Un sabato mattina, il caffè ancora in mano: l'app della banca segnala un bonifico istantaneo da 1.480 euro verso un IBAN che non hai mai visto, e quel bonifico non l'hai ordinato tu. Il primo istinto è cercare il numero verde e chiederti se la colpa sia tua, ma la domanda che conta è un'altra, e molto più concreta. L'ordine l'ha dato qualcuno con i tuoi dati, oppure l'hai confermato tu, convinto da una telefonata o da un messaggio costruito bene? Da questa risposta dipende quasi tutto il resto: chi deve provare cosa, entro quanto tempo la banca deve muoversi e a chi puoi rivolgerti se ti dice di no.
Ottobre è il mese europeo della sicurezza informatica, la campagna annuale promossa dagli Stati membri con il sostegno di ENISA e Commissione europea, e tra pochi giorni, il 9 ottobre, compie un anno l'obbligo per le banche di verificare nome e IBAN del beneficiario su ogni bonifico. Sono due buoni motivi per ripassare adesso, a mente fredda, una procedura che conviene conoscere prima di averne bisogno.
Operazione non autorizzata o autorizzata sotto inganno: la differenza che decide tutto
Se qualcuno usa i tuoi dati per pagare con la carta o per disporre un bonifico senza alcuna tua conferma, per la legge si tratta di un'operazione non autorizzata e si applica il D.Lgs. 11/2010. Qui l'onere della prova è della banca: deve dimostrare che l'operazione è stata autenticata, correttamente registrata e contabilizzata (art. 10), e il semplice uso dello strumento di pagamento registrato non basta, da solo, a provare né che l'abbia autorizzata tu né che tu sia stato gravemente negligente. Il quadro cambia se l'ordine l'hai dato tu, magari perché un finto operatore ti ha convinto a "mettere al sicuro" i soldi su un altro conto, o perché hai acquistato da un venditore inesistente. Per i pagamenti autorizzati la regola europea chiede alla banca di fare ragionevoli sforzi per recuperare i fondi, non di rimborsarti. La guida sulle truffe della Banca d'Italia aggiunge che i pagamenti fatti con il tuo consenso restano fuori dal ricorso all'ABF. Il confine non è sempre netto: la stessa Banca d'Italia ricorda che il truffatore combina spesso più tecniche, per esempio una telefonata (vishing), un SMS (smishing) e un numero camuffato (spoofing) che sembra proprio quello della tua banca.
E se il bonifico l'hai confermato tu, ma sotto pressione?
Il 17 agosto 2026 la Polizia Postale ha segnalato numerose richieste di pagamento arrivate tramite app come BANCOMAT Pay e servizi analoghi legati al numero di telefono, inviate a moltissimi utenti nella speranza che qualcuno approvi senza guardare il destinatario. Approvare una di quelle richieste equivale a firmare un pagamento, e da quel momento ti trovi nel secondo scenario, quello in cui recuperare il denaro è molto più difficile. Conviene quindi respingere ogni richiesta di pagamento inattesa e, se pensi che sia legittima, verificarla con chi dovrebbe averla inviata attraverso un altro canale.
Le prime ore: cosa fare, in quest'ordine
- Blocca ciò che è stato compromesso: la carta dall'app o dal numero stampato sul retro, poi l'accesso all'home banking, e cambia le credenziali da un dispositivo di cui ti fidi.
- Comunica il disconoscimento alla banca senza indugio e con un mezzo che lasci traccia, come il modulo nell'app, la PEC, la raccomandata o la filiale con ricevuta. Il limite massimo è di 13 mesi dall'addebito (art. 9), ma è un tetto, non un tempo a disposizione: la norma ti riconosce la rettifica solo se comunichi senza indugio.
- Salva tutto prima che sparisca: lo screenshot della notifica, gli SMS e le mail ricevuti, il registro chiamate con il numero che ti ha contattato.
- Chiedi per iscritto il rimborso ai sensi dell'art. 11, indicando importo, data e IBAN di destinazione.
- Presenta denuncia, anche online sul sito della Polizia Postale (sezione "Denuncia per reati telematici"), preferibilmente in giornata.
La denuncia, precisa la Banca d'Italia, non è indispensabile per ottenere il rimborso, e le banche non dovrebbero subordinare la presa in carico della pratica alla copia della denuncia, che possono chiedere in un secondo momento. Farla subito resta comunque una buona idea, anche perché le nuove regole europee in arrivo la mettono tra le condizioni per un tipo preciso di rimborso, come vedrai più avanti.
Il rimborso entro la fine del giorno lavorativo successivo
L'articolo 11 del D.Lgs. 11/2010 è breve e netto: la banca rimborsa l'importo "immediatamente e in ogni caso al più tardi entro la fine della giornata operativa successiva" a quella in cui ha preso atto dell'operazione o ha ricevuto la tua comunicazione. Se scrivi di venerdì pomeriggio, il termine cade quindi, di norma, a fine lunedì. Il conto va riportato nello stato in cui si sarebbe trovato senza l'addebito, con una valuta dell'accredito non successiva a quella dell'addebito. La Banca d'Italia precisa che al cliente non vanno imputati nemmeno i costi legati all'operazione disconosciuta. L'unica via d'uscita immediata per la banca è il motivato sospetto di frode, che deve comunicare per iscritto alla Banca d'Italia. Nel 2024 l'Istituto ha scritto agli intermediari di aver riscontrato rifiuti infondati, rimborsi tardivi e adempimenti non richiesti dalla legge a carico dei clienti, e ha chiesto di cambiare prassi.
