1. Le frodi informatiche ed il phishing <\/h2>\n\n\n\n
Il phishing,<\/strong> variante di fishing<\/strong> cio\u00e8 “pescare”,<\/em> \u00e8 una tipologia di frode informatica, realizzata attraverso l\u2019invio di e-mail contraffatte, per carpire dati riservati (quali numeri di carta di credito, password, informazioni relative ad account) oppure convincendo la vittima a compiere determinate azioni. Alcune varianti del phishing sono: lo smishing<\/em> (invio di SMS) e il vishing<\/em> (chiamata telefonica). I malintenzionati, fingendosi un ente affidabile, una banca o un corriere usano principalmente tecniche di social engineering<\/strong>: analizzano le abitudini delle potenziali vittime per sottrarre informazioni utili ed infatti \u00e8 necessaria la partecipazione attiva della vittima.<\/strong> Attualmente il phishing si pu\u00f2 considerare la principale minaccia per la sicurezza del settore bancario:<\/strong> l\u2019autore, tramite una e-mail, si presenta come la banca e induce la vittima, creando solitamente un senso di urgenza, a cliccare su un link ed a condividere i propri dati bancari. <\/p>\n\n\n\n La condotta del phishing rileva ai sensi dell\u2019articolo 640-ter del codice penale:<\/p>\n\n\n\n \u201cChiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico<\/strong> o intervenendo senza diritto con qualsiasi modalit\u00e0 su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti,<\/strong> procura a s\u00e9 o ad altri un ingiusto profitto con altrui danno,<\/strong> \u00e8 punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a 1.032.\u201d<\/p>\n\n\n\n La pena \u00e8 della reclusione da uno a cinque anni e della multa da trecentonove euro a millecinquecentoquarantanove euro se ricorre una delle circostanze previste dal numero 1) del secondo comma dell’articolo 640<\/a>,<\/a> ovvero se il fatto produce un trasferimento di denaro,<\/strong> di valore monetario o di valuta virtuale o \u00e8 commesso con abuso della qualit\u00e0<\/a> <\/a>di operatore del sistema. <\/p>\n\n\n\n \u2192La pena \u00e8 della reclusione da due a sei anni e della multa da euro 600 a euro 3.000 se il fatto \u00e8 commesso con furto o indebito utilizzo dell’identit\u00e0 digitale in danno di uno o pi\u00f9 soggetti.<\/strong> <\/p>\n\n\n\n Il delitto \u00e8 punibile a querela<\/a> <\/a>della persona offesa<\/a>,<\/a> salvo che ricorra taluna delle circostanze di cui al secondo e terzo comma o la circostanza prevista dall’articolo 61<\/a>,<\/a> primo comma, numero 5, limitatamente all’aver approfittato di circostanze di persona, anche in riferimento all’et\u00e0.\u201d<\/p>\n\n\n\n Riguardo al terzo comma, come chiarito dalla Sezione II Penale della Corte di Cassazione, 14 febbraio 2024 n. 13559<\/strong>, la nozione di identit\u00e0 digitale<\/strong> ai fini dell\u2019aggravante di frode informatica si applica anche ai sistemi gestiti dai privati,<\/strong> come le piattaforme di e-commerce e l\u2019home banking<\/strong> (credenziali bancarie, chiavette elettroniche che generano OTP\/PIN per il conto corrente) e non presuppone necessariamente una validazione da parte della Pubblica Amministrazione.<\/p>\n\n\n\n La distinzione con la truffa, articolo 640 del codice penale, \u00e8 decisiva: <\/p>\n\n\n\n \u201cChiunque, con artifizi o raggiri, inducendo taluno in errore<\/strong>, procura a s\u00e9 o ad altri un ingiusto profitto con altrui danno<\/strong>, \u00e8 punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a euro 1.032.\u201d <\/p>\n\n\n\n Infatti secondo la Cassazione n. 3065\/1999 sono presenti nella frode informatica gli stessi elementi costitutivi della truffa, ma l\u2019attivit\u00e0 fraudolenta non investe la persona, bens\u00ec il sistema informatico.<\/strong> La frode informatica richiede un intervento dell\u2019agente sul sistema; la truffa invece opera inducendo in errore la vittima. Nel phishing , che potremmo considerare classico, il criminale usa le credenziali sottratte e dispone lui stesso l\u2019operazione, mentre nelle frodi da manipolazione \u00e8 il cliente, ingannato, a disporre il pagamento. \u00c8 fondamentale comprendere questa distinzione perch\u00e9 come si vedr\u00e0 in seguito, da un lato si tratta di un\u2019operazione che non \u00e8 stata autorizzata, dall\u2019altra invece vi \u00e8 una autorizzazione frutto di inganno. <\/strong><\/p>\n\n\n\n I dati pi\u00f9 recenti confermano che il phishing sia un fenomeno rilevante e in rapida trasformazione: <\/p>\n\n\n\n La quarta divisione del servizio polizia postale per la sicurezza cibernetica, nell\u2019azione di contrasto pi\u00f9 recente al c.d. Financial Cybercrime, ha confermato la persistente diffusione di condotte truffaldine. Nel report annuale 2025 della Polizia Postale (dati consolidati al 21\/12\/2025) il cyber crime economico-finanziario conta 27.085 procedimenti trattati.