Bonifici disconosciuti dopo la revoca della delega: quando la banca risponde per l’accesso remoto

Dott. Domenico Moretta
Criminalista forense – Digital & Audio Forensics Expert
Studioso di diritto delle nuove tecnologie e prova digitale

La questione centrale: una firma revocata, un accesso ancora possibile

La responsabilità della banca per bonifici disconosciuti viene spesso ricondotta a uno schema ormai noto: sottrazione delle credenziali, phishing, malware, autenticazione forte, anomalie della transazione e mancato intervento del sistema antifrode. La vicenda decisa dal Tribunale di Reggio Emilia, Seconda Sezione civile, con sentenza 14 giugno 2026, n. 484, introduce però un elemento differente.

Secondo la ricostruzione contenuta nel commento pubblicato su NT+ Diritto – Il Sole 24 Ore, la correntista aveva conferito al figlio una delega a operare liberamente e disgiuntamente sul conto. A seguito di gravi contrasti familiari, si era poi recata in filiale per revocare la delega, disinstallare l’applicazione dal precedente dispositivo e impedire al delegato di effettuare ulteriori operazioni. L’incontro si era concluso in modo particolarmente conflittuale, tanto da richiedere l’intervento della polizia.

In seguito furono eseguiti da remoto bonifici in favore del figlio. La banca sostenne che le operazioni erano state correttamente registrate e autorizzate mediante i codici di sicurezza inviati sui recapiti associati al servizio. Il Tribunale non individuò il problema principale nell’astratta inadeguatezza del sistema di autenticazione. Lo individuò, invece, nell’omessa adozione di cautele ulteriori da parte della dipendente che aveva ricevuto una richiesta il cui significato concreto era chiaro: la cliente voleva tornare a essere l’unico soggetto legittimato a gestire il conto, anche attraverso i canali remoti.

È questa la novità che merita di essere isolata. La revoca della delega giuridica e la neutralizzazione della capacità tecnica di accesso appartengono a due piani distinti, ma nel caso concreto devono produrre un risultato coerente.

Delega, credenziali e dispositivi: tre oggetti che non vanno confusi

La delega definisce il potere del terzo di operare legittimamente sul rapporto bancario. Le credenziali consentono al sistema informatico di riconoscere una determinata utenza. Il dispositivo associato, infine, può costituire il mezzo attraverso il quale viene ricevuto o generato uno dei fattori di autenticazione.

Questi elementi possono essere collegati, ma non coincidono:

• la revoca della delega elimina il titolo che consentiva al delegato di impartire disposizioni in nome del titolare;
• il cambio delle credenziali impedisce l’uso di password, PIN o codici precedentemente conosciuti;
• la revoca delle sessioni e del cosiddetto device binding neutralizza dispositivi, token o applicazioni già associati;
• l’aggiornamento dei recapiti interviene sui canali utilizzati per notifiche, OTP e comunicazioni di sicurezza;
• la disattivazione o sospensione del servizio multicanale elimina, almeno temporaneamente, la possibilità di disporre operazioni da remoto.

Limitarsi ad aggiornare uno solo di questi livelli può lasciare operativo un percorso alternativo. Per questa ragione, una richiesta formulata in filiale non dovrebbe essere trattata come un adempimento meramente amministrativo quando dal contesto emerge un rischio concreto di accesso abusivo.

Responsabilità della banca per bonifici disconosciuti: le regole applicabili

Il quadro di riferimento resta quello del D.Lgs. 27 gennaio 2010, n. 11, letto insieme alle regole civilistiche sulla diligenza professionale e sull’esecuzione degli incarichi affidati alla banca.

Articolo 10: autenticazione e onere della prova

Quando l’utente nega di avere autorizzato un’operazione già eseguita, spetta al prestatore di servizi di pagamento dimostrare che essa sia stata autenticata, correttamente registrata e contabilizzata e che non abbia subito malfunzionamenti o altri inconvenienti.

Il secondo comma aggiunge un passaggio decisivo: l’impiego di uno strumento di pagamento registrato non è, da solo, necessariamente sufficiente a provare che l’operazione sia stata autorizzata dall’utente, né che questi abbia agito fraudolentemente o con dolo o colpa grave. Gli elementi idonei a dimostrare la frode, il dolo o la colpa grave devono essere forniti dal prestatore.

