Rimborso per truffa sms spoofing: quando spetta al cliente?

1. La nuova frontiera delle frodi: cos’è lo spoofing bancario

Il termine “spoofing”, derivante dal verbo inglese to spoof (ossia imbrogliare o prendere in giro), indica una classe di attacchi informatici in cui un malintenzionato maschera la propria identità digitale per apparire come un soggetto noto e fidato. Nel settore dei servizi di pagamento, questa tecnica rappresenta un salto di qualità rispetto alle prime, rudimentali versioni di phishing. Se un tempo le email fraudolente erano piene di errori di traduzione o provenivano da indirizzi palesemente estranei, oggi le truffe si consumano all’interno dei canali istituzionali degli intermediari finanziari. Questa manipolazione mina alla base l’affidamento che tu, come utente medio, riponi nella sicurezza dei contatti ufficiali del tuo istituto di credito.

1.1 SMS spoofing: quando la truffa si nasconde nel thread ufficiale della banca

“Se il messaggio è arrivato nella stessa chat in cui ricevo gli avvisi di pagamento reali, deve essere sicuro.” Questo è il ragionamento naturale e immediato effettuato da quasi tutti i correntisti. I truffatori lo sanno e utilizzano speciali servizi web per inviare messaggi SMS alterando il cosiddetto Sender ID, ovvero il nome del mittente che appare sul display (ad esempio, “BNL” o “PosteInfo”). Il sistema operativo dello smartphone non ha modo di distinguere l’origine reale del messaggio e lo inserisce automaticamente all’interno della conversazione ufficiale già esistente sul telefono, subito sotto le comunicazioni legittime degli anni precedenti. Il testo del messaggio invita quasi sempre a cliccare su un link per verificare un accesso abusivo o sbloccare il conto, reindirizzando l’utente su un sito clone identico all’home banking originale.

1.2 Vishing: la telefonata del “finto operatore” e l’inganno vocale

Il passo successivo, che completa e rafforza l’inganno dell’SMS, è il cosiddetto vishing (voice phishing). Subito dopo l’inserimento dei dati sul sito clone, o in concomitanza con la ricezione del messaggio, ricevi una chiamata vocale sul tuo cellulare. La straordinaria pericolosità di questa fase risiede nel fatto che i truffatori utilizzano software di telefonia VOIP per clonare il numero chiamante (Caller ID spoofing), facendo apparire sul tuo schermo il numero verde esatto del servizio clienti o della filiale locale della banca. La voce all’altro capo del telefono si presenta come un addetto dell’ufficio antifrode, spesso qualificandosi con un nome e un numero di matricola fittizi, e ti riferisce con tono calmo e professionale che è in corso un tentativo di prelievo non autorizzato dal tuo conto corrente. Per bloccare la transazione ed evitare la perdita, ti chiede di collaborare leggendogli i codici temporanei (OTP) che ti stanno arrivando via SMS.

—

2. Il quadro normativo: la responsabilità della banca e la colpa grave

La disciplina della responsabilità per l’utilizzo abusivo dei sistemi di pagamento elettronici è rigorosamente regolata a livello europeo e nazionale, con l’obiettivo primario di tutelare la fiducia dei risparmiatori nei canali digitali. Le regole speciali prevedono una forte protezione per il correntista, ponendo a carico dell’intermediario finanziario gran parte dei rischi legati all’evoluzione delle minacce informatiche, salvo il caso limite in cui l’utente si comporti in modo del tutto sconsiderato.

2.1 La tutela del correntista nel D.Lgs. 11/2010 (PSD2)

Chi risponde della perdita se qualcuno effettua bonifici non autorizzati sul tuo conto corrente? La risposta risiede nel D.Lgs. 27 gennaio 2010, n. 11, il quale ha recepito la direttiva europea sui servizi di pagamento (PSD2). La legge stabilisce un principio chiaro: se subisci un’operazione di pagamento non autorizzata, la banca ha l’obbligo di rimborsarti immediatamente l’importo sottratto, ripristinando il conto corrente nella situazione in cui si sarebbe trovato senza l’addebito. L’unica franchigia a carico del correntista è pari a un importo massimo di 50 euro. Tuttavia, questo diritto al rimborso integrale decade completamente se la banca dimostra che l’operazione abusiva è stata resa possibile dal dolo o dalla colpa grave dell’utente. La colpa grave si configura solo quando vi è una violazione qualificata e macroscopica degli obblighi di diligenza, come ad esempio la cessione volontaria e consapevole dei codici a terzi in assenza di qualsiasi inganno, o la mancata segnalazione del furto della carta per giorni e giorni.

