L'avvocato Giovanni Spinapolice analizza il delicato confine tra autorizzazione dei pagamenti, responsabilità delle banche e tutela dei risparmiatori vittime di frodi informatiche.

Un messaggio SMS apparentemente inviato dalla propria banca, una comunicazione che segnala un'anomalia sul conto corrente e pochi passaggi per mettere al sicuro il denaro. È così che possono iniziare alcune delle più insidiose frodi bancarie digitali, nelle quali il correntista, convinto di proteggere i propri risparmi, finisce per favorire inconsapevolmente l'azione dei truffatori.

Il tema torna al centro dell'attenzione con una vicenda giudiziaria segnalata da Altalex il 21 ottobre 2026, riguardante un pagamento autorizzato dal cliente dopo la ricezione di un SMS apparentemente proveniente dalla banca, con esito sfavorevole alla richiesta risarcitoria.

Il caso solleva una questione fondamentale: fino a che punto il consenso prestato dal cliente può considerarsi effettivamente valido quando è il risultato di un inganno?

Sul tema interviene l'avvocato Giovanni Spinapolice, cassazionista esperto di diritto bancario e finanziario e di tutela dei risparmiatori, per approfondire il quadro normativo e le conseguenze delle frodi digitali, anche alla luce della recente sentenza della Corte di giustizia dell'Unione europea del 15 ottobre 2026.

Avvocato Spinapolice, il caso riportato da Altalex sembra affermare che, quando il cliente autorizza personalmente un pagamento dopo aver ricevuto un SMS fraudolento, la banca possa essere esonerata dal risarcimento. È davvero così?

Occorre distinguere due situazioni giuridicamente differenti. La prima riguarda un pagamento disposto direttamente dal correntista, sebbene indotto in errore da un comportamento fraudolento di terzi. La seconda concerne invece un'operazione eseguita dal truffatore senza un'autorizzazione giuridicamente riferibile al titolare del conto.

La distinzione è decisiva perché la disciplina speciale prevista dal decreto legislativo n. 11 del 2010 attribuisce una particolare tutela alle operazioni di pagamento non autorizzate.

Tuttavia, non possiamo ritenere che qualsiasi intervento materiale del cliente equivalga automaticamente a un'autorizzazione valida e consapevole. È necessario ricostruire esattamente il procedimento attraverso il quale l'operazione è stata disposta, verificare quale consenso sia stato effettivamente prestato e accertare se la banca abbia adempiuto ai propri obblighi contrattuali e di sicurezza.

Il vero problema non è soltanto stabilire chi abbia materialmente premuto un pulsante, ma comprendere quale operazione sia stata autorizzata e in quali circostanze.

Ma se il messaggio arriva apparentemente dal numero della banca, come può un normale correntista riconoscere la truffa? Non rischiamo di pretendere dal cliente competenze informatiche che non possiede?

È proprio questo uno degli aspetti più delicati.

Le moderne frodi bancarie utilizzano tecniche di manipolazione sempre più sofisticate. Attraverso lo spoofing è possibile falsificare l'identificativo del mittente di una comunicazione; con lo smishing vengono inviati messaggi fraudolenti e, attraverso il vishing, si ricorre a telefonate nelle quali il truffatore assume l'identità di un operatore bancario.

Talvolta questi strumenti vengono utilizzati congiuntamente, generando una rappresentazione apparentemente credibile dell'identità della banca.

Non possiamo valutare la diligenza del correntista prescindendo da tale contesto.

La colpa grave, infatti, non coincide con una semplice disattenzione. Richiede una condotta caratterizzata da una deviazione particolarmente rilevante rispetto alle cautele elementari esigibili nelle circostanze concrete.

Ritengo quindi necessario evitare un'impostazione che finisca per trasferire sistematicamente sul cliente il rischio tecnologico dell'attività bancaria.

Il correntista deve certamente agire con prudenza, ma la banca, quale operatore professionale, deve predisporre presidi di sicurezza adeguati alla natura e all'evoluzione dei rischi connessi ai propri servizi.

Quali sono, concretamente, gli obblighi della banca quando un cliente contesta un pagamento sostenendo di essere stato vittima di una frode informatica?

Il punto di partenza è rappresentato dal decreto legislativo n. 11 del 2010, che disciplina i servizi di pagamento e recepisce nell'ordinamento italiano la normativa europea.

L'articolo 10 stabilisce un principio fondamentale: quando l'utente nega di avere autorizzato un'operazione, la mera registrazione dell'utilizzo dello strumento di pagamento non è necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata o che il correntista abbia agito con dolo o colpa grave.

L'onere di dimostrare tali circostanze grava sul prestatore dei servizi di pagamento.

Ciò significa che la banca non può limitarsi ad affermare che il pagamento è stato eseguito utilizzando le credenziali corrette o che è intervenuto un codice di autenticazione.

Occorre verificare la regolarità dell'intera procedura e la concreta riferibilità dell'autorizzazione al cliente.

Naturalmente, quando il correntista ha consapevolmente impartito un ordine di pagamento verso un determinato beneficiario, sebbene ingannato circa le ragioni economiche dell'operazione, la qualificazione giuridica può essere differente.

