Vishing: la truffa telefonica della finta banca, e chi paga il conto

Scritto da Mario Bellore, Co-fondatore di C&D Solutions — aggiornato il 16 luglio 2026

Il vishing è la variante telefonica del phishing: qualcuno chiama fingendosi un operatore della banca, spesso con un numero che sullo schermo appare identico a quello reale, e ti convince a fornire codici o ad autorizzare un bonifico "di sicurezza". La domanda che conta davvero non è "come ho fatto a cascarci", ma da dove veniva davvero quella chiamata e cosa la banca è in grado di provare sulla sicurezza tecnica dell'operazione.

Vishing "comune" e vishing con numero della banca: due esiti opposti

La distinzione è decisiva per l'esito del ricorso. Se il numero chiamante non è riconducibile in alcun modo alla banca o al gruppo — un numero qualsiasi, un cellulare — la giurisprudenza tende a trattare l'accaduto come colpa grave piena del cliente: il ricorso viene respinto, perché manca un apporto causale della banca. Se invece il numero è effettivamente riconducibile alla banca o al gruppo (tecnica di spoofing del callerID che sfrutta l'infrastruttura reale), l'orientamento cambia: "deve addossarsi sull'intermediario il rischio d'impresa relativo alla modalità di comunicazione adottata", con riconoscimento di un concorso di colpa e un risarcimento — spesso parziale, ma concreto (decisioni ABF hanno riconosciuto cifre comprese tra 1.000 e 3.000 euro in casi di questo tipo, a seconda delle circostanze).

Ho autorizzato io stesso l'operazione al telefono: cosa cambia?

Se durante la telefonata hai inserito tu i codici e confermato l'operazione sull'app, l'operazione resta "autorizzata" ai sensi della legge, anche se la tua volontà era viziata dall'inganno (principio confermato dalla Corte di Giustizia UE, causa C-337/20): non si attiva quindi il regime di rimborso automatico per operazione "non autorizzata". Il percorso corretto in questi casi non è chiedere il rimborso PSD2 puro, ma cercare uno di questi appigli di responsabilità comune della banca: il numero riconducibile alla banca appena descritto; un'operazione anomala evidente non intercettata da un impiegato allo sportello; oppure uno sblocco automatico di una carta poco dopo un blocco per anomalia, senza un contatto informato con il cliente per verificare cosa stesse succedendo.

E se non ho autorizzato nulla io stesso?

Se il truffatore ha usato dati ottenuti al telefono per operare da solo, senza il tuo intervento diretto sull'operazione, si torna al regime ordinario delle operazioni non autorizzate: l'onere della prova è della banca (art. 10 D.Lgs. 11/2010), che deve dimostrare autenticazione, registrazione corretta e SCA conforme. Anche qui, dati "statici" ottenuti con l'inganno (numero carta, CVV, password) non equivalgono a una SCA valida se non abbinati a un vero secondo fattore indipendente.

Cosa fare subito

1. Blocca carta e accesso online immediatamente.
2. Disconosci per iscritto, senza indugio.
3. Conserva il numero chiamante, screenshot delle chiamate/SMS collegati.
4. Denuncia alla Polizia Postale prima di inviare il reclamo.
5. Se il reclamo è respinto, valuta il ricorso ABF.

S-BLOKKO™ è il servizio di C&D Solutions che verifica se una truffa o un'operazione bancaria non autorizzata dà diritto al rimborso: analizza log e prove fornite dalla banca e, se emergono violazioni PSD2/SCA, cura il reclamo e il ricorso all'Arbitro Bancario Finanziario.

Guide correlate: truffa bancaria: quando hai diritto al rimborso · phishing bancario e rimborso · SIM swap: la banca risponde della frode? · colpa grave: cos'è davvero.

Contenuto informativo, non costituisce consulenza legale o finanziaria personalizzata. Riferimenti principali: D.Lgs. 11/2010 artt. 5, 10, 25; CGUE 2/9/2021, causa C-337/20; art. 1176 co. 2 e 1375 c.c.; decisioni ABF territoriali su vishing con numero riconducibile alla banca. Ultimo aggiornamento: 16 luglio 2026.