Cassazione Civile: responsabilità della banca nel SIM Swapping

1. Il fatto

   Secondo quanto riportato da testate quali Altalex e Diritto Bancario, la vicenda giunta al vaglio della Cassazione riguarda un risparmiatore che ha subito la sottrazione di ingenti somme dal proprio conto corrente tramite la tecnica del SIM Swapping. Il meccanismo, accertato nei gradi di merito, ha visto un truffatore ottenere illegalmente la duplicazione della SIM del cliente presso un punto vendita dell'operatore telefonico, esibendo documenti contraffatti.

   L'attivazione della nuova scheda ha causato l'immediata disattivazione della SIM originale, impedendo al cliente di ricevere chiamate e messaggi. In questo intervallo di tempo, l'attaccante, già in possesso delle credenziali di accesso all'home banking ottenute tramite un precedente attacco mirato, ha ricevuto sul proprio dispositivo i codici OTP via SMS necessari per autorizzare bonifici verso conti esteri.

   Lo stadio processuale si è concluso con la pronuncia della Corte di Cassazione, chiamata a decidere se la banca potesse invocare la colpa grave dell'utente per non aver segnalato tempestivamente il malfunzionamento della linea telefonica. I giudici di merito avevano因sostanzialmente oscillato sulla valutazione della diligenza del cliente, considerando la frode un evento parzialmente evitabile con una maggiore attenzione allo stato del terminale mobile.

2. 

   Le norme in gioco

   La disciplina cardine è contenuta nel D.Lgs. n. 11/2010, attuativo delle direttive europee sui servizi di pagamento (PSD2). L'art. 10 stabilisce una rigorosa ripartizione dell'onere della prova: se il cliente nega l'autorizzazione, la banca deve provare non solo l'autenticazione dell'operazione, ma anche il dolo o la colpa grave dell'utente.

   L'art. 12 dello stesso decreto limita la responsabilità del pagatore a una franchigia minima, salvo appunto i casi di colpa grave. A completare il quadro è l'art. 1176, comma 2, del Codice Civile, che impone alla banca la diligenza professionale del banchiere accorto. Questa norma eleva lo standard di protezione richiesto all'intermediario, il quale deve adottare misure di sicurezza adeguate allo stato dell'arte tecnologico per prevenire frodi note come il SIM Swapping.

   Infine, l'art. 1218 del Codice Civile inquadra la responsabilità della banca come contrattuale, presupponendo che l'inadempimento dell'obbligo di custodia e sicurezza dei depositi comporti l'obbligo di risarcimento, a meno che l'istituto non provi che l'evento sia derivato da una causa a lui non imputabile.

3. Cosa dice la giurisprudenza

   L'orientamento della giurisprudenza di legittimità ha chiarito che il rischio dell'evoluzione delle tecniche di hackeraggio ricade prevalentemente sulla banca, in quanto soggetto tecnicamente attrezzato per gestire il cosiddetto ignoto tecnologico. I giudici hanno precisato che la semplice dimostrazione che i codici OTP siano stati correttamente inseriti non equivale alla prova della colpa grave del cliente.

   In materia di SIM Swapping, la giurisprudenza ha stabilito che non si può pretendere dall'utente medio una vigilanza ossessiva sulla continuità del segnale telefonico, specialmente se il disservizio può essere scambiato per un banale problema tecnico dell'operatore. La responsabilità professionale dell'intermediario implica l'obbligo di predisporre sistemi di monitoraggio in grado di intercettare anomalie comportamentali, come un improvviso cambio di password seguito da bonifici massivi.

   Inoltre, è stato affermato che l'uso degli SMS come strumento di autenticazione a due fattori, pur essendo diffuso, presenta vulnerabilità intrinseche note. Pertanto, la scelta della banca di affidarsi a questa tecnologia sposta l'asticella del rischio d'impresa a carico dell'istituto, rendendo molto difficile qualificare come negligente la condotta del cliente che subisce un furto d'identità presso terzi (l'operatore telefonico) senza averne alcun controllo.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. Verifica dei log tecnici: In fase di istruttoria, è fondamentale richiedere alla banca non solo l'estratto conto, ma i log di autenticazione completi, inclusi gli indirizzi IP e i codici identificativi dei dispositivi usati per le operazioni contestate.
   2. Analisi della colpa: La difesa del cliente deve insistere sulla distinzione tra la distrazione del risparmiatore e la falla sistemica, dimostrando che l'utente non ha compiuto atti dispositivi delle proprie credenziali.
   3. Coinvolgimento della Telco: Valutare sempre l'opportunità di agire o chiamare in causa l'operatore telefonico per la mancata identificazione del richiedente la nuova SIM, che costituisce il primo anello della catena causale del danno.
   4. Standard di sicurezza: Monitorare costantemente se l'istituto di credito avesse a disposizione tecnologie più sicure (come l'autenticazione biometrica) e se le abbia colposamente omesse preferendo il più economico ma insicuro SMS.

Riferimenti: D.Lgs. 11/2010Art. 1176 c.c.Art. 1218 c.c.

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 15 ottobre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica