Phishing, la Corte di giustizia UE cambia le regole: la banca deve rimborsare

Chi ha subito un addebito dopo aver cliccato su un link falso conosce bene la risposta che arriva, spesso, dalla propria banca: “Il rimborso non è dovuto, lei ha agito con colpa grave”. Una risposta che, per molti, chiudeva la questione prima ancora che si aprisse.

Il 15 ottobre 2026 la Corte di giustizia dell’Unione europea ha messo un punto fermo. Con la sentenza nella causa C-70/25 (Tukowiecka) ha stabilito che la banca deve rimborsare immediatamente l’operazione non autorizzata, anche quando sostiene che il cliente sia stato negligente. La colpa grave potrà essere discussa, ma solo dopo, e sarà la banca a doverla dimostrare.

In questo articolo spieghiamo cosa ha deciso la Corte, cosa cambia per chi è stato vittima di phishing in Italia e negli altri Paesi europei, e quali passi conviene compiere subito. Come Studio Legale assistiamo da anni le vittime di frodi bancarie e truffe online: questa sentenza rafforza strumenti che già utilizziamo ogni giorno.

Il caso: 700 euro, un link falso e un rimborso negato

La vicenda nasce in Polonia. Una donna vende un oggetto su un portale online e riceve un messaggio da un finto acquirente, con un link per “confermare la vendita”. Il link porta a una pagina identica a quella della sua banca. Lei inserisce le credenziali di home banking e, poco dopo, il truffatore usa un codice SMS ottenuto con l’inganno per disporre un bonifico di 3.000 zloty, circa 705 euro.

La cliente denuncia subito l’accaduto alla banca e alla polizia. La banca, PKO BP, rifiuta il rimborso: secondo l’istituto, consegnare le credenziali su un sito falso è colpa grave. Il tribunale di Koszalin chiede allora alla Corte di giustizia come vada interpretata la direttiva europea sui servizi di pagamento (PSD2).

Cosa ha stabilito la Corte di giustizia UE

La risposta della Corte, che ha seguito le conclusioni dell’Avvocato generale Rantos del marzo 2026, si può riassumere in quattro punti.

• Prima si rimborsa. In caso di operazione non autorizzata, la banca deve restituire la somma immediatamente e comunque entro la fine della giornata lavorativa successiva a quella in cui viene informata, se il cliente ha segnalato l’operazione senza ritardo.
• La colpa grave non è una scusa per non pagare. La sola convinzione della banca che il cliente sia stato negligente non giustifica né il rifiuto né il ritardo del rimborso.
• Un’unica eccezione. La banca può sospendere il rimborso solo se ha ragionevoli motivi per sospettare una frode commessa dal cliente stesso, e deve comunicarli per iscritto all’autorità nazionale competente (in Italia, la Banca d’Italia).
• Poi, semmai, si discute. In un secondo momento la banca può chiedere indietro la somma, ma solo provando che il cliente ha agito con dolo o colpa grave. L’onere della prova resta tutto in capo alla banca.

La Corte spiega anche il perché. Se la banca potesse trattenere il rimborso invocando la negligenza, il diritto al rimborso immediato resterebbe sulla carta: sarebbe il cliente, già danneggiato, a dover fare causa per riavere i propri soldi, con costi e tempi che molti non possono permettersi.

In sostanza la sentenza separa due momenti che le banche tendevano a sovrapporre: il rimborso immediato, che è un obbligo, e la ripartizione finale della perdita, che è una questione da provare.

Cosa la sentenza non dice

Per correttezza va detto anche cosa la Corte non ha deciso. Non ha stabilito se inserire le credenziali su una pagina falsa sia, o non sia, colpa grave: questo resta al giudice nazionale, caso per caso. Inoltre la pronuncia riguarda le operazioni non autorizzate, cioè disposte dal truffatore con le credenziali della vittima. Non copre direttamente i casi in cui è la vittima stessa, ingannata, a ordinare il bonifico (ad esempio verso una falsa piattaforma di trading): lì servono strumenti diversi, che esaminiamo più avanti.

