Riassunto
Un clic su una pagina contraffatta non dimostra automaticamente la colpa grave del cliente. La sentenza della Corte di giustizia UE nella causa C-70/25 offre lo spunto per approfondire il rimborso delle operazioni non autorizzate, il ruolo delle prove tecniche e il rapporto tra educazione digitale, sistemi antifrode e responsabilità degli intermediari.
La Corte di giustizia distingue il rimborso immediato dall’accertamento delle responsabilità. Una decisione che riporta al centro la qualità della protezione offerta al cliente.
Di Domenico Moretta – Criminalista forense, esperto in digital e audio forensics
Il rapporto tra frodi bancarie e colpa grave richiede una valutazione concreta: come si è sviluppato l’inganno, quali informazioni ha ricevuto il cliente e quali protezioni erano operative al momento del pagamento?
Una persona riceve un link, apre una pagina che sembra quella della propria banca e inserisce le credenziali. Poco dopo, dal conto scompare del denaro. Quando chiede il rimborso, si sente rispondere che avrebbe dovuto riconoscere l’inganno.
È proprio questo passaggio a richiedere maggiore attenzione. Essere stati ingannati e avere agito con colpa grave non sono condizioni automaticamente coincidenti. Per valutarle occorre ricostruire i fatti, comprendere come si è sviluppata la frode ed esaminare le protezioni concretamente predisposte dall’intermediario.
La formazione dei clienti è indispensabile. Ritengo però che la loro vulnerabilità debba entrare nella progettazione della sicurezza del servizio: chi offre strumenti di pagamento digitali deve considerare anche gli errori prevedibili delle persone chiamate a utilizzarli.
La decisione europea: prima il rimborso, poi l’accertamento
Il 15 ottobre 2026 la Corte di giustizia dell’Unione europea si è pronunciata nella causa C-70/25, Tukowiecka. Il caso riguarda una cliente polacca che, durante una vendita online, aveva seguito un link fraudolento e inserito le credenziali in una pagina che imitava quella della banca. Un terzo aveva quindi trasferito circa 700 euro dal suo conto. [1]
Come chiarisce il comunicato ufficiale della Corte, per un’operazione non autorizzata il prestatore deve, in linea di principio, rimborsare immediatamente, al più tardi entro la fine della giornata operativa successiva alla conoscenza o segnalazione. Il cliente deve informarlo senza indugio. La presunta negligenza grave non giustifica il diniego iniziale; può invece essere provata successivamente per recuperare le perdite. L’eccezione riguarda ragionevoli motivi di sospettare una frode del cliente, comunicati per iscritto all’autorità competente. [1]
La controversia sulla responsabilità finale non può quindi diventare un ordinario motivo per trattenere il rimborso. La pronuncia non risolve automaticamente la valutazione della condotta della singola cliente, rimessa al giudice nazionale. [1]
Il punto da dimostrare è la colpa grave
Nel diritto italiano il riferimento è il decreto legislativo n. 11/2010, in particolare gli articoli 10, 11 e 12. L’articolo 10 pone sul prestatore l’onere di provare autenticazione e corretta esecuzione e precisa che il solo utilizzo registrato dello strumento non dimostra necessariamente né l’autorizzazione né la frode, il dolo o la colpa grave dell’utente. [3]
La PSD2 richiede, per valutare la negligenza grave, di considerare tutte le circostanze: il considerando 72 la distingue dalla semplice disattenzione attraverso un grado significativo di mancanza di diligenza. Restano gli obblighi dell’utente di proteggere le credenziali e segnalare gli abusi. [2]
La distinzione tra semplice negligenza e colpa grave è quindi sostanziale. Quando l’intermediario intende far gravare sul cliente tutte le perdite di un’operazione non autorizzata, la qualificazione della condotta e la sua incidenza causale sono decisive. Un errore non può essere trasformato in colpa grave soltanto perché ha preceduto il danno.
Una pagina quasi indistinguibile: che cosa poteva capire il cliente?
La domanda è concreta: se una pagina contraffatta riproduce fedelmente colori, loghi, impaginazione e percorso di accesso della banca, quanto era davvero riconoscibile l’inganno per quella persona, in quelle condizioni?