Articolo 11: rimborso e ripristino del conto

Per un’operazione non autorizzata, il rimborso deve avvenire immediatamente e, in ogni caso, entro la fine della giornata operativa successiva a quella in cui l’intermediario prende atto dell’operazione o riceve la comunicazione. Il conto deve essere riportato nello stato in cui si sarebbe trovato se il pagamento non fosse avvenuto. In presenza di un motivato sospetto di frode del cliente, il prestatore può sospendere il rimborso secondo la procedura prevista dalla norma.

La Comunicazione della Banca d’Italia del 17 giugno 2024 ha richiamato gli intermediari proprio sui rifiuti non fondati, sui ritardi, sulle richieste documentali non previste dalla disciplina e sulle comunicazioni poco chiare rivolte ai clienti. L’Autorità ha inoltre chiesto che la valutazione dell’eventuale colpa grave avvenga in concreto, attraverso criteri granulari e senza automatismi.

Autenticazione forte: necessaria, ma non equivalente alla volontà

L’autenticazione forte del cliente, o Strong Customer Authentication, utilizza almeno due elementi indipendenti riconducibili alle categorie della conoscenza, del possesso e dell’inerenza. Per i pagamenti elettronici a distanza deve inoltre operare il collegamento dinamico con lo specifico importo e con il beneficiario.

Il Regolamento delegato (UE) 2018/389 richiede anche meccanismi di monitoraggio capaci di rilevare operazioni non autorizzate o fraudolente, tenendo conto, tra l’altro, dell’importo, degli scenari di frode noti, degli elementi di autenticazione compromessi, dei segnali di malware e dell’uso anomalo del dispositivo o del software.

La SCA risponde quindi alla domanda: quali fattori sono stati presentati e accettati dal sistema? Non risolve sempre una domanda diversa: chi li ha utilizzati e con quale effettiva volontà? È una distinzione già esaminata, sotto il profilo dei sistemi di rilevazione delle anomalie, nell’approfondimento dedicato a responsabilità bancaria, prova digitale e falsi negativi dell’AI antifrode.

Diligenza dell’accorto banchiere e corretta esecuzione dell’incarico

Gli articoli 1176, secondo comma, 1218 e 1856 del codice civile impongono alla banca una diligenza qualificata, commisurata alla natura professionale dell’attività e ai rischi tipici del servizio. La Corte di cassazione, con la sentenza n. 3780/2024 e con l’ordinanza n. 23683/2024, ha ribadito che la sicurezza delle operazioni elettroniche rientra nella sfera di controllo tecnico dell’intermediario e che la sottrazione fraudolenta dei codici costituisce un rischio professionale prevedibile, salvo la prova di una condotta dell’utente eccedente lo sforzo diligente esigibile dalla banca.

Nel caso di Reggio Emilia, tuttavia, la diligenza richiesta non si esauriva nella corretta progettazione dell’applicazione. La dipendente avrebbe dovuto comprendere l’effetto pratico richiesto dalla cliente e adottare, o far adottare, misure coerenti: informazione completa, modifica delle credenziali, verifica dei dispositivi associati, eventuale sospensione del canale remoto e controllo dell’effettiva chiusura degli accessi precedenti.

La condotta della dipendente e l’articolo 2049 del codice civile

Il Tribunale ha ricondotto l’omissione della dipendente anche all’articolo 2049 c.c., che imputa al datore di lavoro il danno cagionato dal fatto illecito del preposto nell’esercizio delle incombenze affidategli. Non è sufficiente la mera esistenza del rapporto di lavoro: occorre un nesso di occasionalità necessaria tra mansioni, condotta e pregiudizio.

Nella vicenda esaminata quel collegamento è stato individuato nella gestione della richiesta ricevuta in filiale. La dipendente si trovava nella posizione professionale che le consentiva di comprendere il rischio, informare la correntista e attivare le misure necessarie. L’omissione si è quindi inserita direttamente nel processo attraverso il quale la banca avrebbe dovuto dare esecuzione alla volontà della cliente.

Questo passaggio trova un riscontro significativo anche nelle aspettative di vigilanza della Banca d’Italia: la comunicazione del 2024 chiede agli intermediari di sensibilizzare il personale, soprattutto quello a diretto contatto con gli utenti nella gestione dei disconoscimenti e dei reclami. La sicurezza non è soltanto una proprietà del software. È anche una competenza organizzativa.

