Un bonifico che il titolare del conto non ha mai disposto può trasformarsi in una vera e propria battaglia tra correntista e banca. La questione centrale è stabilire chi debba sostenere la perdita quando un truffatore riesce ad accedere ai servizi online e trasferisce il denaro senza il consenso del cliente.

La responsabilità, però, non ricade automaticamente sul correntista. In determinate circostanze, infatti, spetta alla banca dimostrare che l’operazione è stata resa possibile da una condotta gravemente imprudente dell’utente.

La banca deve garantire un elevato livello di sicurezza

Uno dei principi utilizzati dalla giurisprudenza in materia di frodi bancarie riguarda la particolare responsabilità dell’istituto che offre servizi di home banking.

La gestione digitale dei rapporti bancari espone infatti il cliente a rischi informatici che spesso non è in grado di prevedere né di contrastare autonomamente. Per questo motivo, la banca deve adottare sistemi di sicurezza adeguati all’evoluzione delle tecniche utilizzate dai truffatori.

L’articolo 2050 del Codice civile, relativo alle attività pericolose, viene richiamato in alcune controversie proprio per sottolineare il livello di diligenza richiesto all’istituto di credito. Non è quindi sufficiente sostenere che il sistema abbia registrato correttamente le credenziali utilizzate per effettuare il bonifico.

La banca deve valutare anche se l’operazione presentava elementi anomali e se i propri sistemi avrebbero potuto rilevare e bloccare il comportamento sospetto.

Il caso del bonifico da 23.500 euro

Un’importante pronuncia della Corte d’Appello di Palermo ha affrontato proprio una situazione di questo tipo. Con la sentenza n. 1929/2026, il giudice ha confermato la decisione di primo grado che aveva riconosciuto la responsabilità di un istituto di credito per un bonifico non autorizzato di 23.500 euro effettuato tramite il servizio di home banking di una società.

La frode era stata realizzata attraverso una tecnica informatica particolarmente sofisticata. La vittima era stata indotta a installare un’applicazione malevola presentata come collegata alla propria banca. Attraverso questo meccanismo, i responsabili della truffa erano riusciti a ottenere le credenziali necessarie per accedere al conto ed effettuare il trasferimento.

Durante il procedimento sono emersi alcuni elementi considerati particolarmente significativi. Il bonifico contestato risultava provenire da un indirizzo IP mai utilizzato in precedenza dalla società. Inoltre, nello stesso giorno, i sistemi della banca avevano già individuato e bloccato altri tentativi di accesso anomali.

Secondo la Corte, la presenza di questi segnali avrebbe dovuto spingere l’istituto ad adottare controlli ulteriori.

Usare le credenziali corrette non basta a dimostrare la colpa del cliente

Uno degli aspetti più importanti riguarda la prova della responsabilità del correntista.

Il fatto che il truffatore abbia utilizzato correttamente username, password o altri strumenti di autenticazione non significa automaticamente che il cliente sia responsabile della frode.

La banca deve fornire elementi concreti per dimostrare che l’operazione è stata resa possibile da una condotta negligente dell’utente. La semplice autenticazione tecnica del bonifico, quindi, non è necessariamente sufficiente per escludere la responsabilità dell’istituto.

Devono essere valutate le modalità con cui le credenziali sono state sottratte, le caratteristiche dell’operazione, eventuali anomalie rilevabili dai sistemi di sicurezza e il comportamento tenuto dal correntista prima e dopo la frode.

Quando il cliente può perdere il diritto al rimborso

La protezione del correntista non è assoluta. Esistono infatti situazioni nelle quali la banca può dimostrare che il danno è stato provocato dalla condotta dell’utente.

Può essere determinante, ad esempio, la comunicazione consapevole delle credenziali a un’altra persona oppure l’inserimento dei propri dati su una pagina contraffatta dopo aver ignorato evidenti segnali di pericolo.

Anche conservare password e codici in luoghi facilmente accessibili, utilizzare dispositivi non adeguatamente protetti o installare software sospetti può assumere rilievo nella valutazione della responsabilità.

Tuttavia, anche in presenza di una truffa informatica, la responsabilità del cliente non dovrebbe essere data per scontata: deve essere accertato concretamente il suo comportamento e il ruolo che questo ha avuto nella realizzazione della frode.

La tempestività può fare la differenza

Quando ci si accorge di un movimento bancario mai autorizzato, è fondamentale intervenire immediatamente.

Il cliente dovrebbe innanzitutto contattare la banca per bloccare i servizi interessati e impedire ulteriori operazioni. È inoltre importante contestare formalmente il bonifico e presentare denuncia alle autorità competenti.

Conservare le comunicazioni ricevute, le notifiche bancarie, gli eventuali messaggi sospetti, la documentazione relativa al dispositivo utilizzato e ogni altra informazione utile può aiutare a ricostruire l’accaduto.

Anche la rapidità con cui il cliente segnala l’anomalia può assumere un peso importante nella valutazione della vicenda. Nel caso esaminato dalla Corte d’Appello di Palermo, la tempestiva contestazione dell’operazione e la denuncia erano state considerate elementi favorevoli alla società vittima della frode.

La sicurezza informatica rientra negli obblighi della banca

Le banche non possono considerare la sicurezza digitale un aspetto secondario del servizio offerto alla clientela.

I sistemi informatici devono essere aggiornati e progettati per individuare comportamenti anomali. Importi insoliti, nuovi destinatari, accessi da dispositivi sconosciuti o provenienti da localizzazioni e indirizzi IP mai utilizzati possono rappresentare segnali che meritano controlli aggiuntivi.

Anche l’utilizzo di sistemi di autenticazione più avanzati e l’invio tempestivo di notifiche sulle operazioni contribuiscono alla prevenzione delle frodi.

In questo contesto, il progresso tecnologico diventa uno degli elementi attraverso cui valutare il livello di sicurezza che l’istituto avrebbe dovuto garantire.

Anche il GDPR può entrare nella questione

Le frodi informatiche possono coinvolgere anche la disciplina sulla protezione dei dati personali.

Le informazioni utilizzate per accedere al conto e i dati relativi alle operazioni bancarie rientrano infatti nell’ambito della gestione dei dati personali. Il GDPR impone agli operatori che li trattano di adottare misure tecniche e organizzative adeguate ai rischi.

Per questo, quando una violazione informatica coinvolge sistemi bancari, può essere necessario valutare anche l’adeguatezza delle misure di sicurezza adottate dall’istituto.

Cosa fare dopo aver scoperto un bonifico mai autorizzato

La tempestività è essenziale. Dopo aver individuato un’operazione sospetta, è opportuno:

• contattare immediatamente la banca e chiedere il blocco dei servizi interessati;
• contestare formalmente il bonifico che non è stato autorizzato;
• presentare denuncia alle autorità competenti;
• conservare messaggi, notifiche, email e documenti relativi alla frode;
• mettere in sicurezza il dispositivo utilizzato per accedere al conto;
• presentare un reclamo scritto alla banca chiedendo il rimborso della somma;
• valutare, in caso di mancata soluzione, il ricorso agli strumenti di tutela previsti per le controversie bancarie.

Il rimborso non è automatico, ma la banca deve dimostrare la propria tesi

La nuova giurisprudenza conferma quindi un principio importante: davanti a un bonifico non autorizzato, non basta alla banca dimostrare che l’operazione sia stata tecnicamente autenticata.

Occorre verificare l’intera dinamica della frode e stabilire se il cliente abbia effettivamente adottato un comportamento negligente e determinante per la sottrazione del denaro.

Dall’altra parte, il correntista deve dimostrare di aver agito con prudenza, di non aver volontariamente fornito le proprie credenziali e di essersi attivato rapidamente dopo aver scoperto l’operazione.

La questione, dunque, non si risolve semplicemente stabilendo chi abbia utilizzato username e password. È necessario capire come il truffatore sia riuscito ad accedere al conto, quali segnali siano stati rilevati dai sistemi della banca e quale comportamento abbia tenuto il cliente. È proprio da questi elementi che può dipendere il diritto al rimborso della somma sottratta.

Noemi De Noia