Nel caso richiamato dalla Corte si parla di un sito che imitava quello bancario. L’eventuale perfezione della riproduzione deve essere verificata sul materiale effettivamente disponibile: non è un dato tecnico accertato dal solo resoconto della vicenda.
Dal punto di vista forense, non mi limiterei a osservare lo screenshot della pagina. Esaminerei il messaggio iniziale, l’indirizzo di destinazione, la sequenza delle schermate, il dispositivo utilizzato, i dati richiesti e gli avvisi comparsi durante il percorso. Conta anche ciò che l’utente credeva di fare: ricevere il ricavato di una vendita, accedere al conto oppure confermare un pagamento.
Una richiesta di credenziali bancarie per ricevere denaro può costituire un segnale d’allarme. Diverso peso può avere un avviso esplicito che mostri importo e beneficiario di un bonifico. Occorre però provare quali informazioni fossero state presentate, con quale chiarezza e in quale momento.
La riconoscibilità dell’inganno va valutata nel contesto in cui si è verificato. Sapere, a posteriori, che un sito era falso rende più facile individuare anomalie che la vittima potrebbe non avere colto durante l’interazione.
Autenticazione e autorizzazione richiedono verifiche distinte
Il fatto che un sistema abbia accettato una password o un codice descrive un passaggio tecnico. L’articolo 72 della PSD2 impedisce di trattare automaticamente quel dato come prova sufficiente del consenso al pagamento o della colpa grave. [2]
La ricostruzione deve chiarire a che cosa servisse ogni conferma: accesso al conto, associazione di un dispositivo, modifica dei recapiti o disposizione del trasferimento. L’etichetta “operazione autenticata” non sostituisce questa analisi.
Occorre anche distinguere il pagamento disposto dal truffatore con credenziali sottratte dal bonifico che la vittima esegue personalmente perché ingannata. La qualificazione giuridica richiede un esame specifico del consenso: la decisione C-70/25 riguarda le operazioni non autorizzate e non consente di promettere lo stesso rimborso per qualsiasi truffa. [2]
Educazione digitale: insegnare comportamenti utilizzabili
Esiste una parte della clientela che ha iniziato a utilizzare i servizi online in età adulta, senza una formazione adeguata. La familiarità con il telefono non coincide, peraltro, con la capacità di riconoscere una frode: anche chi usa quotidianamente applicazioni e social può interpretare male una richiesta costruita per apparire credibile.
A mio avviso, una formazione efficace dovrebbe concentrarsi su poche abitudini verificabili:
- aprire autonomamente l’app bancaria o il sito conosciuto, evitando di inserire credenziali attraverso link ricevuti;
- leggere lo scopo della conferma, l’importo e il beneficiario prima di approvare una richiesta;
- interrompere l’interazione quando qualcuno chiede codici o presenta un trasferimento come necessario per “mettere al sicuro” il denaro;
- ricontattare l’istituto attraverso un recapito ricavato autonomamente dall’app, dalla carta o dalla documentazione ufficiale;
- sapere come bloccare rapidamente l’operatività e segnalare un sospetto.
Inviare periodicamente un’avvertenza generica non equivale ad avere reso comprensibile il rischio. Servono esempi, linguaggio accessibile, assistenza e istruzioni coerenti con le schermate effettivamente utilizzate. Anche le comunicazioni commerciali dell’istituto dovrebbero favorire abitudini compatibili con quelle raccomandate per la sicurezza.
Le difese della banca devono considerare l’errore umano
Il regolamento delegato (UE) 2018/389, all’articolo 2, prevede meccanismi di monitoraggio capaci di rilevare operazioni non autorizzate o fraudolente, considerando l’uso normale delle credenziali e fattori di rischio specifici. La sicurezza dei pagamenti comprende dunque anche l’analisi delle operazioni. [4]
Sul piano tecnico e organizzativo, ritengo necessario valutare insieme segnali che, isolati, possono essere poco significativi: un nuovo dispositivo, la modifica dei recapiti, un beneficiario mai utilizzato e un trasferimento incoerente con l’operatività abituale. La combinazione può giustificare controlli ulteriori, proporzionati al rischio e compatibili con gli obblighi di esecuzione applicabili.
Non ogni operazione insolita è fraudolenta. Né la presenza di una frode dimostra, da sola, l’inadeguatezza dei sistemi bancari. Il controllo deve riguardare ciò che fosse concretamente rilevabile e gestibile prima dell’esecuzione.