2.2 Il riparto dell’onere della prova e il rischio d’impresa

La vera forza della tutela del consumatore risiede nella regola processuale sull’onere probatorio stabilita dall’art. 10 del D.Lgs. n. 11/2010. Se subisci una frode informatica e contesti le operazioni bancarie, non tocca a te dimostrare che i tuoi sistemi informatici erano sicuri o che sei stato raggirato da pirati informatici. È la banca a dover provare documentalmente due elementi distinti:

1. Che l’operazione di pagamento è stata correttamente autenticata, registrata nei file di log e contabilizzata, senza subire malfunzionamenti tecnici;
2. Che tu abbia agito con dolo o colpa grave nella gestione dello strumento di pagamento.

Questa inversione dell’onere probatorio sposta il rischio delle frodi telematiche nell’area dell’attività professionale del prestatore di servizi di pagamento, configurandolo come un rischio d’impresa. La banca è un operatore qualificato tenuto a rispettare la diligenza professionale ex art. 1176 comma 2 c.c., e ha il dovere di approntare sistemi di monitoraggio e sicurezza allo stato dell’arte per impedire che soggetti terzi possano abusare dei propri canali istituzionali.

—

3. Il rimborso per truffa sms spoofing: il contrasto nei tribunali

L’applicazione pratica delle regole di responsabilità per operazioni non autorizzate registra profonde divisioni nella giurisprudenza di merito italiana. Le sentenze depositate nei primi mesi del 2026 e negli anni immediatamente precedenti dimostrano come la valutazione sulla presenza o meno della “colpa grave” del cliente non segua un percorso univoco. Il confine tra un errore incolpevole del consumatore, giustificato dalla straordinaria insidiosità della truffa, e un comportamento inescusabilmente negligente rimane al centro del dibattito giudiziario.

3.1 L’orientamento rigoroso: le anomalie formali che costano il rimborso

“Ho risposto a un SMS e dato i codici, ma la banca dice che è colpa mia.” Questa constatazione, comune a molti risparmiatori truffati, trova sponda in un filone giurisprudenziale molto rigoroso che tende a qualificare come colpa grave l’inserimento di credenziali in siti non ufficiali e la comunicazione di codici dispositivi OTP. I giudici che aderiscono a questo orientamento evidenziano come la costante diffusione delle truffe informatiche e le massicce campagne informative antifrode avviate dagli istituti di credito abbiano notevolmente innalzato il dovere di diligenza esigibile dal cliente medio.

Nei casi in cui emergano chiare ed evidenti anomalie formali o comportamentali nella dinamica dell’inganno, la condotta del correntista viene considerata come fattore causale esclusivo del danno, escludendo la responsabilità della banca. In questi contesti, per ottenere il rimborso per truffa sms spoofing occorre dimostrare che non vi fossero elementi evidenti di sospetto che avrebbero dovuto allertare il cliente. Ad esempio, il Tribunale di Bologna con la sentenza n. 687 del 23 gennaio 2026 ha riformato una pronuncia favorevole al cliente, statuendo che digitare codici personali a seguito di comunicazioni ricevute via SMS integra sempre gli estremi della colpa grave del correntista. Nello stesso solco si colloca la decisione della Corte d’Appello di Milano n. 119 del 20 gennaio 2026, che ha valorizzato elementi soggettivi quali l’età giovane e il livello di istruzione elevato della vittima per escludere il rimborso a fronte di vistosi errori presenti nel messaggio truffaldino.

3.2 L’orientamento di tutela: l’insidiosità dello spoofing come esimente

Un orientamento giurisprudenziale opposto, e decisamente più vicino alla realtà tecnologica delle moderne frodi, esclude la presenza di colpa grave quando l’inganno ordito dai truffatori risulta particolarmente sofisticato e insidioso. Nelle truffe basate su SMS spoofing, il fatto che il messaggio ingannevole si inserisca automaticamente all’interno del canale legittimo dei messaggi passati inviati dall’istituto di credito altera radicalmente la percezione del rischio dell’utente. Anche un correntista estremamente diligente e informato è indotto in errore, poiché viene a mancare qualsiasi indice visivo di anomalia (come un mittente strano o un thread separato).

Questo filone di tutela trova espressione nelle sentenze del Tribunale di Monza (in particolare la sentenza n. 91 del 20 gennaio 2026 e la n. 2072 del 23 luglio 2024) e del Tribunale di Verona (sentenza n. 1567 del 2 luglio 2024). I giudici di merito hanno evidenziato che la condotta del correntista che clicca sul link e compie le operazioni richieste non può qualificarsi come colpa grave, ma rappresenta la naturale reazione a una situazione di apparente e consolidata ufficialità. In questi casi opera una presunzione di assenza di colpa grave del cliente, ponendo in capo alla banca l’obbligo di risarcire interamente la somma. Analogamente, la Corte d’Appello di Genova con la sentenza n. 646 del 27 maggio 2025 ha evidenziato che, se i codici dispositivi inviati dal sistema di sicurezza della banca finiscono per essere digitati all’interno della pagina clone costruita dai truffatori, la responsabilità ricade sulla banca in quanto il suo stesso sistema di invio dati è stato ingannato e dirottato dai malfattori.