<\/p>\n\n\n\n \u00a0\u00a0\u00a0 [Immagine: Polizia Postale, Report Annuale 2025]<\/em><\/p>\n\n\n\n L\u2019autorit\u00e0 bancaria europea (EBA) e la Banca Centrale Europea (BCE) nel rapporto congiunto del dicembre 2025<\/strong> stimano le frodi nei pagamenti nello spazio economico europeo in 4,2 miliardi di euro nel 2024 e 3,5 miliardi nel 2023. Per i bonifici circa l\u201985% delle perdite \u00e8 rimasto a carico degli utenti, soprattutto per le truffe che li hanno indotti a disporre operazioni fraudolente.<\/p>\n\n\n\n \u00abCome mostra il Grafico 1a, i bonifici presentano il tasso di frode pi\u00f9 basso. Poich\u00e9 i bonifici hanno rappresentato la quota pi\u00f9 elevata di frodi in termini di valore, tale tasso riflette l’elevato valore complessivo di questo strumento e il fatto che, nel suo utilizzo, la SCA viene applicata pi\u00f9 spesso. Tra il 2023 e il 2024 i tassi annui di frode, pur restando notevolmente bassi, sono aumentati per i bonifici, gli addebiti diretti e i prelievi di contante, mentre sono diminuiti per i pagamenti con carta e la moneta elettronica.\u00bb <\/p>\n\n\n\n <\/p>\n<\/blockquote>\n\n\n\n \u00a0\u00a0\u00a0 [Grafico 1a- fonte EBA-BCE, 2025 Report on Payment fraud]<\/em><\/p>\n\n\n\n \u00abQuanto ai volumi, il numero di operazioni fraudolente segnalate per tutti gli strumenti \u00e8 aumentato di poco pi\u00f9 di 1,8 milioni tra il 2023 e il 2024 (un incremento annuo del 10%), raggiungendo i 19,6 milioni di operazioni (cfr. Grafico 1b). Le frodi nei pagamenti con carta hanno rappresentato il numero pi\u00f9 elevato di operazioni fraudolente in tutti i periodi di rilevazione. L’elevato numero di operazioni fraudolente nei pagamenti con carta potrebbe indicare che i truffatori sfruttano le operazioni di basso importo per le quali l’autenticazione forte del cliente (SCA) pu\u00f2 non essere applicata, facendo leva sulle esenzioni dalla SCA. Nel 2024 sono state eseguite circa 17,06 milioni di operazioni fraudolente con carta, su circa 111,05 miliardi di operazioni disposte con carte emesse nell’UE\/SEE. Il tasso annuo di frode sui volumi delle carte \u00e8 stato pari allo 0,015% del numero totale dei pagamenti con carta nel 2024, praticamente invariato rispetto al 2023. Nel complesso, pur restando il pi\u00f9 elevato rispetto agli altri strumenti, il tasso di frode nei pagamenti con carta si \u00e8 mantenuto piuttosto stabile e contenuto, in termini di volumi, in tutti i periodi di rilevazione analizzati.\u00bb<\/p>\n\n\n\n [Grafico 1b-Fonte EBA-BCE, 2025 Report on payment fraud]<\/p>\n\n\n\n La Banca d\u2019Italia nel Rapporto sulle operazioni di pagamento fraudolente<\/strong>, relativo al secondo semestre 2025<\/strong>, esamina i rischi legati ai principali strumenti di pagamento digitali offerti dai prestatori operanti in Italia per le operazioni al dettaglio: il tasso di frode \u00e8 pari a 3 euro ogni 100.000 transati (0,003% in valore). Si nota che la manipolazione del pagatore si conferma la forma prevalente di frode sui bonifici e su di essa i presidi di sicurezza risultano meno efficaci.<\/p>\n\n\n\n [Grafico- Fonte: Banca d\u2019Italia, Rapporto II semestre 2025]<\/p>\n\n\n\n \u201cIn termini di frequenza, il numero pi\u00f9 elevato di operazioni fraudolente si osserva per le operazioni con carte di pagamento, che rappresentano lo strumento pi\u00f9 utilizzato (circa il 65% del totale delle transazioni), seguite da quelle effettuate tramite moneta elettronica (prevalentemente carte prepagate). Il numero di bonifici fraudolenti disposti tramite PSP italiani \u00e8 pari a 31.900; le operazioni fraudolente con carte di pagamento e moneta elettronica ammontano, rispettivamente, a 457.500 e<\/p>\n\n\n\n 269.600, mentre i prelievi fraudolenti da ATM sono pari a 19.800.