Una truffa di phishing, un conto corrente svuotato e una banca che rifiuta di restituire il denaro perché il cliente avrebbe custodito male le proprie password. È una situazione nella quale possono ritrovarsi molti utenti dell’home banking. Ora una sentenza della Corte di giustizia dell’Unione europea, emessa il 15 ottobre 2026, chiarisce che la banca deve rimborsare immediatamente le operazioni non autorizzate anche quando sospetta una grave negligenza del cliente.
Il rimborso deve arrivare, in linea generale, entro la fine della giornata lavorativa successiva alla segnalazione. La banca potrà eventualmente chiedere in seguito la restituzione del denaro, ma dovrà dimostrare la responsabilità del correntista.
La decisione riguarda anche l’Italia e rafforza una tutela già prevista dalla normativa europea e nazionale.
La truffa comincia con un oggetto messo in vendita online
La vicenda nasce in Polonia, dove una donna aveva pubblicato un annuncio su una piattaforma di compravendita. Un presunto acquirente le aveva inviato un link per confermare la vendita, apparentemente proveniente dal servizio utilizzato.
Il collegamento portava invece a un sito contraffatto che riproduceva quello della sua banca. Convinta di trovarsi su una pagina autentica, la donna aveva inserito le credenziali dell’home banking.
Il truffatore aveva quindi utilizzato quei dati per accedere al conto e trasferire circa 700 euro su un altro conto.
È un esempio di phishing, una tecnica che utilizza messaggi e pagine contraffatte per convincere le vittime a comunicare password, codici di sicurezza e altre informazioni riservate.
La banca rifiuta il rimborso e il caso arriva alla Corte europea
La cliente aveva segnalato l’operazione fraudolenta il giorno successivo, ma la banca aveva respinto la richiesta di rimborso.
Secondo l’istituto, la donna aveva agito con colpa grave, non proteggendo adeguatamente le proprie credenziali e rendendo così possibile il trasferimento.
La controversia era arrivata davanti a un tribunale polacco, che aveva chiesto alla Corte di giustizia UE di interpretare gli articoli 73 e 74 della direttiva sui servizi di pagamento PSD2.
La risposta è contenuta nella sentenza del 15 ottobre 2026, causa C-70/25, Tukowiecka.
La banca deve rimborsare prima di contestare la negligenza
Secondo i giudici europei, quando un pagamento non è stato autorizzato dal titolare del conto, la banca deve procedere al rimborso immediatamente e comunque entro la fine della giornata lavorativa successiva a quella in cui viene informata dell’operazione.
Il cliente deve segnalare l’accaduto senza ritardi ingiustificati.
La banca non può bloccare preventivamente il rimborso sostenendo che il correntista sia stato imprudente oppure abbia custodito male le credenziali.
L’eccezione riguarda il sospetto fondato di una frode commessa dal cliente stesso, per esempio quando l’istituto ritiene che la contestazione sia stata presentata per ottenere indebitamente la restituzione di un pagamento. In tal caso deve comunicare i motivi del sospetto all’autorità nazionale competente.
Il rimborso può essere richiesto indietro, ma servono prove
La sentenza distingue il diritto a ottenere tempestivamente il denaro dalla responsabilità definitiva per la perdita.
Dopo aver effettuato il rimborso, la banca può chiedere al cliente di restituire la somma se dimostra che il danno deriva da un comportamento doloso o gravemente negligente, in violazione degli obblighi previsti dalla legge.
Spetta alla banca provare la colpa grave. Il semplice fatto che il pagamento sia stato tecnicamente autenticato non dimostra automaticamente che il cliente abbia autorizzato l’operazione o agito con grave negligenza.
La conseguenza pratica riguarda anche i tempi delle controversie. La banca deve prima ripristinare la disponibilità del denaro e, se ritiene di averne diritto, attivarsi successivamente per recuperarlo.
Nel comunicato ufficiale della Corte si spiega che consentire agli istituti di credito di rifiutare immediatamente il rimborso sulla base della presunta negligenza del cliente finirebbe per svuotare di significato la tutela prevista dalla direttiva, costringendo la vittima ad affrontare costi e tempi di una causa giudiziaria.
Attenzione: se il bonifico lo abbiamo disposto noi, il caso cambia
La decisione riguarda le operazioni di pagamento non autorizzate. Questa precisazione è essenziale, perché le truffe informatiche non si svolgono tutte allo stesso modo.
Nel caso esaminato dalla Corte, il criminale aveva ottenuto le credenziali della vittima e le aveva utilizzate per trasferire autonomamente il denaro.
Diversa è la situazione nella quale una persona viene ingannata e dispone personalmente un bonifico, per esempio credendo di pagare un acquisto, proteggere i propri risparmi o trasferire soldi verso un presunto conto sicuro.
