La Corte d’Appello di Palermo ha respinto il ricorso di una banca condannata a restituire 23.500 euro a un’azienda vittima di una frode informatica. La sentenza numero 1929 del 2026 fissa un principio destinato a pesare su ogni futura contestazione di bonifico non autorizzato: non basta dimostrare che le credenziali di accesso sono state usate correttamente per scaricare la colpa sul cliente.
La vicenda riguarda un pagamento verso un destinatario mai riconosciuto dall’azienda titolare del conto, ordinato tramite l’home banking e disconosciuto non appena scoperto. In primo grado il Tribunale di Palermo aveva già dato torto alla banca, condannandola a un risarcimento complessivo attorno ai 30mila euro tra capitale, spese processuali e perizia tecnica. L’istituto ha impugnato la sentenza sostenendo che l’operazione fosse stata autenticata regolarmente e che la responsabilità ricadesse sul correntista per negligenza grave. La Terza Sezione civile ha confermato la condanna.
La norma di riferimento è il decreto legislativo numero 11 del 2010, che regola i servizi di pagamento in Italia. Il suo articolo 10 stabilisce che, quando chi ha un conto contesta un pagamento mai disposto, tocca alla banca dimostrare che quel pagamento sia stato autenticato e registrato senza errori tecnici. Il solo fatto che username, password o codici risultino usati correttamente non basta a provare che il titolare abbia dato l’ordine. Il dolo e la colpa grave restano le due sole eccezioni che tolgono al cliente il diritto al rimborso, e quell’onere della prova resta sull’intermediario.
Nel caso esaminato dai giudici siciliani, la consulenza tecnica ha ricostruito una frode piuttosto sofisticata. Il bonifico partiva da un indirizzo IP che il conto non aveva mai usato prima, e proprio quel giorno erano già stati bloccati altri accessi giudicati sospetti. Secondo la ricostruzione riportata da Panorama, l’azienda è stata colpita dalla campagna di malware nota come BRATA. Un link che sembrava arrivare dalla banca avrebbe spinto l’utente a installare un’applicazione infetta, da cui i truffatori avrebbero poi prelevato le credenziali per operare a distanza.
L’articolo 11 dello stesso decreto fissa anche i tempi. Il correntista deve riavere i soldi entro la giornata lavorativa successiva alla segnalazione, con il conto riportato alla situazione di partenza. La banca può sospendere il rimborso solo se ha il sospetto concreto che sia stato il cliente a commettere la frode, e in quel caso deve avvisarne la Banca d’Italia. Proprio la Banca d’Italia ha già richiamato gli istituti su questo punto: la sola autenticazione forte, la SCA richiesta per i pagamenti digitali, non basta da sola a giustificare un rifiuto del rimborso. Serve una verifica concreta di cosa sia davvero successo.
Attenzione però a non leggere la sentenza come una garanzia di rimborso automatico per qualunque truffa. La pronuncia riguarda un caso preciso, quello in cui un criminale entra nel conto con credenziali rubate e dispone il pagamento senza che il titolare lo sappia. È diverso lo scenario in cui è la vittima stessa, convinta da un finto operatore bancario, a confermare personalmente il bonifico verso quello che crede un conto sicuro. Qui l’operazione risulta formalmente voluta dal cliente, e le tutele cambiano.
A confermarlo sono i numeri dell’organismo a cui i clienti possono rivolgersi per contestare le decisioni delle banche, l’Arbitro Bancario Finanziario. Nel 2025 sono arrivati oltre 13.500 ricorsi, un terzo abbondante legato a frodi sul conto, con un esito favorevole al cliente nel 56% dei casi, tra accoglimenti pieni, parziali e intese raggiunte prima della sentenza finale.
Chi si accorge di un bonifico mai disposto deve muoversi subito. La legge dà fino a tredici mesi per chiedere la restituzione, ma conviene disconoscere l’operazione con la banca appena la si nota, bloccare le credenziali compromesse e conservare i documenti che servono a ricostruire l’accaduto. Se l’istituto rifiuta, resta la strada del reclamo formale, con risposta della banca dovuta entro quindici giorni lavorativi, poi quella dell’Arbitro Bancario Finanziario, il cui costo di 20 euro torna indietro se l’esito è favorevole, oltre al giudice ordinario.
Per chi usa l’home banking tutti i giorni, il punto pratico è questo. Se un pagamento sconosciuto compare sul conto, denunciarlo entro poche ore rafforza la propria posizione. Ora è la banca a dover spiegare come sono finite in mani sbagliate le credenziali, non il cliente a dover dimostrare la propria innocenza.
Dati e ricostruzione riportati da Panorama nell’articolo di Giovanni Magistroni pubblicato il 15 agosto 2026.