\u201d<\/p>\n\n\n\n L\u2019ABI- Associazione bancaria italiana- ha pubblicato a settembre 2026 un nuovo vademecum, in collaborazione con CERTFin, fornendo delle indicazioni pratiche per prevenire i rischi e operare in modo sicuro quando si utilizzano i canali bancari e di pagamento. All\u2019interno della loro guida viene evidenziata la prassi dei moderni cybercriminali, i quali si concentrano sul fattore umano, sfruttando delle tattiche di manipolazione psicologica, dopo aver analizzato le abitudini di una persona. <\/p>\n\n\n\n [Immagine ABI-CERTFin]<\/p>\n\n\n\n La disciplina della responsabilit\u00e0 per operazioni fraudolente<\/strong> poggia su una disciplina di matrice europea: la prima direttiva sui servizi di pagamento, la Direttiva 2007\/64\/CE cosiddetta PSD (Payment Services Directive<\/strong>) , \u00e8 stata recepita in Italia con il d.lgs. 27\/01\/2010 n. 11<\/strong>; la seconda, la Direttiva UE 2015\/2366, cosiddetta PSD2<\/strong>, non \u00e8 stata recepita in Italia con un nuovo testo autonomo, infatti il d.lgs. 15 dicembre 2017 n. 218, in vigore dal 13 gennaio 2018,<\/strong> ha modificato e integrato il d.lgs. 11\/2010, che nella sua versione vigente costituisce pertanto la disciplina italiana di attuazione della PSD2. Le principali finalit\u00e0 della Direttiva sono contrastare le frodi e accrescere la fiducia dei consumatori nei pagamenti digitali, modernizzando il quadro normativo che regola i servizi digitali innovativi. Per perseguire tali obiettivi \u00e8 stato adottato un nuovo strumento: Strong Customer Authentication<\/strong> (SCA). L\u2019adozione effettiva di tale strumento, come chiarito dall\u2019arbitro bancario finanziario, costituisce un presupposto giuridico e logico imprescindibile ai fini della valutazione della responsabilit\u00e0 dell\u2019intermediario. Infatti in sua assenza, il ricorso del cliente viene accolto (ABF Napoli, numero 772\/2026 e 826\/2026).<\/strong><\/p>\n\n\n\n Qui di seguito una tabella di alcune norme chiave:<\/p>\n\n\n\n <\/p>\n\n\n\n L\u2019autenticazione forte del cliente, Strong Customer Authentication (SCA), \u00e8 una procedura di verifica che richiede l\u2019uso di due o pi\u00f9 fattori di autenticazione indipendenti tra loro, per verificare l\u2019identit\u00e0 dell\u2019utente quando effettua pagamenti online o accede ai conti.<\/strong> Si tratta di un requisito normativo introdotto dalla direttiva europea PSD2, al fine di migliorare la sicurezza ed impedire le frodi bancarie. <\/p>\n\n\n\n Tale nozione viene definita dalla direttiva stessa, ai sensi dell\u2019articolo 4 \u201cdefinizioni\u201d paragrafo 30:<\/p>\n\n\n\n \u201cun\u2019autenticazione basata sull\u2019uso di due o pi\u00f9 elementi, classificati nelle categorie della conoscenza<\/strong> (qualcosa che solo l\u2019utente conosce<\/strong>), del possesso<\/strong> (qualcosa che solo l\u2019utente possiede<\/strong>) e dell\u2019inerenza<\/strong> (qualcosa che caratterizza l\u2019utente<\/strong>), che sono indipendenti<\/strong>, in quanto la violazione<\/strong> di uno non compromette l\u2019affidabilit\u00e0<\/strong> degli altri, e che \u00e8 concepita in modo tale da tutelare la riservatezza dei dati di autenticazione.\u201d<\/p>\n\n\n\n L\u2019implementazione della SCA, ai sensi della PSD2, si fonda su alcuni requisiti essenziali:<\/p>\n\n\n\n L\u2019obbligo dell\u2019autenticazione forte \u00e8 previsto dall\u2019articolo 97 della PSD2: <\/p>\n\n\n\n \u201c1. Gli Stati membri provvedono a che un prestatore di servizi di pagamento<\/strong> applichi l\u2019autenticazione forte del cliente<\/strong> quando il pagatore:<\/p>\n\n\n\n L\u2019articolo 10-bis del D.lgs. 11\/2010 richiama l\u2019articolo 98 PSD2, poich\u00e9 \u00e8 questa la norma che affida all\u2019EBA il compito di elaborare le norme tecniche di regolamentazione, poi adottate con il Regolamento (UE) 2018\/389 della Commissione. Tale regolamento disciplina anche l\u2019esenzione da SCA: pagamenti di modesto importo, beneficiari di fiducia, operazioni ricorrenti e soprattutto operazioni giudicate basso rischio sulla base di un\u2019analisi in tempo reale. <\/p>\n\n\n\n L\u2019articolo 10-bis del D.lgs. cos\u00ec dispone:<\/p>\n\n\n\n \u201c1. Conformemente all’articolo 98 della direttiva (UE) 2015\/2366<\/a> <\/a>e alle relative norme tecniche di regolamentazione adottate dalla Commissione europea, i prestatori di servizi di pagamento applicano l’autenticazione forte del cliente quando l’utente:<\/p>\n\n\n\n nei pagamenti o altri abusi.<\/p>\n\n\n\n 2. Nel caso dell’avvio di un’operazione di pagamento elettronico di cui al paragrafo 1, lettera b), per le operazioni di pagamento elettronico a distanza, l’autenticazione forte del cliente applicata dai prestatori di servizi di pagamento comprende elementi che colleghino in maniera dinamica l’operazione a uno specifico importo e a un beneficiario specifico.