Colpa grave nella truffa bancaria: cos'è davvero (e cosa non lo è)

Scritto da Mario Bellore, Co-fondatore di C&D Solutions — aggiornato il 16 luglio 2026

"Colpa grave" è l'argomento più usato dalle banche per negare un rimborso dopo una truffa. Ma è anche uno dei concetti più fraintesi: non basta essere stati ingannati, e non basta neppure aver commesso un errore, per perdere il diritto al rimborso. La legge fissa uno standard preciso, più alto di quanto si pensi, e ci sono situazioni in cui la colpa grave — anche quando esiste — non conta comunque nulla ai fini del rimborso.

Cosa dice davvero la legge

L'art. 25 del D.Lgs. 11/2010 definisce la colpa grave come una negligenza macroscopica: una deviazione evidente dagli standard minimi di comportamento di un utente medio diligente. Non è quindi "hai sbagliato", ma "hai sbagliato in un modo che nessuna persona ragionevolmente attenta avrebbe fatto nelle stesse circostanze". È uno standard alto apposta, perché la legge (art. 12) prevede che, in assenza di colpa grave o frode, il rimborso sia integrale — e le banche hanno un interesse comprensibile, ma non sempre fondato, a spostare l'asticella più in basso di quanto la norma consenta.

Cosa NON basta, da solo, a integrare colpa grave

• Cliccare un link di phishing che replica fedelmente forma, loghi e linguaggio delle comunicazioni ufficiali della banca — magari inserito nello stesso thread di SMS legittimi già ricevuti in passato.
• Rispondere a una telefonata da un numero che sullo schermo appare identico a quello reale della banca (spoofing del callerID).
• Un singolo errore isolato in un contesto in cui il truffatore ha simulato con grande cura una comunicazione ufficiale.

Questi elementi, presi singolarmente, non superano lo standard di "negligenza macroscopica": sono esattamente il tipo di inganno sofisticato contro cui la legge intende proteggere il cliente medio, non l'esperto di sicurezza informatica.

Cosa invece pesa davvero contro di te

Gli elementi che tendono a essere valutati come colpa grave sono altri, più concreti: la condivisione volontaria e consapevole di codici dispositivi dopo espliciti alert di sicurezza che segnalavano chiaramente il rischio; l'inerzia dopo un messaggio che conferma un'attivazione o una modifica non richiesta (ad esempio l'attivazione di una carta su un wallet digitale che non riconosci) — se non contatti subito la banca per chiarire, quel silenzio può diventare l'elemento causalmente decisivo; ignorare ripetutamente segnali di anomalia palesi, non uno solo ma una sequenza.

Il punto che cambia tutto: la SCA viene prima della colpa grave

Anche quando la tua colpa grave nella fase dell'inganno è provata, questo non chiude automaticamente la partita a favore della banca. La legge distingue due fasi con regimi distinti: la fase in cui il truffatore ti inganna (dove la colpa grave può rilevare) e la fase in cui attacca il sistema tecnico della banca (dove conta solo se la banca ha applicato un'autenticazione forte — SCA — davvero conforme). Se la banca non riesce a provare che la SCA fosse conforme in ogni fase — accesso, enrollment di un nuovo dispositivo, tokenizzazione di un wallet — la tua eventuale colpa grave nella prima fase diventa irrilevante: la prova dell'autenticazione è un passaggio logico e giuridico preliminare rispetto a qualunque discussione sul tuo comportamento.

S-BLOKKO™ è il servizio di C&D Solutions che verifica se una truffa o un'operazione bancaria non autorizzata dà diritto al rimborso: analizza log e prove fornite dalla banca e, se emergono violazioni PSD2/SCA, cura il reclamo e il ricorso all'Arbitro Bancario Finanziario.

Guide correlate: truffa bancaria: quando hai diritto al rimborso · phishing bancario e rimborso · vishing: la truffa telefonica · reclamo alla banca: cosa scrivere.

Contenuto informativo, non costituisce consulenza legale o finanziaria personalizzata. Riferimenti principali: D.Lgs. 11/2010 artt. 10, 10-bis, 12, 25; RTS EBA 2018/389; ABF Coord. 9559/2024. Ultimo aggiornamento: 16 luglio 2026.