Ho bonificato i soldi al truffatore: quando la banca è tenuta a rimborsare

Chi ha disposto un bonifico verso un conto indicato da un truffatore — convinto di stare acquistando criptovalute su una piattaforma legittima, di investire in un fondo sicuro o di pagare una fornitura mai consegnata — si presenta spesso allo sportello bancario o in uno studio legale con una certezza: «La banca deve rimborsarmi, perché sono stato truffato». Quella certezza, nella maggior parte dei casi, è giuridicamente infondata. Comprendere perché, e soprattutto quali strade alternative esistano davvero, è il primo passo per valutare con lucidità le proprie opzioni.

1La distinzione che quasi tutti ignorano: operazione non autorizzata e operazione autorizzata

Il punto di partenza obbligato è la distinzione tra due fattispecie radicalmente diverse, che la maggior parte degli articoli in circolazione — e, purtroppo, molte vittime — confonde sistematicamente.

La prima fattispecie è quella dell'operazione di pagamento non autorizzata. Accade quando il truffatore, senza il consenso del titolare, dispone un'operazione: ruba le credenziali di accesso al conto (phishing via e-mail o SMS), si sostituisce telefonicamente all'operatore bancario per carpire codici OTP (vishing), oppure convince l'operatore telefonico a trasferire il numero di cellulare su una SIM in suo possesso (SIM swap) per intercettare i codici di autenticazione a due fattori. In tutti questi casi il cliente non ha mai espresso volontà di pagare: l'ordine è stato impartito da un soggetto diverso, che ha abusato dei suoi dati.

La seconda fattispecie — quella che riguarda quasi sempre la vittima di truffe legate a criptovalute o a investimenti online — è quella dell'operazione di pagamento autorizzata ma estorta con inganno: la vittima, credendo di star acquistando asset digitali su una piattaforma affidabile, o di star pagando una prestazione reale, inserisce personalmente le credenziali, conferma con il proprio codice OTP e dispone il bonifico verso l'IBAN indicato dal truffatore. L'operazione è conforme a tutte le procedure di autenticazione. Dal punto di vista tecnico-giuridico, il cliente ha autorizzato quel pagamento.

La differenza non è di dettaglio: è la differenza che determina se il regime di tutela previsto dalla normativa sui servizi di pagamento si applica o meno.

2Il quadro normativo: il d.lgs. n. 11/2010 e i suoi limiti applicativi

La disciplina delle operazioni di pagamento non autorizzate è contenuta nel decreto legislativo 27 gennaio 2010, n. 11, che ha recepito la prima Direttiva sui servizi di pagamento (PSD1), ed è stato significativamente modificato dal decreto legislativo 15 dicembre 2017, n. 218, che ha dato attuazione alla direttiva (UE) 2015/2366 (PSD2).

Il meccanismo è chiaro. Ai sensi dell'art. 10 del d.lgs. n. 11/2010, quando un utente comunica al prestatore di servizi di pagamento di non aver autorizzato un'operazione, il prestatore deve rimborsare immediatamente l'importo, salvo che abbia fondati motivi per sospettare una frode. L'onere probatorio, in caso di contestazione, è distribuito in modo nettamente favorevole all'utente: spetta al prestatore dimostrare che l'operazione è stata autenticata, correttamente registrata e che non vi sono stati malfunzionamenti (art. 10, comma 1). Solo la prova del dolo o della colpa grave dell'utente consente al prestatore di limitare o escludere la propria responsabilità.

Questo schema, tuttavia, presuppone un'operazione non autorizzata. Quando invece l'utente ha personalmente disposto il bonifico — anche se ingannato — l'ordine di pagamento è autorizzato ai sensi dell'art. 5 del medesimo decreto: il cliente ha espresso il proprio consenso nelle forme previste. L'art. 10 non si applica, e la richiesta di rimborso formulata su quella base è destinata al rigetto.

L'Arbitro Bancario Finanziario (ABF) lo ha affermato in modo ripetuto nelle proprie decisioni: quando il cliente ha disposto volontariamente il pagamento, anche in presenza di raggiro da parte di terzi, la banca ordinante non è tenuta al rimborso ai sensi del d.lgs. n. 11/2010. 

3Le truffe in criptovalute: lo schema tipico e perché rientra nella categoria sbagliata

Le truffe legate alle criptovalute seguono schemi ricorrenti. La vittima viene contattata — spesso tramite social network, app di messaggistica o annunci online — da un soggetto che si presenta come consulente finanziario o come rappresentante di una piattaforma di trading. Viene invitata ad aprire un conto su un sito dall'aspetto professionale, a depositare somme inizialmente modeste (che sembrano moltiplicarsi sul cruscotto della piattaforma), e poi a versare somme sempre più elevate, spesso attraverso bonifici bancari ordinari verso IBAN intestati a soggetti terzi — società di comodo, prestanome o conti di raccolta esteri.

Quando la vittima tenta di prelevare i propri fondi, la piattaforma richiede il pagamento di fantomatiche «tasse» o «commissioni», oppure diventa irraggiungibile. A quel punto la persona si rende conto di essere stata truffata.

