Spoofing bancario: cos'è, come funziona e come tutelarsi
Lo spoofing bancario è una truffa in rapida diffusione che sfrutta la falsificazione del numero chiamante per ingannare i correntisti. Scopri come funziona l'attacco, quali diritti ti spettano nei confronti della banca e cosa fare subito per tutelarti.
Ogni anno migliaia di correntisti italiani ricevono una telefonata o un messaggio che sembra provenire dalla propria banca. Il numero è quello giusto, il tono è quello di sempre, l'urgenza è reale. Eppure si tratta di una truffa sofisticata, nota come spoofing bancario. Comprendere come funziona questo attacco, quali diritti si hanno nei confronti dell'istituto di credito e come agire tempestivamente può fare la differenza tra subire il danno in silenzio e ottenere tutela effettiva.
1Che cos'è lo spoofing bancario: definizione e distinzione dalle frodi affini
Il termine spoofing deriva dall'inglese e indica, in senso tecnico, la falsificazione di un'identità digitale. Nel contesto bancario, lo spoofing consiste nella manipolazione del numero telefonico chiamante o del mittente di un SMS in modo che sul display della vittima compaia il numero ufficiale della propria banca — lo stesso che figura sul retro della carta di credito o nell'app dell'istituto.
Questa tecnica si distingue da altre forme di frode informatica con cui spesso si sovrappone:
| Tecnica | Canale principale | Elemento distintivo |
|---|---|---|
| Spoofing bancario | Telefonia vocale o SMS | Falsificazione del numero/mittente per simulare la banca |
| Phishing | E-mail o siti web | Pagine o messaggi contraffatti che inducono a inserire credenziali |
| Vishing | Telefonia vocale | Manipolazione psicologica tramite voce, senza necessariamente falsificare il numero |
| Smishing | SMS | Link fraudolenti contenuti in messaggi di testo, anche senza spoofing del mittente |
Lo spoofing bancario è particolarmente insidioso perché il numero visualizzato corrisponde realmente a quello dell'istituto: la vittima non ha elementi visivi per insospettirsi. In molti casi il messaggio fraudolento si inserisce addirittura nella stessa conversazione SMS che il correntista aveva in precedenza con la banca autentica, rendendo l'inganno pressoché invisibile a occhio nudo.
2Come si svolge concretamente l'attacco: le fasi tipiche
Un attacco di spoofing bancario segue generalmente uno schema articolato in tre fasi successive.
Prima fase — il contatto iniziale. La vittima riceve una telefonata o un SMS apparentemente proveniente dalla banca. Il contenuto è allarmante: un'operazione sospetta sul conto, un accesso non autorizzato, un blocco imminente della carta. L'urgenza è costruita artificialmente per impedire qualsiasi riflessione critica.
Seconda fase — la richiesta del codice OTP. L'operatore (in realtà un truffatore) chiede alla vittima di comunicare il codice OTP (One-Time Password) ricevuto via SMS, presentandolo come una procedura di sicurezza necessaria per bloccare l'operazione anomala. In realtà, in quello stesso momento il criminale sta eseguendo un bonifico o un'operazione di pagamento sull'home banking della vittima: il sistema della banca invia l'OTP come verifica della transazione, e la vittima lo consegna inconsapevolmente al truffatore.
Terza fase — il bonifico fraudolento. Con il codice OTP, l'operazione viene autorizzata. I fondi vengono trasferiti su un conto terzo — spesso un conto "mulo" controllato dall'organizzazione criminale — e da lì rapidamente smistati, talvolta in criptovalute, per renderne più difficile il tracciamento.
3I profili penali: le norme potenzialmente applicabili
Lo spoofing bancario non integra un'unica fattispecie penale, ma può configurare una pluralità di reati, spesso contestati in concorso tra loro. Le disposizioni del codice penale più frequentemente richiamate in questi procedimenti sono le seguenti.
Frode informatica (art. 640-ter c.p.) — Si tratta della norma cardine. La disposizione punisce chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico, ovvero intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema, procura a sé o ad altri un ingiusto profitto con altrui danno. L'aggravante al terzo comma, introdotta dalla legge 23 dicembre 1993 n. 547, si applica qualora il fatto sia commesso con abuso della qualità di operatore del sistema.