Anche in questa seconda ipotesi, tuttavia, possono assumere rilevanza eventuali specifici inadempimenti della banca agli obblighi di sicurezza e protezione, da accertare secondo le regole applicabili alla fattispecie.

Una recente sentenza della Corte di giustizia europea, pronunciata il 15 ottobre 2026, sembra rafforzare la posizione dei correntisti. Che cosa cambia concretamente?

La pronuncia della Corte di giustizia nella causa C-70/25 introduce un chiarimento di grande importanza.

La Corte ha affermato che, in presenza di un'operazione di pagamento non autorizzata, la banca non può rifiutare il rimborso immediato semplicemente sostenendo che il cliente abbia agito con negligenza grave.

La disciplina europea distingue infatti due momenti giuridici: il diritto al rimborso immediato dell'operazione non autorizzata e la successiva individuazione del soggetto sul quale debba definitivamente gravare la perdita economica.

La banca deve quindi, in linea di principio, procedere al rimborso entro il termine previsto dalla legge, salva la specifica eccezione relativa al sospetto motivato di frode del cliente, comunicato all'autorità competente.

Successivamente, l'intermediario potrà eventualmente agire nei confronti del correntista, qualora dimostri che la perdita sia conseguenza di una violazione dolosa o gravemente negligente dei suoi obblighi.

È una distinzione fondamentale perché impedisce che sia la banca a decidere unilateralmente, sulla base di una propria valutazione della condotta del cliente, di sottrarsi all'obbligo di rimborso.

Attenzione, però: questo principio opera nel campo delle operazioni non autorizzate e non può essere automaticamente esteso a qualsiasi bonifico effettuato personalmente dal cliente sotto l'influenza di un inganno.

In un contenzioso bancario relativo a una frode via SMS, quali elementi ritiene decisivi per stabilire se il cliente abbia diritto alla restituzione del denaro?

La prima attività deve essere una ricostruzione rigorosa della sequenza dei fatti.

È indispensabile acquisire i messaggi ricevuti, le eventuali registrazioni telefoniche disponibili, le comunicazioni intercorse con la banca, le informazioni relative all'accesso al conto, i dati dell'operazione e la documentazione tecnica concernente le procedure di autenticazione.

Particolare rilievo assumono i registri informatici delle operazioni, le modalità con cui è stato acquisito il consenso, l'eventuale presenza di dispositivi non abituali e la corretta applicazione dei sistemi di autenticazione forte.

Bisogna inoltre verificare se l'operazione presentasse elementi di anomalia rispetto all'ordinaria operatività del cliente e se tali circostanze imponessero specifici controlli all'intermediario.

Ma soprattutto occorre evitare di confondere l'errore del correntista con la sua colpa grave.

La giurisprudenza ha già riconosciuto, in determinate fattispecie, che frodi realizzate mediante comunicazioni inserite nelle conversazioni apparentemente ufficiali della banca e telefonate provenienti da numerazioni riconducibili all'istituto possono rendere particolarmente difficile l'individuazione dell'inganno.

La decisione deve quindi fondarsi sull'esame delle concrete circostanze e delle prove, non su presunzioni generalizzate di responsabilità del cliente.

Avvocato Spinapolice, quale messaggio desidera rivolgere ai risparmiatori e quale evoluzione auspica nella responsabilità delle banche di fronte alle nuove frodi digitali?

Il primo messaggio è che la sicurezza bancaria non può essere considerata una responsabilità esclusiva del correntista.

Viviamo in un sistema nel quale la tecnologia ha reso le operazioni finanziarie straordinariamente rapide, ma ha anche moltiplicato le possibilità di manipolazione e di accesso fraudolento ai patrimoni individuali.

Le banche beneficiano dell'efficienza economica derivante dalla digitalizzazione dei servizi e devono assumersi le responsabilità connesse alla gestione professionale dei relativi rischi.

Questo non significa esonerare il cliente dai propri doveri di diligenza. Significa, piuttosto, costruire un equilibrio coerente con la diversa posizione tecnica, informativa ed economica delle parti.

Al risparmiatore raccomando di non seguire mai istruzioni operative ricevute attraverso messaggi inattesi, di verificare ogni comunicazione utilizzando autonomamente i canali ufficiali dell'istituto e di segnalare immediatamente qualsiasi operazione sospetta.

Se la frode si è già verificata, è fondamentale conservare tutte le prove, contestare tempestivamente l'operazione e richiedere alla banca una ricostruzione documentata dell'accaduto.

Soprattutto, il rifiuto della banca di rimborsare le somme non significa necessariamente che il cliente non abbia diritto alla restituzione.

La questione deve essere esaminata giuridicamente, distinguendo la tipologia della frode, la natura dell'autorizzazione e gli obblighi concretamente gravanti sull'intermediario.

Ritengo che la vera sfida del diritto bancario contemporaneo sia impedire che l'innovazione tecnologica produca un arretramento della tutela del risparmio.

La tecnologia deve rappresentare uno strumento di protezione del patrimonio, non trasformarsi in una ragione per indebolire i diritti di chi lo affida al sistema bancario.

Intervista all'avvocato Giovanni Spinapolice, cassazionista esperto di diritto bancario e finanziario e tutela dei risparmiatori.