Vanno inoltre esaminati la leggibilità degli avvisi, la disponibilità dell’assistenza e i tempi di intervento. Un avviso ricevuto quando il trasferimento è già concluso può aiutare a scoprire il fatto; la sua utilità preventiva va valutata separatamente.
NIS2 e DORA: la sicurezza come responsabilità organizzativa
Il richiamo alla NIS2 è pertinente alla più ampia gestione dei rischi cibernetici. Per le entità finanziarie occorre però considerare il regolamento (UE) 2022/2554, DORA, applicabile dal 17 gennaio 2025. [5]
DORA disciplina, tra l’altro, gestione del rischio informatico, incidenti, test di resilienza e dipendenze dai fornitori tecnologici. L’articolo 1, paragrafo 2, lo qualifica come atto settoriale rispetto alla NIS2 per le entità finanziarie interessate: nelle materie coperte opera il rapporto di specialità previsto dal quadro europeo. [6]
Gli obblighi di rimborso e la ripartizione delle perdite discendono invece dalla disciplina dei servizi di pagamento. Invocare NIS2 o DORA non dimostra automaticamente il diritto al rimborso nel singolo caso.
La mia considerazione è organizzativa: formazione del personale, manutenzione dei sistemi, controlli antifrode e gestione delle segnalazioni devono formare un processo continuo, sostenuto da risorse e responsabilità definite. L’educazione della clientela va integrata in questo processo; non può diventare una giustificazione per ridurre la qualità delle altre difese.
Le responsabilità si ricostruiscono attraverso le evidenze
Nell’analisi di una frode bancaria ritengo essenziale conservare messaggi e collegamenti, ricostruire gli eventi sul dispositivo e confrontarli con le registrazioni dell’intermediario: accessi, associazioni di dispositivi, conferme, modifiche delle impostazioni, disposizione del pagamento e interventi antifrode.
I dati vanno letti insieme, verificandone completezza, significato tecnico e coerenza temporale. Un indirizzo IP non identifica, da solo, la persona che ha operato. Allo stesso modo, una schermata riassuntiva non documenta necessariamente tutto ciò che il cliente ha visto.
Questa ricostruzione consente di portare la discussione su elementi verificabili, distinguendo la condotta dell’utente, le modalità dell’attacco e il funzionamento delle protezioni.
La fiducia nei pagamenti digitali si costruisce anche così
Il cliente deve essere aiutato a riconoscere i rischi e deve utilizzare con attenzione i propri strumenti di pagamento. L’intermediario deve offrire una protezione adeguata a un servizio destinato anche a persone prive di competenze informatiche specialistiche.
Ritengo che l’equilibrio passi da qui: educare il cliente, progettare difese che tengano conto degli errori prevedibili e accertare le responsabilità attraverso prove concrete. La maggiore vulnerabilità di una persona richiede attenzione nella progettazione del servizio; non basta richiamarla quando si deve decidere chi sopporterà la perdita.
La pronuncia europea rende ancora più importante una gestione tempestiva e documentata delle contestazioni. La fiducia nel pagamento digitale dipende anche dalla capacità del sistema di proteggere la vittima mentre vengono accertate le responsabilità.
Fonti e riferimenti
Quadro verificato al 16 ottobre 2026. La ricostruzione della causa C-70/25 e del principio espresso si basa sul comunicato ufficiale della Corte; le valutazioni tecniche e le proposte organizzative sono dell’autore.
- CGUE, comunicato n. 147/26, 15 ottobre 2026, causa C-70/25, Tukowiecka.
- Direttiva (UE) 2015/2366 (PSD2), considerando 72 e articoli 64, 69, 71–74.
- D.lgs. 27 gennaio 2010, n. 11, in particolare articoli 10, 11 e 12.
- Regolamento delegato (UE) 2018/389, articolo 2.
- Banca d’Italia, comunicazione al mercato sull’applicazione di DORA, dicembre 2024.
- Regolamento (UE) 2022/2554 (DORA), articolo 1, paragrafo 2;
direttiva (UE) 2022/2555 (NIS2), articolo 4.
La tua richiesta non può essere convalidata.
La tua richiesta di informazioni è stata inoltrata correttamente.
Fatto