Phishing bancario: come ottenere il rimborso

Scritto da Mario Bellore, Co-fondatore di C&D Solutions — aggiornato il 16 luglio 2026

Un SMS o un'email che imita alla perfezione le comunicazioni della tua banca, un link che porta a una pagina identica a quella vera, la richiesta di inserire codici "per motivi di sicurezza": è il copione classico del phishing bancario. La buona notizia è che la legge non scarica automaticamente la colpa sul cliente. Il punto decisivo non è "hai cliccato un link", ma se la banca è in grado di provare che l'operazione era protetta da un'autenticazione forte (SCA) davvero conforme. Se non lo prova, il rimborso è dovuto anche se hai cliccato.

Cosa deve dimostrare la banca dopo un phishing?

Quando disconosci un'operazione, l'onere della prova è della banca (art. 10 D.Lgs. 11/2010): deve dimostrare che l'operazione era autenticata, correttamente registrata e priva di malfunzionamenti. Il solo fatto che il tuo strumento risulti "usato" non è una prova sufficiente. Se il prestatore non ha applicato la SCA, rispondi solo in caso di frode propria (art. 10-bis): la tua eventuale disattenzione nel cliccare il link diventa irrilevante.

Perché la SCA è il vero campo di battaglia

La SCA richiede due elementi indipendenti tra conoscenza (password, PIN), possesso (device, token) e inerenza (biometria). Un truffatore che ottiene con l'inganno solo dati "statici" — numero di carta, CVV stampato, password — e li abbina a un OTP non ha aggirato un sistema SCA conforme: ha sfruttato un sistema che non lo era, perché i fattori non erano davvero indipendenti (EBA, Opinion 21/06/2019). Lo stesso vale per l'enrollment di un nuovo dispositivo: la SCA è obbligatoria anche in questa fase, equiparata a un'operazione dispositiva ad alto rischio. Se la banca non produce i log che documentano una SCA conforme in ognuno di questi passaggi — accesso, enrollment, disposizione — l'onere della prova non è assolto.

Cosa conta davvero per la colpa grave

La colpa grave (art. 25 D.Lgs. 11/2010) è una negligenza macroscopica, una deviazione evidente dagli standard minimi di un utente medio diligente — non un errore qualunque. Un messaggio "civetta" che replica fedelmente forma, loghi e linguaggio delle comunicazioni ufficiali della banca, inserito magari nello stesso thread di SMS legittimi già ricevuti in passato, tipicamente non basta da solo a integrare colpa grave. Pesa di più, ad esempio, l'inerzia dopo un secondo messaggio che segnalava chiaramente un'attivazione o una modifica sospetta, senza che tu abbia contattato la banca per verificare. E in ogni caso, se manca la prova di una SCA conforme, la discussione sulla tua colpa diventa secondaria: la banca deve prima superare quello scoglio.

Cosa fare subito dopo un phishing

1. Blocca carta/accesso e cambia le credenziali.
2. Disconosci l'operazione per iscritto, senza indugio.
3. Chiedi i log di accesso, enrollment e disposizione ex art. 119 TUB.
4. Denuncia alla Polizia Postale, conservando lo screenshot del messaggio civetta.
5. Se il reclamo è respinto, valuta il ricorso ABF.

S-BLOKKO™ è il servizio di C&D Solutions che verifica se una truffa o un'operazione bancaria non autorizzata dà diritto al rimborso: analizza log e prove fornite dalla banca e, se emergono violazioni PSD2/SCA, cura il reclamo e il ricorso all'Arbitro Bancario Finanziario.

Guide correlate: truffa bancaria: quando hai diritto al rimborso · vishing: la truffa telefonica · colpa grave: cos'è davvero · reclamo alla banca: cosa scrivere.

Contenuto informativo, non costituisce consulenza legale o finanziaria personalizzata. Riferimenti principali: D.Lgs. 11/2010 artt. 9 co. 2, 10, 10-bis, 25; RTS EBA 2018/389 artt. 5, 9, 24; EBA Opinion 21/06/2019; ABF Coord. 21285/2021 (SCA in enrollment). Ultimo aggiornamento: 16 luglio 2026.