Truffa bancaria: quando hai diritto al rimborso (e quando no)

Scritto da Mario Bellore, Co-fondatore di C&D Solutions — aggiornato il 16 luglio 2026

La regola di base è semplice, anche se le banche spesso la applicano al contrario: se disconosci un'operazione, non tocca a te dimostrare di essere stato truffato, ma alla banca dimostrare che l'operazione era regolarmente autenticata. Ogni frode si scompone in due fasi con regole diverse: la fase in cui il truffatore inganna te (dove puoi avere colpa grave) e la fase in cui il truffatore attacca il sistema della banca (dove la tua eventuale colpa non conta, perché è la banca a dover garantire sicurezza tecnica). Capire in quale fase si è rotto qualcosa è il primo passo per sapere se hai diritto al rimborso.

Chi deve provare cosa, per legge?

Il D.Lgs. 11/2010, che recepisce le direttive europee sui servizi di pagamento (PSD/PSD2), mette l'onere della prova sulla banca, non sul cliente. Se comunichi di non aver autorizzato un'operazione, è il prestatore di servizi di pagamento a dover dimostrare — con i log tecnici, non con affermazioni generiche — che l'operazione era stata autenticata, correttamente registrata e non colpita da malfunzionamenti (art. 10). Il solo fatto che sia stato usato lo strumento di pagamento registrato (carta, app, token) non basta da solo a provare che sei stato tu, o che hai agito con colpa grave. Se la banca non applica l'autenticazione forte (SCA) prevista dalla legge, rispondi solo in caso di frode tua propria: la colpa grave diventa irrilevante (art. 10-bis). In assenza di frode o colpa grave, il rimborso è integrale (art. 12) ed è dovuto entro la fine della giornata operativa successiva alla tua comunicazione (art. 11).

Cos'è la SCA e perché decide quasi tutto

La SCA (Strong Customer Authentication, autenticazione forte) richiede due elementi indipendenti tra tre categorie: qualcosa che sai (PIN, password), qualcosa che hai (dispositivo, token), qualcosa che sei (biometria). Non basta averne uno solo, e non bastano dati "statici" come numero di carta, CVV stampato o password se non abbinati a un vero secondo fattore indipendente: una procedura basata solo su questi dati seguiti da un OTP non è conforme, perché manca l'indipendenza reale dei fattori (posizione EBA, Opinion 21/06/2019). La prova che la SCA fosse conforme è un passaggio preliminare rispetto a qualunque discussione sulla tua colpa: se la banca non riesce a dimostrarlo — in fase di accesso, di attivazione di un nuovo dispositivo (enrollment) o di tokenizzazione di un wallet digitale — diventa irrilevante indagare sul tuo comportamento.

Ho autorizzato io l'operazione, ma ingannato da un truffatore: ho diritto al rimborso?

Qui la distinzione è cruciale e spesso fraintesa. Se hai disposto tu stesso l'operazione — inserendo device, biometria, OTP — anche se la tua volontà era viziata dall'inganno di un falso trading online, di un finto acquirente su un marketplace o di un operatore telefonico fasullo, l'operazione resta "autorizzata" ai sensi dell'art. 5 D.Lgs. 11/2010. La Corte di Giustizia UE (sentenza 2/9/2021, causa C-337/20) ha chiarito che il vizio del consenso indotto da un terzo estraneo al rapporto con la banca non trasforma l'operazione in "non autorizzata": non si attiva quindi il regime di responsabilità oggettiva PSD2, e il ricorso va costruito su basi diverse dalla semplice richiesta di rimborso automatico.

Non tutto è perso, però. Restano praticabili altri profili di responsabilità comune della banca (artt. 1176/1375 c.c.), se emerge un apporto causale concreto dell'istituto: una telefonata o un SMS fraudolento proveniente da un numero effettivamente riconducibile alla banca o al gruppo; un'operazione anomala evidente non rilevata dall'impiegato allo sportello; uno sblocco automatico di una carta poco dopo un blocco per anomalia, senza un contatto informato con il cliente. In questi casi il rimborso non è automatico, ma un risarcimento — spesso parziale — è possibile.

Quando invece è colpa mia (colpa grave)?

La colpa grave è una negligenza macroscopica, non un errore qualsiasi: la legge (art. 25 D.Lgs. 11/2010) la definisce come una deviazione evidente dagli standard minimi di un utente medio diligente, non una semplice disattenzione. Cliccare su un link che replica fedelmente le comunicazioni ufficiali della banca, ad esempio, tipicamente non basta da solo a integrarla. E anche quando c'è colpa grave nella fase in cui il truffatore ti ha ingannato, la banca risponde comunque delle vulnerabilità del proprio sistema nella fase successiva: se manca la prova di una SCA conforme, la tua colpa grave diventa irrilevante.

Cosa faccio subito se sospetto una truffa?

1. Disconosci l'operazione senza indugio, comunque entro 13 mesi dall'addebito (art. 9 co. 2 D.Lgs. 11/2010).
2. Blocca carta/accesso e chiedi alla banca i log dell'operazione, invocando l'art. 119 TUB per la documentazione.
3. Denuncia alla Polizia Postale o alla Procura: rafforza il fascicolo anche se il recupero non è garantito.
4. Reclamo scritto alla banca, chiedendo espressamente la prova della SCA e dell'autenticazione.
5. Se il reclamo è respinto, valuta il ricorso ABF.

S-BLOKKO™ è il servizio di C&D Solutions che verifica se una truffa o un'operazione bancaria non autorizzata dà diritto al rimborso: analizza log e prove fornite dalla banca e, se emergono violazioni PSD2/SCA, cura il reclamo e il ricorso all'Arbitro Bancario Finanziario.

Guide correlate: phishing bancario e rimborso · vishing: la truffa telefonica · colpa grave: cos'è davvero · ricorso ABF per truffa bancaria.

Contenuto informativo, non costituisce consulenza legale o finanziaria personalizzata. Riferimenti principali: D.Lgs. 11/2010 artt. 5, 7, 8, 9 co. 2, 10, 10-bis, 11, 12, 25; Dir. 2015/2366 (PSD2) artt. 72, 73, 95, 97; RTS EBA 2018/389; CGUE 2/9/2021, causa C-337/20; EBA Opinion 21/06/2019. Ultimo aggiornamento: 16 luglio 2026.