere presentato ricorso all’ABF.
Quando rivolgersi a un avvocato per phishing bancario
È utile rivolgersi a un avvocato quando:
- la banca nega il rimborso;
- l’intermediario sostiene che vi sia colpa grave del cliente;
- vengono prodotti log tecnici difficili da comprendere;
- il conto corrente è stato svuotato con bonifici, pagamenti carta o ricariche;
- la frode è avvenuta tramite SMS apparentemente ufficiali, telefonate antifrode, app bancaria o nuovo dispositivo;
- occorre valutare reclamo, ABF o causa civile.
Non ogni truffa bancaria comporta automaticamente il rimborso. Ogni caso va valutato sui documenti: dinamica della frode, tempi di contestazione, comunicazioni ricevute, sistemi di sicurezza, prova dell’autenticazione forte e condotta dell’intermediario.
Approfondimento tecnico su Diritto del Risparmio
L’Avv. Mario Pio Contessa ha pubblicato su Diritto del Risparmio una nota di commento alla decisione ABF, Collegio di Roma, 9 settembre 2026, in materia di responsabilità dell’intermediario per operazioni di pagamento disconosciute a seguito di spoofing e vishing. L’approfondimento analizza il rapporto tra prova dell’autenticazione forte, onere probatorio della banca e valutazione della colpa grave del cliente.
Conclusione
Lo Studio Legale Contessa – Avv. Mario Pio Contessa assiste clienti, correntisti, consumatori e imprese nei casi di conto corrente svuotato, phishing bancario, spoofing, vishing, smishing, bonifici fraudolenti, carte clonate, operazioni di pagamento disconosciute e richieste di rimborso alla banca.
Lo Studio presta assistenza nella redazione del reclamo, nella valutazione dei log bancari, nel ricorso all’Arbitro Bancario Finanziario e, ove necessario, nel contenzioso giudiziale contro l’intermediario.
Studio Legale Contessa, con sede a Bologna, assiste privati, consumatori e imprese in materia di diritto bancario, phishing bancario, conto corrente svuotato, spoofing, vishing, smishing, operazioni di pagamento non autorizzate, rimborso banca, ricorsi ABF, responsabilità dell’intermediario e contenzioso bancario.
Lo Studio opera in tutta Italia, con particolare attenzione alla provincia di Bologna, inclusi Valsamoggia, Funo di Argelato/Funo, Castel Maggiore, San Giorgio di Piano, Castel San Pietro, a Modena, inclusi Modena, Castelvetro, Vignola, Maranello, Formigine, e a Ferrara e provincia.
La banca deve rimborsare se il conto corrente è stato svuotato?
La banca può essere tenuta al rimborso se l’operazione non è stata autorizzata e se non prova correttamente autenticazione, registrazione e contabilizzazione del pagamento. La valutazione dipende sempre dai documenti e dalla dinamica concreta della frode.
Cosa significa spoofing bancario?
Lo spoofing bancario è una tecnica con cui il truffatore fa apparire SMS, email o telefonate come se provenissero dalla banca. È particolarmente pericoloso quando il messaggio fraudolento compare nello stesso thread degli SMS reali dell’istituto.
Cosa significa vishing?
Il vishing è una truffa telefonica: il cliente riceve una chiamata da un falso operatore bancario, spesso qualificatosi come addetto antifrode, che lo induce a fornire dati o ad autorizzare operazioni.
Cosa devo fare dopo una truffa bancaria online?
Occorre bloccare immediatamente gli strumenti di pagamento, disconoscere per iscritto le operazioni, chiedere il rimborso alla banca, conservare tutte le prove digitali e valutare denuncia, reclamo, ricorso ABF o azione giudiziale.
Serve un avvocato per il rimborso da phishing bancario?
Non è sempre obbligatorio, ma può essere molto utile quando la banca nega il rimborso, invoca la colpa grave del cliente o produce log tecnici complessi. Un avvocato può valutare la responsabilità dell’intermediario e impostare la richiesta in modo corretto.