Il rimborso, però, non è un verdetto. L'art. 11, comma 3, permette alla banca di dimostrare anche in un secondo momento che l'operazione era autorizzata e di chiederti indietro la somma, quindi finché la pratica non è chiusa conviene tenere quei soldi fermi sul conto e non considerarli già tuoi.
Il famoso tetto di 50 euro è una mezza verità. L'art. 12 lo prevede solo per le perdite derivanti dall'uso indebito di uno strumento rubato, smarrito o sottratto, e solo se non hai agito in modo fraudolento né violato con dolo o colpa grave gli obblighi di custodia. Se la banca non ha richiesto l'autenticazione forte non sopporti alcuna perdita, salvo frode da parte tua, mentre chi ha agito con dolo o colpa grave si carica l'intero importo, senza limite.
La colpa grave: dove si decide davvero la partita
Quasi tutte le liti nascono qui. Per le operazioni autenticate con l'autenticazione forte, la Banca d'Italia riconosce alla banca la facoltà di non rimborsare se accerta che il danno deriva da dolo o colpa grave del cliente, ma pretende una valutazione concreta, caso per caso, e l'onere di provare la colpa grave resta alla banca (art. 10, comma 2). Dare al telefono i dati di accesso al conto a chi te li chiede è, secondo la guida dell'Istituto, un caso in cui di norma il rimborso non spetta. Il clic su un link e l'inserimento delle credenziali in un sito clone è invece una zona molto più discussa, ed è proprio il caso al centro della causa europea di cui parliamo ora.
Il 5 marzo 2026 l'avvocato generale Athanasios Rantos ha proposto alla Corte di giustizia UE, nella causa C-70/25, una lettura più favorevole al cliente della direttiva sui servizi di pagamento: la banca non può rifiutare il rimborso immediato adducendo la colpa grave, deve prima rimborsare e solo dopo, se dimostra dolo o colpa grave, può pretendere che il cliente sopporti la perdita, agendo in giudizio se lui non restituisce. Il caso riguarda una cliente polacca che aveva ricevuto da un falso acquirente, su un sito di compravendita, un link che imitava il sito della sua banca. Diffida però dei titoli che scrivono "la Corte UE conferma": è un parere, non una sentenza, non vincola i giudici e a inizio ottobre 2026 non risulta una decisione della Corte. Nel reclamo puoi citarlo, ma presentalo per quello che è, cioè un argomento a tuo favore e non una regola già in vigore.
Più avanti potrebbe arrivare una tutela specifica per le truffe in cui il malvivente si finge un dipendente della banca. Nell'accordo provvisorio raggiunto il 27 novembre 2025 tra Consiglio e Parlamento europeo sul nuovo regolamento sui servizi di pagamento, la banca dovrebbe rimborsare l'intero importo purché il cliente denunci il fatto alla polizia e avvisi il suo prestatore di servizi. Il testo, però, deve ancora essere adottato formalmente da Parlamento e Consiglio, e oggi non puoi invocarlo.
Se la banca dice no, o non risponde
Per i servizi di pagamento l'intermediario ha 15 giornate lavorative per risponderti, contro i 60 giorni degli altri reclami. Se rifiuta il rimborso o il termine scade senza risposta, i passi successivi sono questi, e l'esposto puoi inviarlo in parallelo:
- un reclamo scritto alla banca, in cui scrivi espressamente che si tratta di un reclamo, se finora hai usato solo il modulo di disconoscimento;
- il ricorso all'Arbitro Bancario Finanziario, che si presenta online dal Portale ABF entro 12 mesi dal reclamo e costa 20 euro di contributo, da versare prima e da allegare in ricevuta, perché senza quella il ricorso è irricevibile;
- un esposto alla Banca d'Italia, che puoi inviare in ogni caso.
Il ricorso all'ABF ha un limite di 200.000 euro per le somme richieste e non è possibile se la controversia è già davanti a un giudice, a un arbitro o a un organismo di conciliazione. La procedura è pensata per essere gestita online in autonomia, quindi per una frode da qualche migliaio di euro non serve partire da un avvocato.
Prima che succeda: la verifica del beneficiario e tre abitudini
Dal 9 ottobre 2025, su ogni bonifico, ordinario o istantaneo, la tua banca deve confrontare nome e IBAN del beneficiario e mostrarti l'esito prima che tu confermi: corrispondenza, corrispondenza parziale, mancata corrispondenza oppure verifica non possibile. Ha però un limite: l'esito è un avviso, non un blocco, e se confermi lo stesso dopo un "nessuna corrispondenza" il rischio, di norma, resta a carico tuo. Il regolamento in arrivo prevede invece il rifiuto dell'ordine in caso di discordanza, ma non è ancora in vigore, e un controllo sul nome non serve a nulla quando il truffatore ti fornisce un IBAN intestato a lui. Per questo il controllo vero resta il tuo comportamento, a partire da tre abitudini che non costano niente.
- Riaggancia e richiama tu. La banca non ti chiede mai i dati dell'home banking, né per mail né per telefono, lo scrive la Banca d'Italia, e chi insiste sull'urgenza ti sta già dicendo chi è.
- Apri l'app dal tuo telefono e mai da un link in un SMS, anche quando il messaggio compare nella stessa conversazione dei messaggi veri della banca.
- Attiva la notifica per ogni movimento e, se l'app lo permette, abbassa i massimali giornalieri di bonifici e carta.
Il momento peggiore per cercare il pulsante "blocca carta" è un sabato mattina con la notifica in mano: trovalo oggi, e già che ci sei salva in rubrica il numero dell'assistenza che leggi sul sito ufficiale della tua banca.