Furto di denaro dal conto online, quando la banca deve rimborsare subito, anche se il cliente ha sbagliato

La sentenza della Corte di giustizia dell’UE, nella causa C-70/25 del 15 ottobre 2026, ha chiarito che la banca deve rimborsare le somme sottratte al cliente da un’operazione non autorizzata entro la fine della giornata lavorativa successiva, anche se c’è il sospetto che il cliente abbia commesso un errore o agito con negligenza.

La banca non può bloccare il rimborso perché il cliente ha commesso un errore (come ad esempio cadendo vittima di un tentativo di phishing) mentre l’onere di dimostrare l’eventuale colpa grave o il dolo del cliente spetta interamente all’istituto di credito in un secondo momento. Dopo aver provato la responsabilità del cliente la banca potrà chiedergli la restituzione delle somme rimborsate.

L’unico caso in cui la banca può sospendere o rifiutare il rimborso immediato è quando ha fondati motivi di sospettare che la frode sia opera dello stesso correntista.

Rimborso somme sottratte, meccanismo in due fasi

La decisione della Corte di Giustizia dell’Unione Europea separa il momento del rimborso da quello della responsabilità andando a tracciare una linea netta nella gestione delle truffe come il phishing e lo smishing.

Il meccanismo che l’istituto di credito deve mettere in atto è il seguente:

• appena il cliente segnala l’operazione fraudolenta disconoscendola, la banca è obbligata a riaccreditare la somma sottratta entro la fine del giorno lavorativo successivo;
• dopo aver restituito i soldi, la banca può avviare un’indagine per dimostrare che il cliente ha agito con colpa grave o con dolo (ad esempio dimostrando che ha mostrato consapevolmente le proprie password). Se la banca dimostra la colpa grave del cliente potrà chiedergli la restituzione della somma.

Il diritto al rimborso anche in caso di errore

È bene precisare subito che non si tratta di una nuova legge, ma di una sentenza pronunciata a livello comunitario che è vincolante. La sentenza interpreta la direttiva UE sui servizi di pagamento e obbliga tutti gli istituti di credito ad adeguarsi.
La vera rivoluzione della sentenza risiede nel fatto che il rimborso immediato spetta anche se la vittima ha commesso un errore. Prima di questa pronuncia molte banche rifiutavano il rimborso automatico in caso di phishing perché sostenevano che il cliente era stato negligente nel cliccare sui link ingannevoli.

La presunta colpa o la distrazione, per l’UE, non autorizza la banca a trattenere le somme con l’onere della prova invertito ed è la banca a dover dimostrare il dolo e la colpa grave del correntista.

Condizioni e tempi per il rimborso

Per poter beneficiare della tutela prevista dalla sentenza, il correntista deve essere tempestivo e seguire precise tempistiche.

La vittima della frode deve informare la banca nel momento in cui viene a conoscenza della sottrazione (prelievo anomalo dal conto corrente che deve disconoscere). Il limite massimo fissato dalla direttiva PSD2 è di 13 mesi dalla data di addebito della somma per poter contestare l’operazione e chiedere il rimborso.

La banca, una volta ottenuta la notifica della frode deve procedere al riaccredito dell’intero importo entro la fine della giornata lavorativa successiva. Il denaro deve essere riaccreditato sul conto corrente da cui è stato sottratto (deve essere ripristinato lo stesso saldo che c’era prima del furto).

Da sottolineare che la tutela si applica soltanto alle operazioni non autorizzate, ovvero i casi in cui i truffatori, tramite le credenziali sottratte, effettuano in autonomia pagamenti e bonifici.

Per le operazioni autorizzate dal cliente sotto inganno, invece, il rimborso entro le 24 ore non scatta. In questo caso la responsabilità della banca si deve valutare caso per caso in base ai sistemi di sicurezza applicati nei sistemi di autenticazione.

Cosa fare se succede

Se si è vittima di una frode con operazione non autorizzata il tempo è l’unico fattore che può limitare i danni. La prima cosa da fare è chiamare il servizio clienti della propria banca per bloccare il conto corrente online, l’app e le carte di pagamento associate.

In seguito si deve chiedere all’operatore l’elenco delle transazioni eseguite, provvedendo a disconoscere formalmente quelle che non si riconoscono come proprie.

È importante segnarsi la data e l’ora della chiamata, il codice identificativo dell’operatore o della pratica di blocco del conto corrente.

Il passo successivo è quello di procedere alla denuncia presso la Polizia Postale, i Carabinieri o la Polizia di Stato. Nell’effettuare la denuncia si deve fornire l’elenco di tutti i movimenti illeciti con date, orari e importi e descrivere la dinamica della truffa: come è avvenuto il contatto (mail, SMS o telefonata).
Alla fine ci si deve far rilasciare una copia conforme della denuncia con il timbro e la firma di chi l’ha raccolta.

Per quanto riguarda la banca, invece, non ci si deve limitare solo a fare la segnalazione telefonica. La richiesta di rimborso deve essere formalizzata per iscritto inviando una PEC o una Raccomandata A/R alla banca allegando una copia della denuncia. Nel richiedere il ripristino del saldo entro le 24 ore successive si deve citare la normativa Decreto Legislativo 11/2010 (che recepisce la direttiva europea PSD2) e ribadita dalla recente giurisprudenza della Corte di Giustizia UE.

In Italia la legge di riferimento è il D.Lgs 11 del 2010 che prevede:

• se non c’è colpa grave del correntista la perdita massima a suo carico per le operazioni disconosciute deve essere di soli 50 euro, il resto deve essere restituito;
• la banca deve dimostrare la colpa grave del cliente;
• anche se la banca accredita i soldi subito, questo non deve essere visto come un’assoluzione. Successivamente può avviare indagini per dimostrare la colpa grave del cliente e chiedere la restituzione delle somme rimborsate.