Sotto il profilo della classificazione giuridica, ciò che ha compiuto è una serie di bonifici autorizzati: ha inserito le proprie credenziali, ha confermato ogni operazione con codice OTP, ha indicato lei stessa l'IBAN di destinazione. Non c'è stata nessuna sottrazione di credenziali, nessun accesso abusivo al suo conto. Il regime dell'art. 10 del d.lgs. n. 11/2010 non è applicabile.

4Confronto tra le due fattispecie

5Le vie effettivamente percorribili per chi ha autorizzato il bonifico

La premessa — che il regime del d.lgs. n. 11/2010 non si applica — non significa che la vittima sia priva di ogni tutela. Significa che occorre individuare le fondamenta giuridiche corrette su cui costruire la propria pretesa. Ve ne sono almeno tre, tra loro complementari.

5.1 La responsabilità della banca ricevente per carenze nei presidi antiriciclaggio

Il decreto legislativo 21 novembre 2007, n. 231 (normativa antiriciclaggio) impone agli istituti di credito — in qualità di soggetti obbligati — di effettuare l'adeguata verifica della clientela, il monitoraggio continuativo delle operazioni e la segnalazione di operazioni sospette (SOS) all'Unità di Informazione Finanziaria (UIF). Quando un conto bancario viene utilizzato sistematicamente come conto di raccolta per fondi provenienti da truffe, ci si interroga sulla diligenza con cui la banca ricevente ha assolto i propri obblighi di verifica e segnalazione.

La tesi — da valutare caso per caso e non generalizzabile in modo automatico — è che la banca ricevente, qualora avesse effettuato un monitoraggio adeguato del conto del beneficiario, avrebbe potuto e dovuto rilevare segnali di anomalia (movimentazioni atipiche, accrediti multipli da soggetti diversi in breve tempo, prelievi immediati) e segnalare l'operazione o bloccare il conto. L'omissione di questi controlli può integrare, in presenza di tutti i presupposti, un profilo di responsabilità civile aquiliana ai sensi dell'art. 2043 del codice civile, o concorrere a fondare un'azione risarcitoria.

Si tratta, è opportuno precisarlo, di un percorso complesso: richiede di dimostrare che la banca era o avrebbe dovuto essere a conoscenza di specifici segnali d'allarme, e che tra l'omissione e il danno subito esiste un nesso causale. Non è un rimedio automatico, e l'esito di ogni singolo procedimento dipende dalle circostanze concrete. 

5.2 L'azione penale: sequestro e confisca

Sul versante penale, la truffa online integra la fattispecie di cui all'art. 640 del codice penale (truffa), eventualmente aggravata ai sensi del secondo comma — ad esempio in presenza di abuso della qualità di operatore del sistema informatico, o del numero delle vittime — o, se il raggiro implica la manipolazione di sistemi informatici, la diversa fattispecie della frode informatica ex art. 640-ter c.p. La querela tempestiva apre la strada al sequestro conservativo o preventivo dei conti su cui i fondi sono transitati, misura che può precorrere un'eventuale confisca e consentire, almeno in parte, il recupero delle somme.

Il tracciamento dei flussi finanziari — operazione tecnica che nei casi di criptovalute richiede competenze specifiche di blockchain analysis — è preliminare all'adozione di qualsiasi misura cautelare reale. Lo Studio Legale Giammatteo assiste i clienti in questo percorso, dalla presentazione della querela alla collaborazione con le autorità inquirenti nelle fasi di indagine.

5.3 Il servizio di verifica del beneficiario: la novità regolamentare del 2024

La terza via — e la più innovativa sotto il profilo normativo — nasce dall'entrata in vigore del regolamento (UE) 2024/886 del Parlamento europeo e del Consiglio del 13 marzo 2024, che ha modificato, tra l'altro, il regolamento (UE) n. 260/2012 introducendovi l'art. 5-quater. La norma impone al prestatore di servizi di pagamento del pagatore di verificare, prima dell'esecuzione di un bonifico in euro — sia ordinario sia istantaneo — la corrispondenza tra l'IBAN indicato dal pagatore e il nome del beneficiario comunicato dal pagatore stesso, e di informare il cliente dell'esito di tale verifica prima che l'ordine sia irrevocabile.

Per i prestatori operanti nell'area euro, questo obbligo si applica a decorrere dal 9 ottobre 2025. 

La rilevanza pratica di questa disposizione per le truffe in criptovalute e in investimenti online è immediata e difficilmente sopravvalutabile. In questi schemi di frode, il bonifico viene indirizzato verso conti intestati a soggetti che nulla hanno a che vedere con la piattaforma o il soggetto cui la vittima crede di star pagando: il nome del beneficiario reale dell'IBAN (un prestanome, una società di comodo, un individuo compiacente) è sistematicamente diverso dal nome della «piattaforma» o del «consulente» indicato dal truffatore. Il disallineamento tra IBAN e nome del beneficiario è la regola, non l'eccezione.

Se la banca ordinante — dopo il 9 ottobre 2025 — esegue il bonifico senza aver offerto al cliente il servizio di verifica, oppure fornisce un esito di mancata corrispondenza senza adeguatamente segnalarlo e senza consentire al cliente di prendere una decisione informata, si apre un autonomo titolo di responsabilità a carico del prestatore, che prescinde dalla questione dell'autorizzazione dell'ordine di pagamento. Non si tratta più di discutere se il cliente «poteva accorgersi» della truffa: si tratta di verificare se la banca ha adempiuto a un obbligo di verifica e comunicazione che il legislatore europeo le ha espressamente imposto.

6Il ruolo dell'Arbitro Bancario Finanziario

L'ABF è un sistema di risoluzione alternativa delle controversie tra clienti e intermediari bancari e finanziari, istituito ai sensi dell'art. 128-bis del decreto legislativo 1° settembre 1993, n. 385 (Testo Unico Bancario). Il suo accesso è gratuito per il ricorrente (fatta eccezione per un contributo di importo limitato, che viene restituito in caso di accoglimento del ricorso) e rappresenta spesso il primo livello di tutela da esplorare.

Come già osservato, l'ABF ha tendenzialmente rigettato i ricorsi fondati sull'art. 10 del d.lgs. n. 11/2010 in casi di bonifici autorizzati dalla vittima. Tuttavia, l'ABF può pronunciarsi su profili diversi: la violazione di obblighi informativi da parte della banca, la correttezza delle procedure seguite, e — dopo l'entrata in vigore degli obblighi di cui all'art. 5-quater del regolamento (UE) n. 260/2012 come modificato — l'eventuale inadempimento al servizio di verifica del beneficiario.

Il ricorso ABF è esperibile dopo aver presentato un reclamo scritto all'intermediario e atteso il termine di trenta giorni per la risposta (o ricevuta una risposta insoddisfacente). I collegi territoriali dell'ABF esaminano le controversie di valore non superiore a centocinquantamila euro; per le questioni di principio e quelle che superano tale soglia, interviene il Collegio di Coordinamento.

7Cosa fare immediatamente dopo aver scoperto la truffa

Il fattore tempo è determinante. Alcune azioni devono essere compiute nel più breve tempo possibile, perché i fondi possono essere rapidamente trasferiti su altri conti o convertiti in criptovalute difficili da tracciare.

In primo luogo, occorre contattare immediatamente la propria banca per segnalare la truffa e richiedere — nella misura in cui sia tecnicamente possibile — il blocco o il richiamo del bonifico. I bonifici ordinari possono essere revocati prima dell'esecuzione; quelli istantanei, per definizione, sono eseguiti in pochi secondi e la revoca è praticamente impossibile. La segnalazione tempestiva è comunque utile ai fini della documentazione del caso.

In secondo luogo, è essenziale conservare tutta la documentazione: screenshot delle conversazioni, e-mail, profili social, siti web visitati (con relative URL), ricevute dei bonifici, estratti conto. Questa documentazione è indispensabile per la querela e per qualsiasi procedimento successivo.

In terzo luogo, occorre presentare querela presso la Polizia Postale o qualsiasi altra autorità di polizia giudiziaria. La querela deve essere presentata tempestivamente, soprattutto qualora i reati contestati siano procedibili a querela e siano soggetti a termini di decadenza.

Infine, è opportuno consultare un legale specializzato prima di inviare comunicazioni scritte alla banca o di formulare richieste risarcitorie, per impostare la strategia corretta fin dall'inizio ed evitare di pregiudicare posizioni che potrebbero essere tutelate.

8Sintesi delle strade percorribili

9Prospettive e conclusioni

Il quadro normativo in materia di tutela delle vittime di pagamenti autorizzati con inganno è in evoluzione. L'introduzione dell'obbligo di verifica IBAN/nome del beneficiario da parte del regolamento (UE) 2024/886 rappresenta il cambiamento strutturalmente più rilevante degli ultimi anni: per la prima volta, il legislatore europeo attribuisce espressamente al prestatore di servizi di pagamento del pagatore un ruolo attivo nella prevenzione delle frodi da bonifico, e la violazione di tale ruolo può generare responsabilità.

Per le vittime di truffe già consumate — quelle che hanno disposto bonifici prima del 9 ottobre 2025 — i percorsi rimangono più impervi, ma non sono inesistenti: richiedono un'analisi attenta delle circostanze concrete, della condotta della banca ricevente e delle possibilità offerte dal procedimento penale. Per le vicende future, il regime che si profila è più favorevole alla vittima, almeno sotto il profilo della responsabilità del proprio istituto di credito.

In entrambi i casi, la valutazione deve essere affidata a professionisti che abbiano esperienza specifica nel diritto bancario, nei servizi di pagamento e, quando le criptovalute sono coinvolte, nel tracciamento dei flussi su blockchain. Presentarsi in banca con la convinzione che «devono rimborsarmi perché sono stato truffato» — senza una corretta impostazione giuridica — non solo non porta al risultato sperato, ma può pregiudicare le concrete possibilità di tutela.