Bonifico fraudolento dal conto corrente: quando la banca deve rimborsare il cliente?

Ti svegli, apri l’app della banca e scopri che dal tuo conto è partito un bonifico da 2.700 euro. Non si tratta di un pagamento fatto alle tre del pomeriggio, magari mentre eri davanti al computer. L’operazione risulta disposta alle 4:46 del mattino, verso un IBAN lituano mai utilizzato prima. A quel punto la domanda è semplice: se qualcuno riesce a disporre un bonifico dal tuo home banking, la banca può limitarsi a dire “sono state usate le sue credenziali”?

Secondo il Giudice di Pace di Empoli, no. Nel caso esaminato, l’istituto di credito è stato condannato a restituire al correntista la somma sottratta tramite un bonifico fraudolento collegato a un malware veicolato da un falso aggiornamento di Google Chrome. Il punto, quindi, non riguarda solo la prudenza del cliente. Riguarda anche il ruolo professionale della banca nella gestione dei servizi di pagamento.

Il Testo Unico Bancario inquadra i servizi di pagamento tra le attività bancarie e finanziarie. Quando la banca mette a disposizione l’home banking, non offre un semplice accesso online al conto corrente. Sta gestendo un servizio di pagamento, con tutti i rischi operativi e informatici che ne derivano. Proprio per questo deve adottare misure adeguate di controllo, sicurezza e prevenzione delle frodi.

La disciplina specifica delle operazioni di pagamento non autorizzate prevede un principio molto importante.

Se il cliente nega di aver autorizzato l’operazione, spetta alla banca provare che il pagamento sia stato autenticato, correttamente registrato e contabilizzato.

Deve inoltre dimostrare che non vi siano stati malfunzionamenti o carenze nelle procedure. Tradotto: non basta dire “la password era giusta”.

Nelle frodi informatiche, infatti, il truffatore riesce spesso a usare credenziali apparentemente corrette. È proprio questo il problema, non la soluzione. Per questo la banca deve dimostrare di avere sistemi di controllo capaci di intercettare operazioni anomale. Nel caso deciso a Empoli gli indici erano evidenti: orario notturno, beneficiario nuovo, IBAN estero, importo rilevante.

In sostanza: se ti svuotano il conto, non è automaticamente colpa tua solo perché qualcuno ha usato le tue credenziali. La banca deve provare di aver fatto la banca. Deve cioè controllare, vigilare e bloccare ciò che appare fuori schema. Altrimenti il sistema di sicurezza diventa una porta blindata disegnata sul muro.

Morale pratica: in caso di bonifico sospetto, denuncia immediata, reclamo scritto e conservazione di notifiche, estratti conto, SMS ed email. Prima di accettare la frase “è colpa sua”, conviene chiedere quali controlli antifrode siano stati concretamente attivati. La responsabilità non può essere scaricata sul cliente in automatico. Perché se il caveau ha i buchi, non può pagare sempre il correntista.

Fonti

• Giudice di Pace di Empoli, sentenza 18 marzo 2026, n. 32.
• Testo Unico Bancario, d.lgs. 1 settembre 1993, n. 385.
• D.lgs. 27 gennaio 2010, n. 11, art. 10, in materia di servizi di pagamento e operazioni non autorizzate.