cosa cambia con la nuova sentenza

Aprire l’app della propria banca e scoprire che dal conto sono sparite decine di migliaia di euro è uno degli scenari peggiori immaginabili per chi utilizza l’home banking. Ma dopo lo shock arriva quasi sempre una seconda domanda, molto meno immediata di quanto sembri: chi deve dimostrare che quel bonifico non è stato autorizzato? Il cliente deve riuscire a ricostruire come i truffatori siano entrati nel conto, oppure spetta alla banca provare che sia stato proprio il correntista, con un comportamento gravemente negligente, a rendere possibile la frode?

Una risposta particolarmente significativa arriva dalla Corte d’Appello di Palermo, che con la sentenza n. 1929/2026 ha confermato la condanna di un istituto di credito per un bonifico fraudolento da 23.500 euro, eseguito tramite home banking verso un beneficiario sconosciuto alla società titolare del conto. Il punto centrale della decisione non è soltanto l’entità della somma restituita, ma la regola sulla quale si gioca gran parte delle controversie legate alle frodi bancarie online: la colpa grave del cliente non può essere semplicemente presunta perché l’operazione è stata eseguita utilizzando correttamente le sue credenziali.

Il bonifico da 23.500 euro e la scoperta della frode

La vicenda parte da un’operazione che la società correntista sostiene di non avere mai disposto. Quando si accorge del bonifico da 23.500 euro, lo disconosce e presenta denuncia. Il Tribunale di Palermo le dà ragione in primo grado e condanna la banca al pagamento di una somma complessiva vicina ai 30 mila euro, considerando anche spese processuali e costi della consulenza tecnica. L’istituto di credito presenta però appello, sostenendo tra l’altro che la transazione fosse stata regolarmente autenticata e che quanto accaduto fosse riconducibile alla colpa grave dell’utente.

La Terza Sezione civile della Corte d’Appello respinge l’impugnazione. Ed è qui che la storia del singolo bonifico diventa interessante per milioni di persone che utilizzano quotidianamente conto corrente, app bancarie e home banking.

Perché autenticare un pagamento non significa necessariamente averlo autorizzato.

Se sono state usate password e credenziali, non significa che sia colpa tua

È probabilmente il passaggio più importante da comprendere.

Quando un bonifico fraudolento viene eseguito utilizzando username, password, codici o altri strumenti di autenticazione del vero correntista, la prima obiezione della banca potrebbe apparire quasi ovvia: il sistema ha riconosciuto correttamente le credenziali, quindi l’ordine deve essere arrivato dal cliente oppure il cliente deve averle consegnate ai truffatori.

La normativa sui servizi di pagamento dice però qualcosa di più complesso.

L’articolo 10 del decreto legislativo 11/2010 stabilisce che, quando l’utente nega di aver autorizzato un’operazione, spetta al prestatore di servizi di pagamento provare che questa sia stata autenticata e correttamente registrata e che non abbia risentito di malfunzionamenti. Ma soprattutto precisa che il semplice utilizzo dello strumento di pagamento registrato dalla banca non è di per sé sufficiente per dimostrare né che il cliente abbia autorizzato l’operazione né che abbia agito con dolo o colpa grave. La prova di frode, dolo o colpa grave dell’utente è a carico del prestatore di servizi di pagamento.

La sentenza di Palermo, dunque, non inventa una nuova regola, ma la applica in maniera molto concreta a una frode informatica sofisticata. Ed è proprio questo a renderla particolarmente rilevante: non è il cliente a dover ricostruire perfettamente l’attacco informatico per dimostrare la propria innocenza; se la banca vuole negargli il rimborso invocando la sua colpa grave, deve fornire elementi capaci di provarla.

Cosa aveva insospettito nel bonifico

Nel caso siciliano la consulenza tecnica ha fatto emergere diversi elementi importanti. L’operazione risultava collegata a un indirizzo IP non censito e, nello stesso giorno, il sistema aveva già bloccato precedenti tentativi di accesso considerati sospetti. La società sarebbe inoltre rimasta vittima della campagna malevola denominata BRATA, attraverso un link apparentemente riconducibile alla banca che aveva indotto l’utente a scaricare un’applicazione fraudolenta; da lì i criminali sarebbero riusciti a sottrarre le credenziali e a disporre il bonifico da remoto.

Ed è proprio questa ricostruzione a mettere in crisi l’equazione apparentemente più semplice: credenziali corrette uguale operazione autorizzata.

Secondo quanto emerge dalla pronuncia, una sottrazione delle credenziali ottenuta attraverso tecniche sofisticate di smishing e malware non permette di concludere automaticamente che la vittima abbia agito con colpa grave. Diversa potrebbe essere, naturalmente, la valutazione di un comportamento nel quale venga dimostrato che l’utente ha volontariamente comunicato a terzi le proprie credenziali o ha violato con grave negligenza gli obblighi di sicurezza.

Quando la banca deve rimborsare il bonifico non autorizzato

La disciplina italiana è, almeno sulla carta, piuttosto forte a tutela dell’utente. In presenza di un’operazione di pagamento effettivamente non autorizzata, l’articolo 11 del decreto legislativo 11/2010 prevede che il prestatore di servizi di pagamento rimborsi l’importo immediatamente e comunque entro la fine della giornata operativa successiva a quella in cui prende conoscenza dell’operazione o riceve la segnalazione, riportando il conto nella situazione in cui si sarebbe trovato se il pagamento non fosse mai avvenuto. Il rimborso può essere sospeso in presenza di un motivato sospetto di frode da parte del cliente, circostanza che deve essere comunicata alla Banca d’Italia.

Anche la Banca d’Italia ha richiamato espressamente gli intermediari su questo punto. In una comunicazione dedicata ai disconoscimenti delle operazioni non autorizzate ha segnalato l’esistenza di prassi che possono portare a rifiuti infondati o a rimborsi eseguiti con ritardo, ricordando che la semplice presenza dell’autenticazione forte, la cosiddetta SCA, non consente automaticamente alla banca di concludere che il cliente abbia agito con dolo o colpa grave. Serve una valutazione effettiva del comportamento dell’utente.

In altre parole, ricevere un codice sul telefono, utilizzare l’app o vedere nei log della banca un’autenticazione tecnicamente corretta non chiude automaticamente la discussione sul rimborso.

La colpa grave è il punto decisivo

È qui che si trova il vero spartiacque.

Se la banca riesce a dimostrare che il cliente ha agito fraudolentemente oppure ha violato i propri obblighi con dolo o colpa grave, il diritto alla restituzione può venire meno. Ma deve trattarsi, appunto, di una responsabilità dimostrata e non ricavata automaticamente dal semplice fatto che i truffatori siano riusciti a impossessarsi delle credenziali.

È una distinzione particolarmente importante oggi, perché le frodi sono diventate molto più difficili da riconoscere rispetto alla vecchia email scritta male che chiedeva di digitare password e numero della carta. Falsi SMS provenienti apparentemente dallo stesso mittente della banca, siti clonati, malware, telefonate costruite con tecniche di spoofing e procedure che imitano quelle ufficiali possono rendere assai più difficile stabilire dove finisca l’inganno e dove cominci una negligenza così grave da far perdere le tutele previste dalla legge.

E proprio per questo la valutazione deve avvenire caso per caso.

Attenzione: non tutte le truffe sui bonifici sono uguali

C’è però una distinzione fondamentale da fare per evitare di trasformare la sentenza di Palermo nella promessa di un rimborso automatico per qualsiasi frode.

Un conto è il bonifico non autorizzato, vale a dire un trasferimento disposto da un criminale dopo essersi impossessato delle credenziali della vittima. Altro è il caso in cui il correntista, ingannato dal truffatore, disponga personalmente il bonifico, per esempio credendo di trasferire il denaro sul conto sicuro suggerito da un falso operatore bancario.

La Banca d’Italia segnala proprio la cosiddetta manipolazione del pagatore come la forma prevalente di frode nei bonifici: il truffatore non entra necessariamente nel conto al posto della vittima, ma convince la vittima stessa a eseguire il pagamento. È una fattispecie diversa, nella quale la questione dell’autorizzazione dell’operazione diventa molto più complessa.

Per questo la sentenza n. 1929/2026 non significa che ogni bonifico effettuato a seguito di una truffa debba essere automaticamente restituito dalla banca. Significa invece qualcosa di molto preciso e importante: quando l’operazione viene disconosciuta come non autorizzata, la banca non può limitarsi a mostrare che sono state utilizzate le corrette credenziali e trasferire sul cliente l’intero peso della prova.

Cosa fare quando compare un bonifico che non hai mai disposto

La prima regola è non aspettare. La normativa concede fino a 13 mesi per chiedere il rimborso di operazioni non autorizzate, ma la Banca d’Italia raccomanda di comunicare l’accaduto non appena se ne viene a conoscenza. Occorre quindi disconoscere tempestivamente l’operazione presso il proprio intermediario, bloccare o mettere in sicurezza gli strumenti eventualmente compromessi e conservare tutta la documentazione utile a ricostruire quanto accaduto.

Se la banca respinge la richiesta, il cliente può presentare un reclamo formale. In caso di risposta insoddisfacente può poi rivolgersi all’Arbitro Bancario Finanziario, oltre naturalmente alla possibilità di adire il giudice ordinario; per i servizi di pagamento l’intermediario deve normalmente rispondere al reclamo entro 15 giorni lavorativi e il ricorso all’ABF costa 20 euro, restituiti in caso di esito favorevole.

Non è un problema marginale. Nel 2025 l’Arbitro Bancario Finanziario ha ricevuto oltre 13.500 ricorsi e quelli relativi agli utilizzi fraudolenti hanno ormai rappresentato più di un terzo del totale. Complessivamente, il 56% dei procedimenti decisi si è concluso con un risultato sostanzialmente favorevole al cliente, considerando accoglimenti totali o parziali e accordi raggiunti prima della decisione.

La password rubata non basta più per dare la colpa al cliente

La sentenza di Palermo racconta quindi qualcosa che va oltre quei 23.500 euro.

Per anni il punto debole delle vittime di frodi bancarie è stato proprio quello apparentemente più difficile da contestare: se il criminale era riuscito a entrare utilizzando credenziali autentiche, sembrava quasi inevitabile chiedersi che cosa avesse fatto di sbagliato il proprietario del conto.

La logica giuridica è invece diversa. La banca è l’operatore professionale, gestisce il sistema attraverso il quale passa il denaro e dispone degli strumenti tecnici necessari per ricostruire autenticazioni, IP, anomalie, accessi e modalità dell’operazione. Se vuole attribuire al cliente una colpa grave tale da escludere il rimborso, quella colpa deve provarla.

Ed è probabilmente questo il messaggio più importante della nuova pronuncia: nell’home banking del 2026, una password corretta può dimostrare che qualcuno è riuscito a entrare nel conto. Non dimostra, da sola, che quel qualcuno fosse il suo proprietario.