Cosa cambia in Italia

In Italia la direttiva PSD2 è stata recepita con il D.Lgs. 11/2010, che già prevede regole molto vicine a quelle ribadite dalla Corte:

• rimborso entro la giornata operativa successiva all’operazione non autorizzata, salvo motivato sospetto di frode comunicato alla Banca d’Italia (art. 11);
• onere della prova a carico della banca: l’uso delle credenziali, da solo, non basta a dimostrare che il cliente abbia autorizzato l’operazione o sia stato gravemente negligente (art. 10);
• la perdita resta a carico del cliente, oltre la franchigia, solo in caso di dolo o colpa grave (art. 12);
• la contestazione va fatta senza indugio e comunque entro 13 mesi dall’addebito (art. 9).

Nella pratica, però, molte banche hanno ribaltato l’ordine: prima valutavano la condotta del cliente, poi – eventualmente – rimborsavano. Chi si sentiva rispondere “colpa grave” doveva rivolgersi all’Arbitro Bancario Finanziario o al giudice, aspettando mesi.

Anche la giurisprudenza italiana non è stata uniforme. La Cassazione ha in alcuni casi esonerato la banca davanti a una negligenza evidente del cliente (Cass. n. 7214/2023), in altri l’ha condannata per non aver predisposto sistemi di controllo adeguati (Cass. n. 806/2016 e n. 2950/2017). L’ABF, da parte sua, chiede alla banca di dimostrare di aver applicato l’autenticazione forte e di produrre i log dell’operazione, e tende a escludere la colpa grave nei casi di spoofing più sofisticati.

La sentenza C-70/25 è vincolante per tutti i giudici nazionali chiamati ad applicare la PSD2. Il messaggio è chiaro: il rifiuto del rimborso motivato solo con la “colpa grave” non è conforme al diritto europeo. Interessante notare che l’Italia era tra i governi intervenuti nel procedimento, con argomenti che la Corte non ha accolto.

Uno sguardo oltre i confini: Europa e Regno Unito

La sentenza arriva in un momento in cui le frodi sui pagamenti sono al centro dell’attenzione in tutta Europa.

• Polonia. Secondo i dati della banca centrale, nel solo primo trimestre 2026 i bonifici non autorizzati sono stati circa 39.200, per quasi 250 milioni di zloty; le banche ne hanno sostenuto appena l’11% circa. L’autorità antitrust polacca ha già ottenuto da quattro banche l’impegno a riesaminare i reclami respinti.
• Spagna e Germania. Studi legali spagnoli stanno già usando la pronuncia contro i rifiuti fondati sulla sola negligenza, mentre in Germania la federazione dei consumatori aveva segnalato prassi bancarie analoghe a quella polacca.
• Il nuovo Regolamento UE sui pagamenti (PSR). L’accordo politico è stato raggiunto a novembre 2025 e le nuove regole dovrebbero applicarsi dal 2028. Il testo introduce un diritto al rimborso per lo spoofing (quando il truffatore si finge la tua banca), estende la verifica nome-IBAN e consente alle banche di rivalersi su piattaforme online e operatori telefonici che non bloccano le truffe. Alcune associazioni di vittime temono però che il testo finale reintroduca proprio la “colpa grave” come motivo per sospendere il rimborso: la sentenza C-70/25 diventa quindi anche un riferimento per il legislatore.
• Regno Unito. Fuori dall’UE, dal 7 ottobre 2024 le banche britanniche devono rimborsare le vittime delle cosiddette truffe APP (bonifici disposti dalla vittima su induzione del truffatore) fino a 85.000 sterline. Nel primo anno è stato restituito l’88% delle somme perse, 173 milioni di sterline.

Il quadro, insomma, si muove in una direzione precisa: il rischio delle frodi digitali non può ricadere automaticamente sul cliente. Per uno Studio internazionale come il nostro, presente in Italia, Spagna, Regno Unito e in altri Paesi, questo significa poter tutelare chi è stato truffato anche quando il conto, la banca o il truffatore si trovano in Paesi diversi.

Sei stato vittima di phishing? Cosa fare subito

La sentenza tutela chi agisce con tempestività. Ecco i passi da seguire, nell’ordine.

• Blocca carte e accessi. Chiama il numero di emergenza della banca, fai bloccare carte e home banking e cambia le password.
• Contesta l’operazione per iscritto, subito. Invia un reclamo scritto (PEC o raccomandata) in cui dichiari di non aver autorizzato l’operazione e chiedi il rimborso immediato. Conserva la ricevuta: la data della segnalazione è decisiva.
• Sporgi denuncia. Presenta denuncia alla Polizia Postale o ai Carabinieri, allegando messaggi, link, email e numeri di telefono usati dal truffatore.
• Conserva tutte le prove. Screenshot degli SMS, delle chat e della pagina falsa, estratti conto, notifiche dell’app: tutto può servire a dimostrare come è avvenuta la truffa.
• Non accettare un “no” motivato solo con la colpa grave. Se la banca rifiuta o tarda a rimborsare invocando la tua negligenza, quel rifiuto oggi si scontra con quanto deciso dalla Corte di giustizia.
• Fatti assistere. Un avvocato può valutare se la banca ha rispettato i propri obblighi, chiedere i log delle operazioni e scegliere la strada più efficace: reclamo, Arbitro Bancario Finanziario o azione in giudizio.

Se il rimborso ti è già stato negato in passato per “colpa grave”, non dare per scontato che sia tutto perduto: la possibilità di riaprire la questione dipende dai tempi e dalle regole nazionali, ed è una valutazione che conviene fare con un professionista.

Come può aiutarti Giambrone & Partners

Da anni il nostro Studio assiste privati e imprese vittime di frodi bancarie e truffe online: phishing, smishing (SMS falsi), vishing (telefonate di finti operatori), spoofing, ma anche truffe sugli investimenti, trading online e criptovalute. La sentenza della Corte di giustizia non cambia il nostro lavoro: lo rende più forte.

In concreto, quando ci contatti:

• analizziamo la tua situazione, distinguendo se si tratta di un’operazione non autorizzata (dove la sentenza C-70/25 si applica direttamente) o di un pagamento disposto da te sotto inganno, che richiede strumenti diversi;
• verifichiamo l’operato della banca: tempi del rimborso, autenticazione utilizzata, sistemi antifrode, eventuali segnali di anomalia ignorati;
• gestiamo la contestazione con la banca e, se necessario, il ricorso all’Arbitro Bancario Finanziario o l’azione in giudizio;
• lavoriamo anche oltre confine, grazie alle nostre sedi internazionali, quando il conto del truffatore o la banca si trovano all’estero.

Ogni caso è diverso, e il tempo conta: prima si agisce, più strumenti restano a disposizione. Se hai subito un addebito non autorizzato o la tua banca ti ha negato il rimborso, parla con un avvocato del nostro team: valuteremo insieme la tua posizione e le strade concretamente percorribili.

Domande frequenti

La banca deve rimborsarmi se sono stato vittima di phishing?

Sì, se l’operazione non è stata autorizzata da te e l’hai segnalata senza ritardo. Secondo la Corte di giustizia UE (causa C-70/25) la banca deve rimborsare subito, anche se ritiene che tu sia stato negligente.

Entro quando deve arrivare il rimborso?

Al più tardi entro la fine della giornata lavorativa successiva a quella in cui la banca è stata informata dell’operazione non autorizzata.

La banca può rifiutare il rimborso per colpa grave?

No, non in via immediata. Può sospenderlo solo se sospetta una frode commessa dal cliente e lo comunica per iscritto all’autorità competente. La colpa grave può essere fatta valere solo dopo il rimborso, e deve essere la banca a dimostrarla.

Quanto tempo ho per contestare un’operazione non autorizzata?

Devi segnalarla senza indugio, appena te ne accorgi, e comunque entro 13 mesi dall’addebito. Prima lo fai, più sei tutelato.

La sentenza vale anche se ho fatto io il bonifico, convinto da un truffatore?

Non direttamente: la pronuncia riguarda le operazioni non autorizzate. Se hai disposto tu il pagamento, ad esempio verso una falsa piattaforma di investimento, esistono comunque altri strumenti di tutela da valutare caso per caso.

La banca mi ha già negato il rimborso in passato. Posso ancora fare qualcosa?

Potenzialmente sì. Un rifiuto basato solo sulla colpa grave era già difficilmente compatibile con la PSD2; la possibilità di agire oggi dipende da tempi e circostanze, ed è utile farla verificare da un avvocato.