Il concorso di colpa della cliente: la decisione non introduce una responsabilità automatica

La banca è stata ritenuta responsabile, ma la correntista non è stata considerata estranea alla produzione del danno. Il Tribunale ha ravvisato una grave negligenza nella custodia dei codici di accesso e dei dispositivi associati e ha applicato l’articolo 1227 c.c., riducendo il risarcimento in ragione del concorso colposo.

La pronuncia non può quindi essere sintetizzata con la formula “la banca paga sempre”. Afferma qualcosa di più preciso:

• l’esistenza di credenziali formalmente valide non chiude la questione dell’autorizzazione;
• la banca deve provare l’adeguatezza dei propri presidi e la concreta condotta imputata al cliente;
• il comportamento dell’utente può incidere sulla responsabilità e sulla quantificazione del danno;
• l’omissione del personale può assumere autonoma rilevanza causale, anche quando il sistema informatico funzioni secondo le regole configurate;
• la valutazione deve riguardare la sequenza completa degli eventi e non un singolo log isolato.

Per un inquadramento generale delle tecniche di inganno e della colpa grave del correntista può essere utile anche il precedente contributo su phishing, intelligenza artificiale e rimborso delle operazioni non autorizzate. La sentenza di Reggio Emilia, però, sposta l’attenzione dalla sola fase della frode alla gestione bancaria di una segnalazione preventiva e inequivoca.

La ricostruzione corretta richiede tre timeline, non una

Da un punto di vista tecnico-forense, la vicenda suggerisce un metodo molto concreto. Non basta ricostruire la cronologia dei bonifici. Occorre mettere in relazione almeno tre sequenze temporali autonome.

1. Timeline della volontà e delle comunicazioni

Comprende la richiesta di revoca, i moduli firmati, le comunicazioni con la filiale, gli accessi allo sportello, le telefonate, i reclami, gli eventuali ticket e ogni documento esterno capace di chiarire che cosa il cliente abbia chiesto e quando.

2. Timeline delle identità e degli accessi

Comprende la revoca della delega nei sistemi anagrafici, la modifica delle credenziali, la disattivazione dell’app, il censimento dei dispositivi associati, la revoca dei token e delle sessioni, la variazione dei recapiti, le nuove attivazioni e gli eventuali tentativi di accesso.

3. Timeline delle operazioni

Comprende la creazione o modifica del beneficiario, la disposizione dei bonifici, i fattori SCA utilizzati, gli indirizzi IP, gli identificativi di sessione e dispositivo, le notifiche, gli alert antifrode, gli eventuali controlli manuali e l’esecuzione contabile.

Il confronto tra le tre timeline consente di formulare domande verificabili: l’accesso remoto è avvenuto dopo la revoca amministrativa? Il dispositivo era già associato o è stato nuovamente registrato? Le vecchie sessioni sono state invalidate? Gli avvisi sono stati inviati al recapito corretto? La banca aveva classificato la richiesta come possibile compromissione delle credenziali? Quale operatore ha chiuso la pratica e sulla base di quali verifiche?

Quali evidenze devono essere acquisite

Una contabile, una schermata dell’app o la formula “autenticazione riuscita” descrivono soltanto una porzione del processo. La prova deve essere costruita collegando fonti bancarie, documentazione organizzativa e dati presenti sul dispositivo del cliente.

È altrettanto importante ottenere la documentazione nativa e le informazioni sulla sua provenienza: sistema sorgente, modalità di estrazione, intervallo temporale, fuso orario, significato dei campi, politiche di conservazione e trasformazioni applicate. Un prospetto preparato per il contenzioso, privo dei dati sottostanti e dell’audit trail, offre possibilità di verifica inevitabilmente inferiori.

Per organizzare il primo esame è disponibile la checklist tecnico-forense gratuita sui bonifici disconosciuti, che raccoglie dieci verifiche essenziali sulla documentazione prodotta dall’intermediario.

Perché il verbale della polizia ha assunto rilievo

Un aspetto probatorio particolarmente interessante è rappresentato dall’intervento della polizia presso la filiale. Secondo la ricostruzione della decisione, la relativa relazione ha contribuito a dimostrare che la volontà della cliente non era limitata alla cancellazione formale di una firma: ella intendeva escludere i familiari da qualsiasi gestione del conto, comprese le operazioni a distanza.