\u201d<\/p>\n\n\n\n Soprattutto l\u2019articolo 2 del Regolamento delegato 2018\/389 impone alle banche meccanismi di monitoraggio delle operazioni: <\/strong><\/p>\n\n\n\n \u201c1. I prestatori di servizi di pagamento dispongono di meccanismi di monitoraggio delle operazioni che consentono loro di rilevare le operazioni di pagamento non autorizzate o fraudolente ai fini dell’attuazione delle misure di sicurezza di cui all’articolo 1, lettere a) e b).<\/strong><\/p>\n\n\n\n Detti meccanismi si basano sull’analisi delle operazioni di pagamento, tenendo conto di elementi che sono tipici dell’utente dei servizi di pagamento in condizioni di normale utilizzo delle credenziali di sicurezza personalizzate.<\/strong><\/p>\n\n\n\n 2. I prestatori di servizi di pagamento provvedono affinch\u00e9 i meccanismi di monitoraggio delle operazioni tengano conto, come minimo, dei seguenti fattori di rischio:<\/strong><\/p>\n\n\n\n Nonostante l\u2019avvenuta introduzione della SCA il sistema continua a fondarsi su una precisa distribuzione dell\u2019onere della prova tra cliente e banca. Assume qui un notevole rilievo l\u2019art 10 del D.lgs. 11\/2010:<\/p>\n\n\n\n \u201cQualora l’utente di servizi di pagamento neghi di aver autorizzato un’operazione di pagamento gi\u00e0 eseguita o sostenga che questa non sia stata correttamente eseguita<\/strong>, \u00e8 onere del prestatore di servizi di pagamento provare che l’operazione di pagamento \u00e8 stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti.<\/strong><\/p>\n\n\n\n 2. Quando l’utente di servizi di pagamento neghi di aver autorizzato un’operazione di pagamento eseguita, l’utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, non \u00e8 di per s\u00e9 necessariamente sufficiente a dimostrare che l’operazione sia stata autorizzata dall’utente medesimo, n\u00e9 che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o pi\u00f9 degli obblighi di cui all’articolo 7.<\/strong> \u00c8 onere del prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, fornire la prova della frode, del dolo o della colpa grave dell’utente.<\/strong>\u201d<\/p>\n\n\n\n L\u2019articolo 10 stabilisce che, nel caso in cui il cliente neghi di aver autorizzato un\u2019operazione di pagamento ormai eseguita o sostenga che essa sia stata eseguita in modo inesatto, incombe sulla banca l\u2019onere di dimostrare che l\u2019operazione sia stata autenticata, correttamente registrata e contabilizzata e che non abbia subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione.<\/strong><\/p>\n\n\n\n Qual \u00e8 l\u2019oggetto della prova richiesta alla banca?<\/p>\n\n\n\n Si richiede l\u2019affidabilit\u00e0 del proprio sistema organizzativo,<\/strong> oltre alla dimostrazione della regolare esecuzione tecnica dell\u2019operazione.<\/p>\n\n\n\n Quando possiamo ritenere che il corretto superamento della procedura di autenticazione coincida con l\u2019autorizzazione da parte del cliente? <\/p>\n\n\n\n Infatti l\u2019autenticazione, che prima era considerata indice di volont\u00e0 del cliente, potrebbe non essere necessariamente ricondotta all\u2019utilizzatore. A causa di ci\u00f2 si va a creare una dissociazione tra l\u2019autenticazione e l\u2019autorizzazione: la procedura tecnica con cui il sistema identifica il cliente ( ) pu\u00f2 essere corretta,<\/strong> ma l\u2019operazione pu\u00f2 essere che non sia una scelta libera, consapevole ed effettiva del cliente ( ).<\/strong><\/p>\n\n\n\n Qual \u00e8 la responsabilit\u00e0 della banca verso il cliente, vittima di una frode informatica?<\/p>\n\n\n\n Una volta accertato che la SCA \u00e8 stata adottata, il giudice o l\u2019ABF dovranno poi verificare se l\u2019intero sistema di sicurezza fosse concretamente idoneo a prevenire, intercettare o bloccare un\u2019operazione anomala. Per cui \u00e8 fondamentale distinguere la verifica della regolarit\u00e0 tecnica del pagamento dalla effettiva riferibilit\u00e0 al cliente. La banca deve dimostrare che:<\/p>\n\n\n\n Compresa questa distinzione tra autenticazione e autorizzazione<\/strong>, poniamo il caso in cui un cliente, vittima di phishing, abbia autenticato correttamente l\u2019operazione, pur non volendo autorizzarla. Se l\u2019operazione non \u00e8 stata autorizzata, si presenta l\u2019obbligo di rimborso dell\u2019articolo 73: <\/p>\n\n\n\n Articolo 73<\/em><\/p>\n\n\n\n Responsabilit\u00e0 del prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate<\/strong><\/p>\n\n\n\n \u201c1. Gli Stati membri provvedono affinch\u00e9, fatto salvo l\u2019articolo 71, nel caso di un\u2019operazione di pagamento non autorizzata il prestatore di servizi di pagamento del pagatore rimborsi al pagatore l\u2019importo dell\u2019operazione di pagamento non autorizzata, immediatamente e in ogni caso al pi\u00f9 tardi entro la fine della giornata operativa successiva a quella in cui prende atto dell\u2019operazione o riceve una notifica in merito, a meno che il prestatore di servizi di pagamento del pagatore abbia ragionevoli motivi per sospettare una frode e comunichi tali motivi per iscritto alla pertinente autorit\u00e0 nazionale competente.