Accanto all’esclusione totale di responsabilità, una parte della giurisprudenza di merito ha prospettato una soluzione intermedia basata sul concorso di colpa ex art. 1227 comma 1 c.c. È il caso del Tribunale di Genova che, con la sentenza n. 1590 del 22 maggio 2024 (Giudice Chiara Russo), ha ripartito la responsabilità tra la banca e il correntista, attribuendo il danno per 2/3 a carico dell’istituto e per 1/3 a carico del cliente. I giudici hanno rilevato che, qualora i truffatori operino conoscendo già i dati specifici del cliente e i prodotti finanziari da lui sottoscritti, vi è una vulnerabilità a monte nei sistemi informativi della banca che agevola la frode e che richiede di essere valutata in base alla diligenza qualificata del banchiere professionale.

—

4. Strategie di difesa: come comportarsi in caso di frode

Subire un furto d’identità digitale e accorgersi che il proprio conto corrente è stato svuotato può generare panico e senso di impotenza. In questi momenti, tuttavia, la tempestività e la precisione delle azioni compiute fanno la differenza tra il recupero delle somme e la perdita definitiva dei propri risparmi. È fondamentale seguire una procedura rigorosa per cristallizzare le prove e vincere le resistenze che la banca opporrà alla tua richiesta di rimborso.

4.1 I passi immediati da compiere per bloccare il danno

Cosa devi fare se ti accorgi che sul tuo conto corrente sono state eseguite transazioni non autorizzate? Il primo passo inderogabile è procedere al blocco immediato di tutte le carte di pagamento e dell’accesso al servizio di home banking, telefonando al numero di emergenza del tuo istituto di credito. Subito dopo, devi sporgere formale denuncia del reato patito presso la Polizia Postale o i Carabinieri, avendo cura di descrivere dettagliatamente le modalità dell’inganno (in particolare se l’SMS fraudolento è pervenuto all’interno del thread ufficiale della banca). Un errore comune ma gravissimo è cancellare i messaggi ricevuti: devi conservare gelosamente tutti gli SMS, i link, l’elenco delle chiamate ricevute e gli screenshot delle schermate, poiché costituiranno le prove decisive per dimostrare che non sei caduto in una banale distrazione, ma sei stato vittima di una frode tecnologica altamente insidiosa.

4.2 Il ricorso all’Arbitro Bancario Finanziario (ABF) e la tutela giudiziale

Se la banca rigetta la tua richiesta di rimborso adducendo la colpa grave (comportamento standard della quasi totalità degli istituti di credito), non devi scoraggiarti. Lo strumento più efficace, rapido ed economico per contestare il rifiuto della banca è il ricorso all’Arbitro Bancario Finanziario (ABF). Si tratta di un organismo di risoluzione stragiudiziale delle controversie istituito presso la Banca d’Italia. Il costo del ricorso è di soli 20 euro (che ti vengono rimborsati dalla banca in caso di accoglimento) e la procedura si svolge interamente online, senza la necessità dell’assistenza tecnica di un avvocato. I tempi di decisione dell’ABF sono molto rapidi, solitamente inferiori ai 100 giorni.

Le decisioni dell’ABF non sono formalmente vincolanti come quelle di un giudice, ma l’eventuale inadempimento da parte dell’istituto di credito comporta la pubblicazione del nome della banca inadempiente sulla home page del sito internet dell’ABF e della Banca d’Italia, una sanzione reputazionale pesantissima che spinge gli istituti ad adeguarsi nella stragrande maggioranza dei casi. Se tuttavia la banca persiste nel rifiuto o decide di non uniformarsi alla decisione dell’ABF (circostanza emersa nei casi decisi dal Tribunale di Monza n. 91/2026 e dal Tribunale di Milano n. 9227/2025), non ti resta che promuovere un ordinario giudizio civile dinanzi al Tribunale competente.

—

Come agire per tutelare i propri risparmi

Il phenomenon dello spoofing bancario rappresenta una sfida complessa che scardina i tradizionali concetti di colpa e negligenza. Sebbene una parte della giurisprudenza di merito mantenga un approccio severo nei confronti dei correntisti che cedono i propri dati, l’orientamento prevalente e più attento all’evoluzione tecnologica riconosce l’insidiosità di questa frode “perfetta”, ponendo le perdite a carico della banca. In assenza di comportamenti gravemente imprudenti, come la rimozione deliberata dei sistemi di sicurezza della propria app, hai il pieno diritto di ottenere il rimborso per truffa sms spoofing.

Per far valere le tue ragioni contro il rifiuto della banca, è essenziale agire con metodo, raccogliendo tempestivamente tutte le prove digitali e ricorrendo a strumenti rapidi ed efficaci come l’Arbitro Bancario Finanziario. La tutela del risparmio è un principio cardine e la legge offre ai cittadini gli strumenti adatti per riequilibrare la disparità di forze nei confronti dei colossi del credito.

Domande Frequenti (FAQ)