«Hai autorizzato tu l’operazione, non possiamo rimborsarti»: è la risposta che moltissimi correntisti si sentono dare dalla propria banca dopo essere caduti vittima di una truffa con malware o phishing sull’home banking. Una recente sentenza della Corte d’Appello di Palermo smentisce questo automatismo, e ricorda che l’onere di provare la colpa grave del cliente spetta alla banca, non il contrario.
Il caso: Corte d’Appello di Palermo, sentenza n. 1929/2026
Una correntista aveva subito un bonifico non autorizzato di 23.500 euro tramite il proprio home banking. I truffatori, attraverso la campagna di malware nota come “Brata”, l’avevano indotta a scaricare un’app fraudolenta spacciata per una comunicazione ufficiale della banca: in questo modo erano riusciti a sottrarre le credenziali di accesso e a disporre il bonifico verso un conto a loro riconducibile. La cliente aveva immediatamente disconosciuto l’operazione presso la banca.
Il Tribunale di Palermo, in primo grado, aveva condannato la banca al rimborso integrale della somma. L’istituto ha proposto appello, sostenendo che l’operazione fosse stata regolarmente autenticata con le credenziali del cliente e che quindi la responsabilità ricadesse su quest’ultimo per colpa grave. La Terza Sezione civile della Corte d’Appello di Palermo, con la sentenza n. 1929/2026, ha respinto l’impugnazione e confermato la condanna.
Il principio: non basta che l’operazione risulti “autenticata”
La Corte ha chiarito che la banca non può limitarsi a dimostrare che l’operazione è stata correttamente autenticata, registrata e contabilizzata secondo le procedure informatiche in uso: questo dimostra solo che il sistema ha funzionato tecnicamente, non che il cliente abbia agito con dolo o colpa grave. In base alla disciplina sui servizi di pagamento (D.Lgs. 11/2010, di recepimento della direttiva PSD2), è l’istituto di credito a dover provare positivamente il dolo o la colpa grave dell’utente, oltre all’assenza di anomalie operative che avrebbero dovuto insospettire i sistemi antifrode della banca.
Si tratta di un principio che si inserisce in un filone giurisprudenziale in crescita, alimentato dal boom delle truffe informatiche tramite trojan bancari, phishing e smishing: sempre più spesso i giudici di merito, in tutta Italia, ribaltano l’automatismo “hai autorizzato tu, quindi paghi tu”, imponendo alle banche di dimostrare concretamente che il cliente ha tenuto una condotta gravemente negligente, e non che si sia semplicemente limitato a subire un raggiro tecnologicamente sofisticato.
Cosa fare se hai subito un bonifico non autorizzato
- Disconosci subito l’operazione presso la tua banca, per iscritto, e chiedi il blocco di eventuali ulteriori disposizioni.
- Sporgi denuncia alla Polizia Postale, conservando ogni traccia della truffa: email, sms, app fraudolente, screenshot.
- Non firmare moduli di rinuncia proposti dalla banca prima di aver valutato con un legale se hai diritto al rimborso integrale.
- Chiedi alla banca di dimostrare, non solo di affermare, che l’operazione presentava caratteristiche di normalità rispetto alla tua storia operativa (importo, beneficiario mai utilizzato, orario, dispositivo).
- Ricorda che il termine per contestare un’operazione di pagamento non autorizzata è stretto: tredici mesi dall’addebito, ma conviene muoversi molto prima.
Le truffe informatiche sui conti correnti sono sempre più sofisticate, ma questo non significa che la banca sia automaticamente esonerata da responsabilità. Se hai subito un bonifico non autorizzato e la banca si è rifiutata di rimborsarti, contattami per una valutazione della tua posizione.