Sostituzione di persona (art. 494 c.p.) — Chiunque, al fine di procurare a sé o ad altri un vantaggio o di recare ad altri un danno, induce taluno in errore, sostituendo illegittimamente la propria all'altrui persona, commette il reato previsto da questa norma. Nel caso dello spoofing, la condotta di chi si spaccia per un operatore bancario — amplificata dalla falsificazione del numero chiamante — appare riconducibile a questa fattispecie.
Accesso abusivo a sistema informatico (art. 615-ter c.p.) — Qualora i truffatori accedano illecitamente al sistema di home banking della vittima o della banca, si configura anche questa fattispecie. La norma punisce chi si introduce abusivamente in un sistema informatico o telematico protetto da misure di sicurezza.
4La responsabilità della banca: quando ha l'obbligo di rimborsare
Uno degli aspetti più rilevanti per la vittima è capire se e quando la banca è tenuta a restituire le somme sottratte. Il quadro normativo di riferimento è il decreto legislativo 27 gennaio 2010 n. 11, che recepisce la Direttiva europea sui servizi di pagamento (PSD2), come modificato dal decreto legislativo 15 dicembre 2017 n. 218.
In base all'art. 10 del d.lgs. 11/2010, nel caso di operazioni di pagamento non autorizzate, il prestatore di servizi di pagamento è tenuto a rimborsare immediatamente l'importo dell'operazione non autorizzata. La norma pone in capo alla banca l'onere di provare che l'operazione è stata autenticata, correttamente registrata e non affetta da guasti tecnici.
Il punto più delicato riguarda la condotta del correntista. L'art. 7 del medesimo decreto impone all'utente di adottare tutte le misure ragionevoli per proteggere le credenziali di sicurezza personalizzate. Se la vittima ha comunicato volontariamente il codice OTP, la banca può opporre che il correntista ha agito con colpa grave o, nei casi più estremi, con dolo, riducendo o escludendo la propria responsabilità ai sensi dell'art. 12 del d.lgs. 11/2010.
Tuttavia, la giurisprudenza arbitrale e ordinaria tende a valutare con attenzione le circostanze concrete: quando il sistema di spoofing è talmente sofisticato da rendere oggettivamente impossibile per un utente medio riconoscere la frode, la responsabilità viene frequentemente attribuita — almeno in parte — alla banca, che è tenuta ad adottare misure di sicurezza adeguate. In particolare, l'Arbitro Bancario Finanziario (ABF) ha elaborato nel tempo orientamenti significativi in materia.
La distinzione cruciale è tra l'operazione autenticata (la banca ha ricevuto l'OTP) e l'operazione autorizzata (il correntista ha dato il consenso consapevole alla transazione): nel caso di spoofing, l'autenticazione tecnica vi è stata, ma il consenso è stato carpito con l'inganno. Questo argomento costituisce la leva giuridica principale su cui si fonda la richiesta di rimborso.
5Cosa fare subito dopo la truffa: il protocollo operativo
Agire tempestivamente è fondamentale, sia per limitare il danno sia per preservare gli elementi di prova.
- Bloccare immediatamente carte e accesso all'home banking, contattando il numero antifrode ufficiale della banca (quello stampato sul retro della carta o pubblicato sul sito istituzionale, non quello che ha chiamato).
- Non cancellare nulla: conservare gli SMS, i log delle chiamate, le schermate dell'app bancaria e qualsiasi comunicazione ricevuta. Queste prove documentali sono essenziali per la denuncia e per il ricorso ABF.
- Sporgere querela o denuncia presso la Polizia Postale o qualsiasi ufficio di Polizia Giudiziaria, descrivendo i fatti in modo dettagliato e allegando copia delle prove raccolte. Il numero di protocollo della denuncia sarà necessario per le fasi successive.
- Contestare formalmente l'operazione presso la banca, tramite raccomandata A/R o PEC, invocando la disciplina delle operazioni non autorizzate ex d.lgs. 11/2010 e richiedendo il rimborso immediato.