<\/strong> Se del caso, il prestatore di servizi di pagamento del pagatore riporta il conto di pagamento addebitato nello stato in cui si sarebbe trovato se l\u2019operazione di pagamento non autorizzata non avesse avuto luogo. Sar\u00e0 inoltre assicurato che la data valuta dell\u2019accredito sul conto di pagamento del pagatore non sia successiva alla data di addebito dell\u2019importo.\u201d<\/p>\n\n\n\n Articolo 74<\/em><\/p>\n\n\n\n Responsabilit\u00e0 del pagatore per le operazioni di pagamento non autorizzate<\/strong><\/p>\n\n\n\n \u201c1. In deroga all\u2019articolo 73 il pagatore pu\u00f2 essere obbligato a sopportare, a concorrenza massima di 50 EUR, la perdita relativa ad operazioni di pagamento non autorizzate derivante dall\u2019uso di uno strumento di pagamento smarrito o rubato o dall\u2019appropriazione indebita di uno strumento di pagamento.<\/strong> Il primo comma non si applica se:<\/p>\n\n\n\n Il pagatore sostiene tutte le perdite relative ad operazioni di pagamento non autorizzate<\/strong> se \u00e8 incorso in esse agendo in modo fraudolento o non adempiendo a uno o pi\u00f9 degli obblighi di cui all\u2019articolo 69 dolosamente o con negligenza grave.<\/strong> In tali casi, il massimale di cui al primo comma non si applica.<\/p>\n\n\n\n Nei casi in cui il pagatore non ha agito in modo fraudolento o non \u00e8 intenzionalmente inadempiente ai propri obblighi di cui all\u2019articolo 69, gli Stati membri possono ridurre la responsabilit\u00e0 di cui al presente paragrafo tenendo conto, in particolare, della natura delle credenziali di sicurezza personalizzate e delle specifiche circostanze dello smarrimento, del furto o dell\u2019appropriazione indebita.<\/p>\n\n\n\n Se il prestatore di servizi di pagamento non fornisce strumenti adeguati per la notifica, in qualsiasi momento, dello smarrimento, del furto o dell\u2019appropriazione indebita di uno strumento di pagamento, secondo quanto disposto dall\u2019articolo 70, paragrafo 1, lettera c), il pagatore non \u00e8 responsabile delle conseguenze finanziarie derivanti dall\u2019uso dello strumento di pagamento, salvo qualora abbia agito in modo fraudolento.<\/strong><\/p>\n\n\n\n Comprese le responsabilit\u00e0 del cliente e della banca, analizziamo di seguito gli obblighi a carico delle due parti:<\/p>\n\n\n\n Articolo 69<\/em><\/p>\n\n\n\n Obblighi a carico dell\u2019utente di servizi di pagamento in relazione agli strumenti di pagamento e alle credenziali di sicurezza personalizzate<\/strong><\/p>\n\n\n\n \u201c1. L\u2019utente di servizi di pagamento autorizzato ad utilizzare lo strumento di pagamento:<\/p>\n\n\n\n 2. Ai fini del paragrafo 1, lettera a), non appena riceva uno strumento di pagamento, l\u2019utente di servizi di pagamento adotta in particolare tutte le ragionevoli misure per proteggere le credenziali di sicurezza personalizzate dello strumento di pagamento.\u201d<\/strong><\/p>\n\n\n\n Articolo 70<\/em><\/p>\n\n\n\n Obblighi a carico del prestatore di servizi di pagamento in relazione agli strumenti di pagamento<\/strong><\/p>\n\n\n\n 1. Il prestatore di servizi di pagamento che emette lo strumento di pagamento:<\/p>\n\n\n\n a) assicura che le credenziali di sicurezza personalizzate siano accessibili solo all\u2019utente di servizi<\/strong><\/p>\n\n\n\n di pagamento autorizzato ad utilizzare lo strumento stesso,<\/strong> fatti salvi gli obblighi imposti all\u2019utente di servizi di pagamento di cui all\u2019articolo 69;<\/p>\n\n\n\n 2. Il prestatore di servizi di pagamento sostiene il rischio dell\u2019invio all\u2019utente dei servizi di pagamento di uno strumento di pagamento o delle eventuali relative credenziali di sicurezza personalizzate.<\/p>\n\n\n\n Possiamo porre la responsabilit\u00e0 su tre livelli:<\/p>\n\n\n\n Quando l\u2019operazione pu\u00f2 essere considerata anomala? <\/p>\n\n\n\n Il punto di riferimento normativo \u00e8 l\u2019articolo 2 del Regolamento delegato (UE) 2018\/389, che impone alla banca di monitorare le operazioni, tenendo conto del comportamento abituale del cliente. Nella giurisprudenza pi\u00f9 recente ricorrono alcuni indici concreti: l\u2019orario inconsueto, il beneficiario nuovo, l\u2019IBAN estero, l\u2019importo elevato rispetto all\u2019operativit\u00e0 usuale. <\/p>\n\n\n\n Quando possiamo ritenere che sussista la colpa grave del cliente ?<\/p>\n\n\n\n La colpa grave si riferisce ad una violazione di uno o pi\u00f9 obblighi in capo all\u2019utente<\/strong>, ai sensi dell\u2019art. 7 del d. lgs. 11\/2010- art.69 PSD2<\/strong>, di diligente custodia ed utilizzo dello strumento di pagamento, ovvero di tempestiva comunicazione all\u2019intermediario dei casi di smarrimento, furto, appropriazione indebita o uso non autorizzato.<\/strong> Si possono individuare le seguenti situazioni sintomatiche<\/strong>, frutto della giurisprudenza consolidata dei Collegi dell’Arbitro Bancario Finanziario (ABF):<\/p>\n\n\n\n Tra la responsabilit\u00e0 esclusiva della banca e quella esclusiva del cliente, la prassi dell’ABF ammette anche soluzioni intermedie, ripartendo la perdita tra le parti. Ne \u00e8 un esempio la decisione ABF, Collegio di Torino, 13 novembre 2025, n. 9922.<\/strong> Il cliente, dopo un SMS apparentemente proveniente dalla propria banca, era stato contattato da un falso operatore antifrode che, con il pretesto di stornare operazioni sospette, lo aveva convinto a installare un software di condivisione dello schermo, attraverso il quale il truffatore aveva disposto diversi bonifici a proprio favore. Il Collegio ha ritenuto provata l\u2019adozione della SCA e, pur ricordando che non ogni imprudenza integra la colpa grave, ma solo la condotta abnorme e inescusabile (Collegio di coordinamento, n. 5304\/2013),<\/strong> ha ravvisato nel caso concreto una grave negligenza del cliente<\/strong>, che aveva agevolato il frodatore. Tenuto conto della particolare insidiosit\u00e0 dello spoofing, ha tuttavia ripartito la responsabilit\u00e0 per un terzo a carico della banca e per due terzi a carico del cliente: una soluzione che attenua la rigidit\u00e0 dell\u2019art. 12, secondo cui la colpa grave porrebbe l\u2019intera perdita a carico del cliente.<\/strong><\/p>\n\n\n\n Sul piano europeo, con la recentissima sentenza del 15 ottobre 2026, causa C-70\/25 Tukowiecka<\/strong>, la Corte di Giustizia dell\u2019Unione Europea, ha stabilito che la negligenza grave<\/strong> del cliente non consente al prestatore di rifiutare il rimborso immediato di un\u2019operazione non autorizzata. Tale principio viene formulato analizzando congiuntamente gli articoli 73 e 74 della PSD2. <\/p>\n\n\n\n Il caso riguardava una cliente polacca che, ingannata da un falso acquirente su una piattaforma di vendita, aveva inserito le credenziali su un sito che imitava quello della banca, subendo un bonifico fraudolento di circa 700 euro. La Corte ha ritenuto che l\u2019unica eccezione al rimborso immediato resti il ragionevole sospetto di una frode commessa dal cliente<\/strong>, comunicato per iscritto all\u2019autorit\u00e0 competente. <\/em><\/strong><\/p>\n\n\n\n In un primo tempo la Corte di Cassazione ha riconosciuto la responsabilit\u00e0 della banca per l\u2019uso abusivo delle credenziali di home banking all\u2019Articolo 2050 c.c (attivit\u00e0 pericolose) richiamato dall\u2019allora vigente articolo 15 del codice privacy per i danni da trattamento di dati personali, abrogato dal d.lgs. 2018 n. 101 in sede di adeguamento al GDPR. La Sentenza della Cassazione n. 10638\/2016<\/strong> ha affermato che sia sufficiente per il correntista provare il danno, mentre la banca risponde se non dimostra che l\u2019evento discende da trascuratezza, errore o frode del cliente o da forza maggiore. <\/p>\n\n\n\n Con l\u2019ordinanza della Cassazione Civile Sezione I del 13 marzo 2023, n. 7214,<\/strong> la corte esclude la responsabilit\u00e0 della banca nei confronti di correntisti che avevano comunicato le proprie credenziali attraverso un sito ingannevole. La loro condotta \u00e8 stata qualificata come credulit\u00e0 colpevole<\/strong> e inescusabile<\/strong>, poich\u00e9 il phishing era ormai un fenomeno noto all\u2019uomo comune ed evitabile con un minimo di diligenza. <\/p>\n\n\n\n Un anno dopo la Cassazione Civile Sezione III del 12 febbraio 2024 n. 3780<\/strong> ha confermato la condanna di Poste Italiane a risarcire un cliente