Come funziona un attacco oggi (i fatti, prima del diritto)

Le truffe informatiche nel settore dei servizi di pagamento elettronici hanno raggiunto livelli di sofisticazione tali da ingannare anche gli utenti più accorti. Il classico phishing via email è ormai ampiamente superato da schemi di social engineering (ingegneria sociale) ben più insidiosi.

Tra le metodologie predominanti troviamo lo smishing (via SMS) e il vishing (via telefonata). La pericolosità estrema di questi attacchi deriva dallo spoofing: i truffatori camuffano il mittente, inserendo un SMS fraudolento (ad es. “accesso anomalo rilevato, clicca qui per bloccare”) esattamente all’interno della conversazione ufficiale dei messaggi della banca sul tuo smartphone.

A questo segue tipicamente una telefonata: il truffatore, mascherando il proprio numero dietro il reale Caller ID del servizio clienti bancario, si finge un addetto antifrode. Con tono professionale, guida la vittima nell’esecuzione di operazioni (come disinstallare l’app o generare OTP) rassicurandola sul fatto che servono a “mettere in sicurezza il conto”. In realtà, la vittima sta autorizzando bonifici a favore dei criminali. (Se hai solo cliccato il link senza inserire nulla, leggi la nostra guida: Ho solo cliccato il link senza inserire codici: rischio comunque qualcosa?).

Cosa fare nelle prime ore: la procedura

Quando ci si accorge dell’ammanco, la rapidità di reazione è essenziale per precostituire una posizione giuridica inattaccabile. La normativa (D.Lgs. 11/2010, di recepimento della direttiva sui servizi di pagamento) protegge l’utente, ma esige il rispetto di passi precisi.

Il primo passo: bloccare e contestare “senza ingiustificato ritardo”

È tassativo contattare immediatamente il numero verde della banca per richiedere il blocco della carta e delle credenziali di accesso all’home banking. Dal momento in cui si effettua la segnalazione, salvo i casi di dolo, l’utente non sopporta più alcuna perdita per eventuali operazioni successive. Contestualmente, si deve chiedere alla banca il recall (l’annullamento) delle operazioni non ancora contabilizzate.

Il termine che decide tutto: entro quando si può contestare l’addebito

La legge non ammette dimenticanze infinite. Ai sensi dell’art. 9 del D.Lgs. 11/2010, l’utente deve notificare alla banca l’operazione non autorizzata “senza indugio” e comunque non oltre 13 mesi dalla data di addebito. È un termine di decadenza perentorio: superati i 13 mesi, il diritto a ottenere il rimborso si estingue definitivamente. Inviare tempestivamente il disconoscimento (dopo la denuncia alle Autorità) tramite PEC o raccomandata A/R è il primo scudo contro l’accusa di negligenza. Al di là del termine di decadenza, il consiglio è di contattare immediatamente la propria banca, senza aspettare. (Per il dettaglio del termine: Entro quanto tempo posso contestare un bonifico non autorizzato?)

Il bivio: rimborso concesso o rifiutato

Ricevuto il disconoscimento formale, scatta per la banca l’obbligo previsto dall’art. 11 del D.Lgs. 11/2010:

• Ipotesi A (la banca rimborsa): l’intermediario è tenuto a restituire l’importo, di regola entro la fine della giornata operativa successiva, riportando il conto allo stato precedente la frode.
• Ipotesi B (la banca rifiuta): l’obbligo di rimborso viene sospeso se la banca nutre un motivato sospetto di frode o rileva una colpa grave dell’utente, informandone la Banca d’Italia. In pratica, arriva una lettera di diniego standard. (Se ti trovi in questa situazione: La banca dice che non è responsabile: cosa posso fare?).
• Ipotesi C (concorso di colpa): un esito intermedio, più frequente di quanto si pensi. Nella decisione ABF n. 2063 del 16 febbraio 2024, relativa a un caso di SMS-spoofing seguito da una telefonata di un finto operatore — lo stesso schema di questo articolo — il Collegio ha escluso la colpa grave del cliente, ma gli ha comunque addebitato un concorso di colpa per non aver notato alcuni segnali d’allarme nel messaggio (errori grammaticali, un link non riconducibile alla banca), disponendo un rimborso del 50%. È la ragione per cui, quando l’ABF appare rischioso su questo fronte, vale la pena valutare la mediazione civile: vedi più sotto.

Il reclamo, l’Arbitro Bancario Finanziario e la Mediazione Civile

Ricevere un rifiuto dalla banca non significa dover avviare subito una lunga e costosa causa in Tribunale. Il legislatore ha predisposto specifici strumenti stragiudiziali.

Il reclamo alla banca: termine di risposta

Il primo passo, obbligatorio per accedere alle fasi successive, è il reclamo formale all’ufficio preposto della banca. Per le controversie sui servizi di pagamento, la banca deve fornire una risposta motivata entro 15 giorni lavorativi. Solo in casi di eccezionale complessità può inviare una risposta interlocutoria, ma la decisione finale deve giungere entro 35 giorni lavorativi. (Per l’ordine delle azioni: Reclamo alla banca o denuncia penale: cosa faccio prima?).

Il ricorso ABF: costi, termini e utilità

Se la banca respinge il reclamo o non risponde nei 15 giorni, l’utente può rivolgersi all’Arbitro Bancario Finanziario (ABF), un organismo indipendente sostenuto dalla Banca d’Italia.