- Presentare ricorso all'ABF qualora la banca non risponda positivamente entro trenta giorni dalla contestazione. Il ricorso è gratuito per il cliente e può essere presentato tramite il portale dell'Arbitro Bancario Finanziario.
- Valutare l'assistenza legale per la quantificazione del danno complessivo, inclusi eventuali danni non patrimoniali, e per l'eventuale azione giudiziaria ordinaria qualora il ricorso ABF non produca risultati satisfattivi.
6Domande frequenti (FAQ)
La banca può rifiutare il rimborso se ho comunicato io stesso il codice OTP?
Sì, la banca può opporre il rifiuto sostenendo che il correntista ha agito con colpa grave, ai sensi dell'art. 12 del d.lgs. 11/2010. Tuttavia, non è detto che il rifiuto sia definitivo. La valutazione della colpa grave dipende dalle circostanze concrete: se l'attacco di spoofing era talmente verosimile — per esempio, perché il numero visualizzato era identico a quello ufficiale e il messaggio si inseriva nella stessa conversazione SMS con la banca — vi sono argomenti giuridicamente fondati per sostenere che il comportamento del correntista rientri nella soglia della colpa ordinaria e non grave, con conseguente obbligo di rimborso a carico della banca. È in questi casi che l'assistenza di un legale esperto risulta determinante.
Devo sporgere querela o denuncia? C'è differenza?
La distinzione ha rilievo procedurale. Per i reati perseguibili a querela di parte — come la truffa ordinaria ex art. 640 c.p. nella sua forma base — è necessario che la vittima presenti querela entro tre mesi dal momento in cui ha avuto conoscenza del fatto (art. 124 c.p.). La frode informatica ex art. 640-ter c.p. è invece, nella maggior parte delle ipotesi, perseguibile d'ufficio: in tal caso è sufficiente una denuncia, che non è soggetta a termini di decadenza nel senso proprio. In ogni caso, è consigliabile agire quanto prima e presentare un atto unico che contenga sia gli elementi della querela sia quelli della denuncia, indicando tutti i reati astrattamente configurabili. La Polizia Postale è l'interlocutore istituzionale più attrezzato per i reati informatici di questo tipo.
Entro quando devo agire per non perdere i miei diritti?
Sul piano penale, come detto, i termini variano a seconda della procedibilità del reato: per i reati procedibili a querela il termine è di tre mesi dalla conoscenza del fatto (art. 124 c.p.). Sul piano civile e bancario, l'art. 11 del d.lgs. 11/2010 prevede che il pagatore debba comunicare senza indugio alla banca l'operazione non autorizzata e, comunque, non oltre tredici mesi dalla data di addebito. Sul piano del ricorso ABF, è necessario che sia trascorso un tempo ragionevole dalla contestazione alla banca (generalmente trenta giorni) senza risposta soddisfacente, e il ricorso deve essere presentato entro dodici mesi dalla presentazione del reclamo alla banca. Agire tempestivamente su tutti i fronti è quindi essenziale.
Posso rivolgermi all'ABF senza un avvocato?
Sì. Il procedimento dinanzi all'Arbitro Bancario Finanziario è gratuito per il ricorrente e non richiede l'assistenza obbligatoria di un difensore. Tuttavia, la qualità della documentazione presentata e la capacità di argomentare correttamente il fondamento giuridico della pretesa — distinguendo tra operazione non autenticata e operazione non autorizzata, e spostando l'onere della prova sulla banca — influiscono in modo significativo sull'esito del procedimento. Per casi di una certa complessità o per importi rilevanti, l'assistenza di un professionista esperto è generalmente consigliabile.
Se la banca mi rimborsa, il procedimento penale si chiude?
No. Il rimborso da parte della banca è una vicenda che attiene al rapporto contrattuale tra correntista e istituto di credito; il procedimento penale nei confronti dei responsabili della truffa segue un percorso autonomo e non si estingue per effetto del risarcimento privato, salvo nel caso di reati per i quali la legge prevede espressamente l'estinzione mediante risarcimento o remissione della querela. Per i reati perseguibili d'ufficio, come la frode informatica, il procedimento prosegue indipendentemente dall'esito del rimborso. Presentare denuncia/querela ha quindi un valore che va oltre il singolo caso: contribuisce a costruire un quadro investigativo utile a contrastare organizzazioni criminali che operano su scala spesso transazionale.
