Articolo Pubblicazioni

Truffe online e phishing bancario: le prove da raccogliere per denuncia e rimborso

di · Pubblicato il 14 novembre 2026

Abstract

Dopo un phishing o una telefonata da un falso operatore della banca il tempo conta, sia per bloccare i pagamenti sia per conservare le prove. L’articolo indica che cosa fare nelle prime ore, quali tracce raccogliere da telefono, email e home banking, come funziona la disciplina dei pagamenti non autorizzati del d.lgs. 11/2010 e quando una perizia tecnica aiuta nella contestazione con la banca o davanti all’Arbitro Bancario Finanziario.

Vincenzo Calabrò | Truffe online e phishing bancario: le prove da raccogliere per denuncia e rimborso
 

Le prime ore

  1. chiamare subito il numero ufficiale della banca, preso dal sito o dalla carta, mai dal messaggio ricevuto, per bloccare carte, credenziali e operazioni in corso;
  2. chiedere il blocco o il richiamo dei bonifici appena disposti, che a volte si possono ancora fermare;
  3. cambiare le password dell’home banking e della posta elettronica e verificare che non siano stati aggiunti dispositivi o numeri di telefono all’account;
  4. non cancellare messaggi, chiamate o app e non reinstallare il telefono;
  5. presentare denuncia alla Polizia Postale o ad altro ufficio di polizia, anche online, e inviare alla banca la contestazione scritta delle operazioni non autorizzate.

Le prove da conservare

  • SMS, email e messaggi ricevuti, nel formato originale quando possibile, con mittente, orario e collegamenti contenuti;
  • il registro delle chiamate, con numero chiamante, orario e durata, utile soprattutto quando il numero imitava quello della banca;
  • le notifiche dell’app della banca e gli SMS di autorizzazione, che mostrano che cosa è stato approvato e quando;
  • gli estratti conto e la lista delle operazioni contestate, con beneficiari e IBAN;
  • eventuali pagine visitate, app installate su indicazione del truffatore e accessi remoti concessi.
Il telefono stesso è una prova. Se il truffatore ha fatto installare un’app di assistenza remota o un’app malevola, l’analisi del dispositivo può dimostrarlo, e questo cambia la valutazione della responsabilità.

Cosa prevede la legge

Il d.lgs. 11 del 2010, che recepisce la normativa europea sui servizi di pagamento, stabilisce che quando il cliente nega di aver autorizzato un’operazione è la banca a dover provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata, senza malfunzionamenti. La sola registrazione dell’uso delle credenziali non dimostra di per sé che il cliente ha agito con dolo o colpa grave. In assenza di questa prova la banca deve rimborsare senza indugio, di norma entro la fine della giornata lavorativa successiva alla comunicazione, salvo un fondato sospetto di frode da segnalare alla Banca d’Italia.
Il cliente sopporta una franchigia massima di 50 euro, salvo che abbia agito con dolo o colpa grave nella custodia delle credenziali, oppure non abbia comunicato tempestivamente lo smarrimento o l’uso non autorizzato. La contestazione va presentata senza indugio e comunque entro tredici mesi dall’addebito. Le decisioni dell’Arbitro Bancario Finanziario tendono a considerare colpa grave il cedere codici a un SMS o a un’email generici, e valutano invece con più attenzione i casi di spoofing, in cui il numero o il mittente del truffatore coincidono con quelli ufficiali della banca, e quelli in cui la banca non ha applicato correttamente l’autenticazione forte.

Quando serve una perizia

Una perizia è utile quando la banca sostiene la colpa grave e il cliente ritiene di essere stato ingannato da un attacco sofisticato. L’analisi del telefono, dei messaggi e dei log forniti dalla banca può dimostrare lo spoofing del numero, l’installazione di un malware, un accesso da un dispositivo sconosciuto o l’assenza dei passaggi di autenticazione forte. Più le prove sono state conservate presto e nel formato originale, più la perizia sarà solida.

Le forme più diffuse

  • Smishing, cioè SMS che sembrano arrivare dalla banca, spesso inseriti nella stessa conversazione dei messaggi autentici grazie alla falsificazione del mittente, con un link a una pagina che imita l’home banking;
  • Vishing, cioè telefonate di un falso operatore, a volte da un numero che coincide con quello della banca, che convince la vittima a comunicare codici o ad autorizzare operazioni per bloccare una presunta frode;
  • Falso servizio clienti raggiunto cercando il numero della banca su un motore di ricerca o sui social, dove i truffatori acquistano annunci;
  • Accesso remoto, quando la vittima viene convinta a installare un’app di assistenza che permette al truffatore di vedere lo schermo e operare sul telefono.

Come si presenta la contestazione

La contestazione alla banca va fatta per iscritto, con PEC o con il canale indicato nel contratto, e deve elencare le operazioni non autorizzate con data, importo e beneficiario, il racconto dei fatti, la data della denuncia e la richiesta di rimborso ai sensi del d.lgs. 11/2010. Conviene chiedere anche i log delle operazioni, cioè dispositivo, indirizzo IP, orari e passaggi di autenticazione forte. Se la banca rifiuta o non risponde, si può ricorrere all’Arbitro Bancario Finanziario, una procedura poco costosa e relativamente rapida, dopo aver presentato reclamo all’intermediario. In alternativa resta la strada del giudice ordinario.

Prevenzione

Le regole che riducono il rischio sono poche e chiare. La banca non chiede mai codici, password o conferme di operazioni per telefono, SMS o email. Il numero della banca si chiama sempre da un recapito ufficiale, mai da quello che compare nel messaggio o nella chiamata. Le notifiche dell’app vanno lette con attenzione prima di approvarle, perché indicano importo e beneficiario. I limiti di spesa e gli avvisi per ogni operazione permettono di accorgersi subito di un pagamento anomalo.
Se il pagamento è avvenuto con bonifico istantaneo, il recupero è più difficile, perché i fondi arrivano in pochi secondi e vengono spesso trasferiti subito altrove. Anche in questo caso conviene chiedere alla propria banca di attivare la procedura di richiamo verso la banca del beneficiario, che a volte riesce a bloccare almeno una parte della somma.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn