L’evoluzione delle truffe online e la dinamica essenziale delle frodi digitali
Negli ultimi anni le truffe informatiche rivolte ai correntisti hanno conosciuto un’evoluzione rapidissima. Le tecniche di phishing, smishing e vishing – pur diverse nella forma – condividono un tratto comune: la capacità di simulare comunicazioni ufficiali della banca, carpire fiducia e indurre l’utente a compiere azioni apparentemente legittime.
| Mercoledi 2 Settembre 2026 |
La dinamica tipica è ormai nota:
una chiamata proveniente da un numero che appare riconducibile all’istituto;
l’interlocutore si dimostra a conoscenza di una serie di informazioni “riservate” del cliente;
un SMS con un link che imita l’home banking o l’app ufficiale;
una richiesta di aggiornamento, verifica o sicurezza;
un’interazione che consente ai truffatori di prendere il controllo dell’account o del dispositivo.
Si tratta di truffe sofisticate, spesso costruite con tecniche di social engineering avanzato, tali da potere escludere la colpa grave dell’utente.
La responsabilità della banca, nei casi di operazioni di pagamento non autorizzate, può articolarsi su più livelli:
responsabilità da servizi di pagamento (d.lgs. 11/2010);
responsabilità per violazione delle condizioni contrattuali;
responsabilità contrattuale per violazione della diligenza professionale;
responsabilità per violazione della normativa antiriciclaggio (d.lgs. 231/2007);
responsabilità per violazione della normativa sul trattamento dati (art. 32 GDPR);
Ogni profilo opera autonomamente e concorre a delineare un quadro di obblighi particolarmente stringenti per l’intermediario.
La disciplina dei servizi di pagamento (artt. 10–12 d.lgs. 11/2010) impone alla banca un regime probatorio aggravato:
la banca risponde integralmente delle operazioni non autorizzate;
per liberarsi deve provare:
l’adozione di un sistema di autenticazione forte (SCA) conforme alla PSD2;
la corretta registrazione dell’operazione;
l’assenza di malfunzionamenti;
la condotta dolosa o gravemente colposa dell’utente.
La colpa grave del cliente non può essere desunta dalla mera interazione con un link fraudolento, né dalle generiche avvertenze pubblicate dall’istituto. Quando la truffa è complessa, articolata, tecnicamente evoluta, la colpa grave dell’utente può ritenersi esclusa.
Le avvertenze della banca – “non cliccare link”, “non comunicare codici” – non integrano prova liberatoria: dimostrano solo che il rischio era noto e che l’istituto avrebbe dovuto predisporre presidi più efficaci.
Molti contratti di home banking prevedono:
limiti di spesa giornaliera;
soglie di sicurezza;
alert obbligatori;
blocchi automatici.
L’esecuzione di operazioni eccedenti tali limiti integra violazione contrattuale autonoma.
La sottrazione fraudolenta dei codici di accesso rientra nel rischio d’impresa dell’intermediario. La banca, quale debitore professionale, è dunque tenuta a una diligenza tecnica qualificata, parametrata all’evoluzione delle frodi informatiche.
Ne consegue che:
la mera digitazione del PIN o delle credenziali non prova l’autorizzazione;
la banca deve dimostrare che l’operazione è riconducibile alla volontà del cliente;
la captazione dei codici da parte di terzi è evento prevedibile e fronteggiabile con misure adeguate.
La diligenza dell’accorto banchiere impone di rilevare e bloccare operazioni:
incoerenti con la storia del conto;
oggettivamente anomale;
tipiche delle frodi online;
eseguite in rapida successione;
verso beneficiari mai utilizzati prima;
con causali identiche e importi frazionati;
provenienti da dispositivi o IP insoliti.
La mancata attivazione di alert, verifiche o sospensioni integra violazione dell’art. 1176, co. 2 c.c.
Gli indicatori di anomalia sono molteplici:
importo complessivo elevato;
frazionamento artificioso;
beneficiari ripetuti;
bonifici istantanei consecutivi;
svuotamento del conto;
accesso da dispositivo nuovo o compromesso;
assenza di precedenti operazioni simili nel profilo del cliente.
La banca deve disporre di sistemi antifrode capaci di rilevare tali pattern e bloccare l’operatività.
Il frazionamento di importi, la pluralità di beneficiari e la natura delle operazioni possono integrare operazioni sospette con obbligo dell’istituto di:
attivare controlli rafforzati;
sospendere l’operazione;
valutare la segnalazione alla UIF;
astenersi dal compimento dell’operazione sino alla verifica (art. 41, co. 5).
La mancata attivazione di tali presidi costituisce autonoma violazione.
Quando i truffatori:
conoscono il numero del cliente,
sanno che è titolare di più conti,
inviano link che interagiscono con l’app ufficiale,
simulano aggiornamenti o blocchi dell’operatività,
si potrebbe ritenere che vi sia stato accesso non autorizzato ai dati o una vulnerabilità dei sistemi dell’istituto -ovviamente la prova di tale circostanza è tutt’altro che agevole-.
In tale evenienza, l’art. 32 GDPR impone misure tecniche e organizzative adeguate allo stato dell’arte per la gestione dei dati personali.
La mancata profilazione aggiornata del cliente, l’assenza di controlli sulla congruità delle operazioni e la non attivazione dei presidi previsti dal d.lgs. 231/2007 integrano ulteriori profili di responsabilità.
La diligenza tecnico informatica dell’APP
La diligenza dell’accorto banchiere oggi è anche diligenza informatica.
Un sistema conforme alla PSD2 non può:
consentire a link esterni di interagire con l’app ufficiale;
simulare aggiornamenti;
bloccare l’operatività senza tracciamento;
non rilevare accessi anomali;
non inviare alert su nuovi dispositivi, modifiche credenziali, nuovi beneficiari.
La mancata manutenzione evolutiva dell’app, l’assenza di patch e la vulnerabilità ai link malevoli costituiscono violazione dell’art. 1176 c.c. e dell’art. 32 GDPR.
Gli avvisi pubblicati dagli istituti – spesso antecedenti ai fatti – dimostrano che:
il rischio era noto;
le tecniche di frode erano già diffuse;
la banca aveva consapevolezza dell’escalation.
Ciò imponeva presidi più efficaci, alert più incisivi e sistemi antifrode adeguati.
Non si può fare totale affidamento sull’inversione dell’onere probatorio per cui bisogna comunque chiedere l’esibizione ex art. 210 cpc di:
contratto di conto corrente e contratto/condizioni del servizio di home banking e dei servizi di pagamento vigenti al momento dei fatti;
questionari profilazione clienti e propensione al risparmio investimento;
questionari di adeguata verifica clientela ex d.lgs. 231/07 dall’aperura del conto;
estratti conto degli ultimi 36 mesi e contabili relativi alle operazioni contestate;
log tecnici in formato nativo (es. .log, .txt, .csv) con i relativi hash di integrità, completi dell’accesso e dell’esecuzione delle operazioni, con indicazione di data, ora, IP, device, canale utilizzato, identificativa sessione e ogni altro dato tecnico disponibile;
prova della Strong Customer Authentication e dell’eventuale ulteriore fattore di autenticazione utilizzato;
Tracciatura dell'OTP o SMS dispositivo;
Documentazione tecnica relativa alle modalità di generazione, memorizzazione e verifica delle "domande di sicurezza", con indicazione del momento della loro impostazione da parte del cliente e dei log di validazione crittografica delle risposte fornite durante la sessione fraudolenta;
segnalazioni e cronologia antifrode, alert di sicurezza, blocchi, sospensioni, anomalie, report interni e ogni documento relativo all’analisi di rischio dell’operazione;
documentazione interna relativa all’istruttoria del reclamo/disconoscimento;
Si tratta di documenti nella esclusiva disponibilità della banca, indispensabili per la decisione.
Senza inversione della prova e solo nel caso in cui la documentazione tecnica di cui al precedente ordine ex art. 210 cpc risulti acquisita e idonea a consentire l’accertamento, si chiede disporsi consulenza tecnica d’ufficio al fine di verificare, sulla base dei dati tecnici e documentali prodotti in atti, la sequenza dell’operazione contestata, la presenza di autenticazione forte, la correttezza della registrazione e contabilizzazione, la presenza di eventuali anomalie o malfunzionamenti e ogni ulteriore profilo tecnico rilevante ai fini della decisione affinché l’ausiliario verifichi tecnicamente l’eventuale anomalia dell’operazione.
In particolare, si chiede che siano posti all’ausiliario i seguenti quesiti:
accerti la sequenza cronologica delle operazioni di pagamento oggetto di causa, indicandone data, ora, importo, canale utilizzato e ogni dato tecnico disponibile;
verifichi se l’operazione o le operazioni contestate risultino assistite da autenticazione forte del cliente e, in caso affermativo, quale sia stato il concreto meccanismo di autenticazione utilizzato;
verifichi se l’operazione o le operazioni contestate risultino assistite da autenticazione forte conforme ai requisiti tecnici della PSD2, specificando se l'utilizzo di 'domande di sicurezza' statiche descritte dalla banca integri o meno un valido e sicuro fattore di autenticazione a norma di legge
accerti se, in relazione alle operazioni contestate, risultino tracce tecniche compatibili con un accesso effettuato dal cliente ovvero con accesso da terzi non autorizzati, anche alla luce di IP, device fingerprint, geolocalizzazione, sessioni di accesso e altri log disponibili;
verifichi se le operazioni contestate risultino correttamente registrate, contabilizzate ed eseguite secondo i dati tecnici e contabili prodotti dalla banca;
accerti se, nei sistemi informatici della banca, risultino anomalie, malfunzionamenti, blocchi, alert antifrode, eccezioni di sicurezza o altri eventi tecnici idonei a incidere sulla regolarità dell’operazione;
accerti se i sistemi antifrode della banca abbiano generato un alert di rischio in tempo reale a fronte di transazioni cumulative tramite bonifici istantanei e, in caso positivo, per quale motivo i sistemi non abbiano proceduto al blocco automatico e cautelare dell'operatività del conto;
verifichi se la banca abbia adottato, in relazione alle operazioni in esame, le procedure di sicurezza e di controllo previste dalla normativa e dagli standard tecnici applicabili al tempo dei fatti;
accerti, sulla base della documentazione prodotta, se vi siano elementi tecnici univoci che consentano di attribuire l’operazione a condotta del cliente ovvero a condotta di terzi non autorizzati;
indichi se, dai dati disponibili, emergano profili di incoerenza, incompletezza o inattendibilità della documentazione tecnica prodotta dalla banca;
determini, ove necessario, l’ammontare delle somme indebitamente addebitate e degli eventuali ulteriori importi conseguenti;
verifichi se l’utilizzo di domande di sicurezza statiche sia conforme agli standard EBA RTS in tema di SCA e dynamic linking
descriva il profilo economico-patrimoniale e operativo dei ricorrenti/attori, nei limiti dei dati disponibili in atti e analizzando in particolare gli ultimi estratti conto degli ultimi 3 anni, e indichi se le operazioni contestate siano compatibili con il loro ordinario profilo di spesa, con i precedenti movimenti e con la normale operatività del rapporto, ovvero se presentino caratteri di anomalia significativi ai fini della ricostruzione della frode, accertando se la disposizione di bonifici istantanei in un unico giorno rappresenti una macroscopica e immediata anomalia operativa rispetto alla normale e previgente attività dei conti correnti.