vittima di phishing sulla propria carta Postepay Evolution. La corte ha ribadito la natura contrattuale della responsabilit\u00e0 ed il parametro dell\u2019accorto banchiere, secondo l\u2019articolo 1176 comma 2 Codice Civile<\/strong>. Poich\u00e9 la sottrazione fraudolenta dei codici rientra nel rischio di impresa, la banca si pu\u00f2 liberare solo provando eventi che si collochino oltre lo sforzo diligente esigibile, in questo caso ha pesato la mancata attivazione dell\u2019SMS alert. <\/p>\n\n\n\n In questa stessa direzione si collocano la Cassazione Sezione III del 3 novembre 2023 n 30588 e ordinanza 4 dicembre 2024 n 31052, secondo cui la SCA \u00e8 il requisito minimo ma non esaurisce la diligenza qualificata dell\u2019intermediario quando l\u2019operazione presenti indici di anomalia oggettivamente rilevabili. <\/p>\n\n\n\n Queste due diverse linee di pensiero in realt\u00e0 non sono in contraddizione. Infatti il sistema si regge su una cooperazione tra banca e cliente<\/strong>: la banca deve predisporre misure di sicurezza adeguate e aggiornate, il cliente deve custodire le credenziali e comportarsi con prudenza. Il giudizio di responsabilit\u00e0 richiede due accertamenti autonomi, l\u2019adeguatezza del sistema bancario e la condotta del cliente e nessuno dei due assorbe l\u2019altro. <\/p>\n\n\n\n Le decisioni del 2026 confermano lo spostamento dell\u2019accertamento dalla regolarit\u00e0 tecnica dell\u2019operazione all\u2019adeguatezza complessiva del sistema di sicurezza. <\/strong><\/p>\n\n\n\n Il collegio di Napoli dell\u2019ABF, pronuncia 772\/2026, ha esaminato due bonifici istantanei disconosciuti dal cliente di un istituto di moneta elettronica estero operante in Italia tramite succursale. Il ricorrente lamentava che l\u2019intermediario non avesse bloccato le operazioni nonostante due segnalazioni inviate pochi minuti dopo la loro esecuzione. Il collegio ha ribadito che la responsabilit\u00e0 del prestatore \u00e8 esclusa unicamente quando questi possa provare di aver adottato la SCA e di aver dimostrato dolo o colpa grave dell\u2019utente, non bastando la mera regolarit\u00e0 formale delle transazioni.<\/strong> Poich\u00e9 l\u2019intermediario, non costituitosi, non aveva provato l\u2019adozione dell\u2019autenticazione forte il ricorso \u00e8 stato accolto. Infatti mancava la prova a monte della sicurezza del sistema.<\/strong><\/p>\n\n\n\n In tal senso si \u00e8 pronunciato l\u2019ABF Napoli n 826\/2026, il quale ha condannato un intermediario a restituire 37.116 euro su 23 operazioni disconosciute (40.615,84 euro complessivi) eseguite in poche ore in assenza di SCA. Dunque la conformit\u00e0 alla SCA non si presume ma \u00e8 un fatto che l\u2019intermediario deve provare.<\/p>\n\n\n\n Mentre la sentenza del giudice di pace di Empoli, n. 32 del 19 marzo 2026, affronta uno degli scenari tecnicamente pi\u00f9 insidiosi: un bonifico fraudolento eseguito tramite un trojan bancario che aveva consentito a terzi di controllare il dispositivo del cliente e di superare l\u2019autenticazione forte. Questo caso illustra bene la crisi della coincidenza tra autenticazione e autorizzazione. Infatti il malware non aggira la SCA ma la utilizza: opera con credenziali autentiche, sicch\u00e9 la correttezza dei log \u00e8 l\u2019effetto normale della frode, non la volont\u00e0 del cliente. La banca \u00e8 stata condannata a pagare i 2.700 euro sottratti e sono stati applicati questi principi:<\/p>\n\n\n\n L’inversione della prova sulla causa della compromissione:<\/strong><\/p>\n\n\n\n Se un sistema di sicurezza, per quanto conforme alla SCA, pu\u00f2 essere strumentalizzato o controllato da un malware remoto, significa che quel sistema non \u00e8 oggettivamente sicuro<\/strong> rispetto allo stato dell’arte tecnologico.<\/p>\n\n\n\n Come analizzato da Domenegotti, Cammarano e Gennaro, vi \u00e8 un progressivo dialogo tra la disciplina dei servizi di pagamento e la normativa in materia di protezione dei dati personali. Infatti credenziali, codici, dati dello storico operativo, sono dati personali del cliente e la banca li tratta in qualit\u00e0 di titolare. Il regolamento UE 2016\/679 offre cos\u00ec un secondo parametro di responsabilit\u00e0 che si affianca a quello riguardante la disciplina dei pagamenti. Tra le disposizioni sono centrali:<\/p>\n\n\n\n L\u2019articolo 24 \u201cResponsabilit\u00e0 del titolare\u201d: impone misure tecniche ed organizzative adeguate a garantire ed essere in grado di dimostrare la