Il documento esterno ha quindi svolto una funzione di corroborazione rispetto al significato della richiesta. Non dimostrava il successivo funzionamento dei sistemi bancari, ma aiutava a fissare un presupposto essenziale: che cosa la banca aveva compreso, o avrebbe dovuto comprendere, prima dell’esecuzione dei bonifici.

Ne deriva una considerazione pratica. Nelle controversie bancarie, le evidenze non sono soltanto informatiche. Moduli, annotazioni, verbali, registrazioni delle chiamate, ticket e comunicazioni possono definire il contesto nel quale i log devono essere interpretati. Il dato tecnico privo del suo contesto organizzativo rischia di fornire una rappresentazione incompleta.

Che cosa fare dopo la scoperta di un’operazione non autorizzata

La tempestività è decisiva, sia per limitare il danno sia per evitare la perdita di dati soggetti a conservazione limitata. In termini generali è opportuno:

1. comunicare immediatamente alla banca l’operazione non autorizzata e chiedere il blocco degli strumenti o dei canali potenzialmente compromessi;
2. formalizzare il disconoscimento attraverso un mezzo che consenta di provare contenuto, data e ricezione;
3. annotare numeri di pratica, orari, interlocutori e istruzioni ricevute;
4. richiedere la conservazione dei log e delle registrazioni pertinenti, delimitando correttamente il periodo;
5. non cancellare messaggi, applicazioni, cronologie o dati dal telefono e non ripristinare il dispositivo prima di una valutazione tecnica;
6. preservare email, SMS, notifiche, screenshot e documenti nella loro forma originaria, senza affidarsi soltanto a stampe o fotografie;
7. valutare un’acquisizione forense dello smartphone, documentandone metodo, limiti, integrità e catena di custodia;
8. coordinare l’analisi tecnica con la strategia legale, evitando richieste generiche o sproporzionate.

Il termine massimo previsto dall’articolo 9 del D.Lgs. n. 11/2010 non deve essere confuso con un invito ad attendere: la comunicazione deve essere effettuata senza indugio dal momento in cui l’utente viene a conoscenza dell’operazione. Inoltre, la denuncia all’Autorità giudiziaria può essere rilevante, ma la Banca d’Italia ha chiarito che la presa in carico del disconoscimento non dovrebbe essere subordinata alla sua preventiva produzione.

La lezione per gli intermediari: lo sportello è parte del sistema di sicurezza

La sentenza offre indicazioni che vanno oltre il singolo contenzioso. Un intermediario può disporre di autenticazione forte, monitoraggio antifrode e procedure formalmente corrette, ma restare esposto se le richieste raccolte dal personale non vengono tradotte in azioni coerenti sui sistemi.

Una procedura realmente adeguata dovrebbe almeno:

• distinguere la revoca del potere giuridico dalla bonifica degli accessi digitali;
• prevedere una checklist obbligatoria per credenziali, dispositivi, sessioni, token, recapiti e canali remoti;
• generare un audit trail delle operazioni compiute dal dipendente;
• richiedere una conferma finale dell’effettiva disattivazione;
• attivare un livello di escalation quando emergano conflitti familiari, sottrazione delle credenziali o rischio di accesso da parte di terzi;
• fornire al cliente informazioni comprensibili sui passaggi effettuati e su quelli ancora necessari;
• formare il personale di filiale sul rapporto tra deleghe, identità digitali e sistemi di pagamento.

Questo approccio è coerente anche con il quadro di resilienza e governo del rischio già analizzato nell’articolo su NIS 2, DORA, frodi e responsabilità bancaria. Nel settore finanziario, tuttavia, DORA costituisce la disciplina speciale per la resilienza operativa digitale; la NIS 2 non sostituisce le regole sui servizi di pagamento né crea, da sola, un diritto automatico al rimborso.

Il richiamo al GDPR va mantenuto entro il suo corretto perimetro

La sottrazione e l’uso delle credenziali possono coinvolgere anche la protezione dei dati personali. L’articolo 82 GDPR riconosce il diritto al risarcimento quando ricorrano una violazione del regolamento, un danno e un nesso causale tra i due. Non ogni bonifico disconosciuto, tuttavia, integra automaticamente un illecito trattamento di dati.