I fondi sottratti tramite spoofing possono essere recuperati?
Il recupero effettivo delle somme dipende da molteplici fattori: la tempestività della segnalazione alla banca, la disponibilità dei fondi ancora presenti sul conto di destinazione al momento del blocco, la cooperazione tra istituti bancari e l'eventuale attivazione di procedure di recall del bonifico. Quando i fondi vengono rapidamente convertiti in criptovalute o trasferiti all'estero, il tracciamento e il recupero diventano significativamente più complessi. Nessuna procedura può garantire il recupero integrale delle somme; tuttavia, un'azione coordinata e tempestiva — denuncia, blocco immediato, contestazione alla banca — aumenta concretamente le possibilità di limitare il danno subito.
Hai subìto uno spoofing bancario o un'operazione non autorizzata sul tuo conto? Lo Studio Legale Giammatteo assiste privati e imprese nella tutela dei diritti derivanti da frodi informatiche, nella gestione dei rapporti con gli istituti bancari e nei procedimenti dinanzi all'Arbitro Bancario Finanziario e all'autorità giudiziaria. Contattaci per una prima valutazione del tuo caso.
Studio Legale Giammatteo
Via Nicandro Iosso n. 6 — 86079 Venafro (IS)
PEC: studiolegale@pec.giammatteo.it
Prenota una videoconsulenza
Colloquio a distanza con l'avvocato, su appuntamento. Durata 30 minuti, compenso 190,00 €, da versare online al momento della prenotazione.
Contatti dello Studio
Telefonare o scrivere allo Studio non comporta alcun costo: il riscontro arriva di norma entro un giorno lavorativo.
- Via Nicandro Iosso 6, 86079 Venafro, (IS)
- 0865 1945640
- studiolegale@giammatteo.it
- PEC: studiolegale@pec.giammatteo.it
Rimborso banca
Poche domande separano l'operazione che non hai disposto dal pagamento che hai fatto tu, ingannato: due situazioni con esiti diversi. Indica cosa fare subito e quali prove salvare.
Apri lo strumento
Discussione
Un commento
Giuseppe
Studio Legale Giammatteo Risposta dello Studio
La querela è un passo corretto, ma da sola non le restituisce il denaro: serve a perseguire gli autori, che spesso restano non identificati. La tutela economica passa invece, di regola, dal rapporto con la sua banca. Il D.Lgs. 27 gennaio 2010, n. 11, che recepisce la normativa europea sui servizi di pagamento, prevede che, in caso di operazione non autorizzata, la banca debba rimborsare il cliente, salvo provare che l’operazione è stata correttamente autenticata e che il cliente ha agito con dolo o colpa grave (artt. 10, 11 e 12). Grava quindi sull’istituto l’onere di dimostrare la negligenza grave del cliente, e la giurisprudenza e l’Arbitro Bancario Finanziario valutano con attenzione la credibilità delle tecniche di spoofing, che imitano numeri e messaggi della banca.
Un punto decisivo, che non posso valutare da qui, è come è avvenuto il trasferimento: se l’operazione è stata disposta da terzi con le sue credenziali o se è stato lei stesso, ingannato, a eseguire il bonifico. Le due ipotesi hanno un trattamento giuridico diverso e la seconda è più complessa, anche se non necessariamente senza via d’uscita.
Nel frattempo, se non lo ha già fatto, le consiglio di inviare subito alla banca un reclamo scritto, contestando l’operazione e chiedendo il rimborso e il richiamo del bonifico, allegando la querela. In caso di rifiuto o di mancata risposta, è possibile rivolgersi all’Arbitro Bancario Finanziario, procedura rapida e poco costosa, o agire in giudizio.
La invito a non pubblicare qui ulteriori dettagli sul suo caso. Se desidera, può scrivermi in privato con la documentazione e valuteremo insieme la strada più efficace.