In quest’ultimo caso il pagamento può risultare autorizzato, anche se ottenuto con l’inganno, e il rimborso non segue automaticamente le regole applicate dalla Corte.
Un’altra situazione frequente riguarda le richieste di autenticazione ricevute sullo smartphone. Se la vittima conferma un’operazione senza comprenderne la reale destinazione, occorre verificare le circostanze e stabilire se abbia effettivamente prestato il proprio consenso al pagamento.
Per questo, quando si contesta un movimento, è importante ricostruire esattamente che cosa è accaduto e quali operazioni siano state eseguite dal truffatore.
Cosa cambia per i correntisti italiani
Il diritto al rimborso immediato esisteva già prima della sentenza.
La direttiva europea PSD2 è stata recepita in Italia attraverso modifiche al decreto legislativo 11/2010. L’articolo 11 disciplina il rimborso delle operazioni non autorizzate, mentre gli articoli 10 e 12 riguardano, rispettivamente, la prova dell’autenticazione e la responsabilità del pagatore.
La pronuncia del 15 ottobre chiarisce l’interpretazione di questa disciplina ed è rilevante anche per i giudici italiani.
Già nel giugno 2024, la Banca d’Italia aveva richiamato gli intermediari al rispetto delle regole sui disconoscimenti, rilevando problemi nei rifiuti di rimborso, nei tempi delle procedure e nelle informazioni fornite ai clienti.
La nuova sentenza europea rafforza quindi un principio che trova già applicazione nel nostro ordinamento: la presunta colpa grave del correntista non può giustificare da sola il mancato rimborso immediato di un pagamento non autorizzato.
Come chiedere il rimborso alla banca in Italia
Chi scopre un pagamento sconosciuto sul proprio conto dovrebbe seguire alcuni passaggi, senza attendere l’esito di eventuali indagini sul truffatore.
- Contattare immediatamente la banca. Segnalare i movimenti sospetti, chiedere il blocco delle credenziali o degli strumenti compromessi e verificare se sia possibile impedire ulteriori trasferimenti.
- Disconoscere formalmente il pagamento. Utilizzare la procedura prevista dall’istituto, indicando data, importo e caratteristiche dell’operazione. Conviene conservare copia della richiesta, del numero di pratica e delle comunicazioni ricevute.
- Chiedere il rimborso. Per un’operazione non autorizzata, la regola generale impone il riaccredito entro la fine della giornata lavorativa successiva alla segnalazione, salvo la specifica eccezione del sospetto fondato di frode da parte del cliente.
- Presentare un reclamo in caso di rifiuto. La banca deve fornire una risposta motivata. Per i reclami relativi ai servizi di pagamento il termine ordinario è di 15 giorni lavorativi, salvo le eccezioni previste.
- Rivolgersi all’Arbitro Bancario Finanziario. Se la controversia non viene risolta, è possibile presentare ricorso all’ABF, un sistema di risoluzione delle controversie bancarie che non richiede necessariamente l’assistenza di un avvocato.
La normativa prevede generalmente un termine massimo di 13 mesi dall’addebito per segnalare un’operazione non autorizzata, con alcune eccezioni. Questo limite non elimina l’obbligo di comunicare il problema senza ritardi ingiustificati da quando se ne viene a conoscenza.
La denuncia alla Polizia Postale o alle altre forze dell’ordine è consigliabile, anche per contribuire alle indagini, ma non rappresenta un requisito generale per ottenere il rimborso.
Ulteriori indicazioni sono disponibili nella guida della Banca d’Italia sulle truffe nei pagamenti.
Come evitare il phishing bancario
La sentenza offre maggiori garanzie a chi subisce operazioni non autorizzate, ma recuperare il denaro può comunque comportare contestazioni e procedure.
Per ridurre i rischi è opportuno accedere all’home banking dall’app ufficiale o digitando direttamente l’indirizzo della banca, evitando i link ricevuti attraverso SMS, email e messaggi privati.
Conviene inoltre attivare le notifiche per i movimenti del conto, controllare con attenzione le richieste di autorizzazione sullo smartphone e non comunicare mai password o codici temporanei a presunti operatori bancari.
Un’ultima precauzione riguarda proprio le richieste di conferma: prima di autorizzare un pagamento, verificare importo e destinatario. Un codice inserito su una pagina contraffatta o una conferma concessa al momento sbagliato possono permettere al criminale di completare il trasferimento.
La tutela stabilita dalla Corte è particolarmente significativa quando il denaro viene sottratto senza il consenso del titolare del conto. Per il consumatore, il primo passo resta sempre lo stesso: segnalare subito l’operazione alla banca e contestarla formalmente.