Occorre individuare la specifica violazione: misure di sicurezza inadeguate, accesso illecito, gestione non conforme delle credenziali o altra condotta imputabile al titolare o al responsabile del trattamento. Il GDPR non deve essere utilizzato come una clausola generale capace di sostituire il D.Lgs. n. 11/2010 o le regole civilistiche. Questo profilo è stato approfondito anche nel contributo sull’AI antifrode e la prova digitale del bonifico.

Conclusioni: la sicurezza bancaria è una catena di decisioni verificabili

La sentenza n. 484/2026 del Tribunale di Reggio Emilia non afferma che la banca debba rispondere di ogni uso abusivo delle credenziali. Mostra, però, che la valutazione non può fermarsi al corretto funzionamento formale del sistema di autenticazione.

Quando il cliente comunica una situazione di rischio e manifesta la volontà di escludere un terzo dalla gestione del conto, la banca deve verificare quali effetti quella richiesta debba produrre sull’intera architettura degli accessi. Se la delega viene revocata ma restano operative credenziali, sessioni o dispositivi conosciuti dal precedente delegato, la misura amministrativa può risultare tecnicamente inefficace.

A mio avviso, il punto centrale è proprio questo: la sicurezza non coincide con il singolo codice correttamente digitato, ma con la coerenza dell’intera sequenza che collega volontà del cliente, attività del personale, configurazione dei sistemi e controllo dell’operazione.

Per accertare la responsabilità occorre quindi poter ricostruire quella sequenza in modo completo, integro e replicabile. Se mancano i log, se le modifiche non sono tracciate o se la banca produce soltanto una contabile e l’esito positivo dell’autenticazione, resta irrisolta la domanda probatoria più importante: non se il sistema abbia accettato l’operazione, ma se abbia correttamente protetto il soggetto che era legittimato a disporla.

Domande frequenti

La revoca della delega blocca automaticamente l’home banking?

Non necessariamente. Dipende dall’architettura del servizio e dalle operazioni eseguite dalla banca. Devono essere verificati separatamente delega, credenziali, dispositivi associati, token, sessioni attive, recapiti e abilitazioni ai canali remoti.

Se il bonifico è stato autenticato con SCA, la banca è sempre esente da responsabilità?

No. La SCA dimostra l’impiego dei fattori previsti, ma non prova automaticamente la volontà del cliente né la sua colpa grave. Restano da esaminare adeguatezza del sistema, monitoraggio, contesto dell’operazione e ulteriori condotte od omissioni dell’intermediario.

Il cliente può essere corresponsabile?

Sì. Una condotta gravemente negligente nella custodia di credenziali e dispositivi può incidere sulla responsabilità e sul danno. Deve però essere accertata nel caso concreto e non può essere desunta automaticamente dal solo uso di codici formalmente corretti.

Qual è la prova tecnica più importante?

Non esiste un unico dato risolutivo. È necessario correlare documenti di filiale, audit trail, modifiche dei profili, log di accesso e di sessione, tracciature SCA, notifiche, controlli antifrode e dati del dispositivo del cliente.

Fonti essenziali

• C. Insardà, “La responsabilità della banca per la sottrazione dei codici di accesso ai servizi bancari multicanali”, NT+ Diritto – Il Sole 24 Ore, 9 settembre 2026, commento a Tribunale di Reggio Emilia, Sez. II civile, sentenza 14 giugno 2026, n. 484.
• D.Lgs. 27 gennaio 2010, n. 11, in particolare artt. 7, 8, 9, 10, 10-bis, 11 e 12.
• Banca d’Italia, “Disconoscimenti di operazioni di pagamento non autorizzate. Comunicazione al sistema”, 17 giugno 2024.
• Regolamento delegato (UE) 2018/389 sull’autenticazione forte del cliente e sugli standard comuni e sicuri di comunicazione.
• Corte di cassazione, Sez. III civile, sentenza 12 febbraio 2024, n. 3780, richiamata nella Rassegna della giurisprudenza di legittimità 2024.
• Corte di cassazione, Sez. I civile, ordinanza 4 settembre 2024, n. 23683, testo del provvedimento.

Nota metodologica: la ricostruzione della sentenza n. 484/2026 è basata sul commento pubblicato da NT+ Diritto – Il Sole 24 Ore indicato tra le fonti. Il testo integrale del provvedimento non risulta allegato al contributo esaminato.

Il presente contributo ha finalità informativa e di approfondimento tecnico-giuridico. Non sostituisce la valutazione legale e tecnica del singolo caso concreto.