La Nuova Sardegna

Un bonifico parte dal conto senza che il titolare lo abbia disposto. L’operazione viene scoperta soltanto in seguito, quando il denaro è ormai finito nelle mani dei truffatori. Chi sopporta la perdita: il correntista o la banca? La risposta non è automatica, ma la normativa sui servizi di pagamento attribuisce all’istituto di credito un onere probatorio particolarmente rilevante.

A riportare l’attenzione sul tema è una recente decisione della Corte d’Appello di Palermo, ricostruita anche dal sito Brocardi.it. Con la sentenza numero 1929/2026, la Terza sezione civile ha respinto l’appello di un istituto di credito e confermato la decisione di primo grado relativa a un bonifico fraudolento da 23.500 euro, disposto tramite home banking dal conto di una società.

Il caso del malware e i segnali ignorati

La frode era collegata a una campagna informatica denominata BRATA. La vittima era stata indotta, attraverso un collegamento che appariva riconducibile alla banca, a installare un’applicazione malevola. I criminali erano così riusciti a impossessarsi delle credenziali necessarie e a impartire da remoto l’ordine di bonifico.

Nel giudizio hanno avuto particolare peso i risultati della consulenza tecnica. L’operazione contestata risultava effettuata da un indirizzo IP mai utilizzato prima dal correntista e, nella stessa giornata, il sistema dell’istituto aveva già respinto altri tentativi di accesso considerati sospetti. Secondo i giudici, elementi del genere avrebbero dovuto determinare un livello di controllo più elevato.

Il principio è rilevante: non basta alla banca dimostrare che il bonifico sia stato tecnicamente autenticato, registrato e contabilizzato. L’utilizzo corretto delle credenziali o dei sistemi di autenticazione non dimostra da solo che sia stato realmente il cliente a volere l’operazione.

Cosa prevede la legge sui pagamenti non autorizzati

Il riferimento principale è oggi il decreto legislativo 11 del 2010, che disciplina i servizi di pagamento. Quando il cliente contesta un’operazione, spetta al prestatore del servizio dimostrare che la transazione sia stata correttamente autenticata, registrata e contabilizzata e che non vi siano stati malfunzionamenti del sistema. La disciplina stabilisce inoltre precise regole sulla ripartizione delle perdite e sul rimborso.

La Banca d’Italia ricorda che, per le operazioni effettivamente non autorizzate, il rimborso deve in linea generale avvenire immediatamente e comunque entro la fine della giornata operativa successiva a quella in cui l’intermediario viene a conoscenza dell’operazione, fatte salve le ipotesi previste dalla legge, tra cui il sospetto di frode del cliente.

Particolare importanza assume la Strong Customer Authentication (SCA), l’autenticazione forte basata su almeno due fattori indipendenti. Se l’operazione non è stata sottoposta alla SCA quando questa era richiesta, la tutela del cliente è particolarmente ampia. Ma anche la presenza dell’autenticazione forte non consente alla banca di concludere automaticamente che il correntista sia responsabile: per negare il rimborso deve essere provato, nei casi previsti, il dolo o la colpa grave dell’utente.

Quando può essere responsabile il correntista

La banca, dunque, non risponde sempre e comunque. Il cliente ha l’obbligo di custodire con attenzione strumenti e credenziali e di comunicare tempestivamente eventuali furti, smarrimenti o utilizzi non autorizzati.

La perdita può essere posta a suo carico quando l’intermediario riesca a provare una condotta fraudolenta oppure una negligenza di particolare gravità. La valutazione, tuttavia, deve avvenire caso per caso. Essere vittima di phishing, smishing o malware non equivale automaticamente ad avere agito con colpa grave, così come la semplice circostanza che i criminali abbiano utilizzato credenziali corrette non prova che queste siano state consegnate volontariamente dal titolare.

È proprio questo uno degli aspetti più significativi della decisione palermitana: nel caso esaminato, la sofisticazione della frode e le anomalie riscontrate dal sistema non hanno consentito di attribuire automaticamente alla società correntista la responsabilità dell’accaduto.

Home banking, sicurezza e responsabilità della banca

Il tema non nasce con questa sentenza. Già la Cassazione, con la sentenza 10638 del 2016, aveva affrontato una frode compiuta attraverso l’abusiva utilizzazione delle credenziali di un servizio assimilabile all’home banking, richiamando anche il regime di responsabilità previsto dall’articolo 2050 del codice civile nell’allora vigente disciplina sul trattamento dei dati personali. La Suprema corte aveva sottolineato il particolare dovere dell’operatore professionale di adottare misure di sicurezza adeguate all’evoluzione tecnologica.

Oggi, tuttavia, per le operazioni di pagamento non autorizzate il quadro di riferimento più diretto è quello del d.lgs. 11/2010, mentre la normativa sulla protezione dei dati può aggiungere ulteriori forme di tutela quando sono coinvolti dati personali. Il GDPR impone infatti misure tecniche e organizzative adeguate al rischio e riconosce, alle condizioni previste dal regolamento, il diritto al risarcimento per i danni causati da una violazione delle norme sul trattamento dei dati.

Cosa fare quando si scopre un bonifico sospetto

La prima regola è agire immediatamente. Il correntista deve contattare la banca, disconoscere l’operazione e mettere in sicurezza conto, credenziali e strumenti di pagamento. È utile conservare messaggi, email, notifiche, schermate e qualsiasi altro elemento che possa ricostruire la dinamica della frode.

La contestazione deve essere presentata senza ritardo: la disciplina prevede comunque un termine massimo di 13 mesi dall’addebito per segnalare un’operazione non autorizzata, ferme restando le condizioni previste dalla legge. La denuncia alle autorità può essere importante per documentare l’accaduto, ma la Banca d’Italia precisa che non costituisce un requisito necessario perché l’istituto prenda in carico il disconoscimento.

Se il rimborso viene negato, il cliente può presentare un reclamo all’intermediario e successivamente rivolgersi all’Arbitro Bancario Finanziario, oltre alla possibilità di ricorrere all’autorità giudiziaria.

La sentenza di Palermo, quindi, non introduce un principio per cui la banca debba restituire automaticamente qualsiasi bonifico contestato. Ribadisce però un punto essenziale: di fronte a un’operazione non autorizzata non è sufficiente opporre al cliente che password, codici o procedure di autenticazione risultavano formalmente corretti. Per attribuirgli la perdita occorre dimostrare, secondo le regole applicabili al caso concreto, una sua condotta fraudolenta o gravemente negligente.