conformit\u00e0 del trattamento. Si tratta del principio di accountability, che richiede una valutazione continua dei rischi. <\/p>\n\n\n\n L\u2019articolo 32 \u201csicurezza del trattamento\u201d: impone misure adeguate al rischio, tenendo conto dello stato dell\u2019arte, dei costi, della natura del trattamento e della gravit\u00e0 dei rischi per gli interessati. Nel settore bancario ci\u00f2 significa non solo autenticazione robusta ma anche monitoraggio , rilevazione delle anomalie e gestione degli incidenti. <\/p>\n\n\n\n Articolo 82 \u201cDiritto al risarcimento\u201d: chiunque subisca un danno materiale o immateriale per una violazione del regolamento ha diritto al risarcimento; il titolare \u00e8 esonerato solo se dimostra che l\u2018evento dannoso non gli \u00e8 in alcun modo imputabile.<\/p>\n\n\n\n La Corte di giustizia dell\u2019unione europea ha precisato la portata di queste norme proprio in un caso di attacco informatico (CGUE, 14 dicembre 2023, causa C-340-21, Natsionalna agentsia za prihodite). La sola divulgazione non autorizzata di dati ad opera di terzi non basta a dimostrare che le misure fossero inadeguate; ma spetta al titolare provarne l\u2019adeguatezza ed il timore di un uso abusivo dei dati pu\u00f2 costituire di per s\u00e9 danno immateriale. <\/p>\n\n\n\n Il GDPR rafforza la posizione del cliente in tre modi:<\/p>\n\n\n\n Il 27 novembre 2025 Parlamento Europeo e Consiglio hanno raggiunto un accordo politico provvisorio su due testi destinati a sostituire la PSD2: un regolamento sui servizi di pagamento (PSR)<\/strong>, direttamente applicabile, ed una terza direttiva (PSD3).<\/strong> I testi di compromesso sono stati resi disponibili nella primavera del 2026 e approvati in commissione ECON nel maggio 2026. La riforma prende atto della crisi della coincidenza tra autenticazione e autorizzazione e tenta di estendere la tutela alle frodi da manipolazione, oggi in larga parte escluse dal regime di rimborso. Infatti la SCA, pur essendo robusta contro gli attacchi informatici diretti, fallisce dinanzi all’ingegneria sociale, dove il cliente viene manipolato per autorizzare l’operazione.<\/p>\n\n\n\n Il PSR introduce il principio del rimborso anche per le frodi basate sulla manipolazione (authorised push payment fraud<\/em>),<\/strong> se il cliente \u00e8 stato tratto in inganno da un malintenzionato che impersonava un dipendente dell’istituto.<\/p>\n\n\n\n Una sfida ulteriore si profila con i pagamenti disposti da agenti di Intelligenza artificiale, sistemi capaci di eseguire acquisti in autonomia per conto dell\u2019utente. Nel settembre 2025 Google ha presentato Agent Payment Protocol (AP2), uno standard aperto sostenuto da oltre sessanta operatori, tra cui Mastercard e PayPal , fondato su mandati digitali firmati crittograficamente che fissano l\u2019intenzione dell\u2019utente:<\/strong> l’utente umano non condivide le proprie credenziali bancarie con l’AI. Rilascia invece un mandato digitale firmato crittograficamente, il quale stabilisce in anticipo i confini operativi dell’agente (es. 2. Le dimensioni del fenomeno <\/h2>\n\n\n\n
![\"\"](\"https:\/\/sites.unica.it\/ict4lawforensics\/files\/2026\/11\/image.jpeg\")
<\/figure>\n\n\n\n\n
![\"\"](\"https:\/\/sites.unica.it\/ict4lawforensics\/files\/2026\/11\/image-2.jpeg\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sites.unica.it\/ict4lawforensics\/files\/2026\/11\/image-1.jpeg\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sites.unica.it\/ict4lawforensics\/files\/2026\/11\/image-3.jpeg\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sites.unica.it\/ict4lawforensics\/files\/2026\/11\/image-4-1024x432.jpeg\")
<\/figure>\n\n\n\n3. Il quadro normativo: dalla PSD alla PSD2 e il D.lgs. 11\/2010<\/h2>\n\n\n\n
![\"\"](\"https:\/\/sites.unica.it\/ict4lawforensics\/files\/2026\/11\/image-5-1024x588.jpeg\")
<\/figure>\n\n\n\n4. L\u2019autenticazione forte del cliente (SCA\/MFA)<\/h2>\n\n\n\n
\n
\n
\n
\n
5. L\u2019onere della prova a carico dell\u2019intermediario<\/h2>\n\n\n\n
<\/h1>\n\n\n\n
6. Autenticazione vs autorizzazione: responsabilit\u00e0 della banca e rimborso<\/h2>\n\n\n\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
7. L\u2019evoluzione della giurisprudenza di legittimit\u00e0 <\/h2>\n\n\n\n
8. Gli orientamenti pi\u00f9 recenti: ABF e la Giurisprudenza di merito<\/h2>\n\n\n\n
\n
\n
9. La protezione dei dati personali: artt. 24, 32, 82 GDPR<\/h2>\n\n\n\n
\n
10. Nuove prospettive: PSR\/PSD3 e gli agenti di AI<\/h2>\n\n\n\n