• Competenza e limiti: l’ABF esamina controversie sorte negli ultimi 6 anni, entro 12 mesi dalla presentazione del reclamo. Il limite massimo rimborsabile è di 200.000 euro (nessun limite per le richieste di accertamento diritti).
• Assistenza legale: Non è obbligatoria l’assistenza di un avvocato, ma poiché la decisione si basa sui documenti — in particolare sui log informatici che la banca produrrà — l’affiancamento di un legale aiuta a smontare le tesi tecniche dell’istituto.
• Tempi ed esito: l’ABF decide di norma entro 90 giorni dal completamento del fascicolo. La decisione non è vincolante come una sentenza, ma la banca che non adempie subisce una sanzione reputazionale: la pubblicazione dell’inadempimento sul sito dell’ABF e sulla propria homepage.

L’alternativa strategica: la Mediazione Civile

In alternativa all’ABF (o se l’ABF respinge il ricorso ravvisando un concorso di colpa), lo strumento più efficace è la Mediazione Civile (D.Lgs. 28/2010), che per i contratti bancari è condizione di procedibilità per andare in Tribunale.

• Come funziona: ci si confronta, spesso in videoconferenza, davanti a un mediatore terzo e imparziale con l’obiettivo di un accordo economico. La procedura è confidenziale.
• L’avvocato è obbligatorio: in mediazione le parti devono essere assistite dal proprio legale.
• Tempi certi: la procedura non può durare più di 3 mesi (salvo proroga concordata).
• Efficacia negoziale: la mediazione permette di superare la rigidità dell’analisi meramente documentale. Nel caso reale gestito dal nostro Studio, l’operazione risultava formalmente autorizzata dai codici digitati dalla vittima, e in sede ABF il rischio concreto — come mostra la decisione n. 2063/2024 citata sopra — era un concorso di colpa con rimborso solo parziale. Attivando la mediazione, è stato possibile contestare direttamente all’ufficio legale della banca le carenze del sistema di monitoraggio delle transazioni anomale, ottenendo in pochi mesi un accordo per il recupero di gran parte dell’importo sottratto — più di quanto un concorso di colpa avrebbe probabilmente riconosciuto.

Chi deve dimostrare la colpa grave: la posizione

Le banche italiane tendono a equiparare l’autenticazione informatica (la cosiddetta Strong Customer Authentication, o SCA) all’autorizzazione volontaria del cliente. La posizione del nostro Studio, sostenuta dalle più recenti pronunce della Cassazione — Sez. III, 12 febbraio 2024, n. 3780, e Sez. I, ord. 4 settembre 2024, n. 23683 — è che questo approccio sia giuridicamente errato.

L’art. 10, comma 2, del D.Lgs. 11/2010 è chiaro: il solo fatto che i codici siano stati digitati non dimostra che tu abbia agito con dolo o colpa grave. Vi è una netta inversione dell’onere della prova: tu devi solo disconoscere l’operazione, è la banca che deve provare rigorosamente la tua colpa grave, in quanto le frodi informatiche rientrano nel rischio d’impresa dell’istituto. Se cadi vittima di spoofing (un SMS falso inserito nella chat vera della banca), la giurisprudenza lo considera un’insidia eccezionale che esclude la negligenza inescusabile. (Per i dettagli processuali: Devo dimostrare io la mia assenza di colpa grave, o deve farlo la banca?; Posso chiedere anche il risarcimento del danno oltre al rimborso della somma?).

Cosa fare in concreto: la cristallizzazione delle prove

Il diniego della banca si basa quasi sempre sull’assenza di prove da parte del cliente sull’insidiosità della truffa. I truffatori sanno bene che le tracce vanno cancellate: ecco perché al telefono chiedono di “disinstallare l’app” o resettare il dispositivo. Non farlo. Non cancellare nulla.

1. Fai screenshot minuziosi: fotografa le schermate degli SMS fraudolenti, dimostrando che il messaggio-truffa si trova all’interno del thread ufficiale della banca. Se non hai dimestichezza con questo tipo di operazioni, rivolgiti al tuo legale di fiducia portando co te il cellulare. Non cancellare nulla nemmeno dopo lo screenshot: in un eventuale giudizio potrebbe essere necessaria la copia forense delle schermate.
2. Salva il registro chiamate: esporta la schermata del registro chiamate in entrata per dimostrare che il numero del truffatore corrispondeva al numero verde ufficiale dell’istituto. Anche qui, meglio non intervenire da soli sulle funzioni dello smartphone se non si ha l’abitudine a farlo.
3. Denuncia dettagliata: alla Polizia Postale o ai Carabinieri, fai mettere a verbale gli orari esatti, la dinamica manipolatoria dell’operatore e allega le stampe degli screenshot. Farsi assistere dal proprio legale di fiducia in fase di denuncia aiuta a evitare imprecisioni che potrebbero poi giocare a sfavore.

Senza queste prove cristallizzate, abbattere il muro difensivo della banca diventa molto più arduo.

Domande frequenti

In sintesi

Subire lo svuotamento del conto genera smarrimento, spesso acutizzato dal rifiuto automatico della banca. La normativa europea e italiana pone però l’onere della prova e il rischio d’impresa sull’istituto di credito. Se blocchi tempestivamente le carte, documenti con prove chiare e rispetti i termini di decadenza, hai buone possibilità di recupero. Che si scelga la via dell’Arbitro Bancario Finanziario o l’approccio negoziale della Mediazione Civile, rassegnarsi al primo diniego della banca resta l’unico vero errore da non commettere.