Il caso spiegato
Responsabilità per truffe bancarie: la prova della colpa grave
6 min di lettura · Aggiornato a settembre 2026 · Supervisione editoriale: Avv. Federico Papa
La recente evoluzione giurisprudenziale ha delineato un quadro complesso in materia di pagamenti digitali e sicurezza informatica. Secondo quanto riportato da Diritto e Giustizia e dal Quotidiano Giuridico, l'attenzione si è spostata dalla mera esecuzione tecnica dell'operazione alla valutazione della diligenza professionale richiesta all'istituto di credito, bilanciata con la condotta dell'utente. Questo articolo esamina come la giurisprudenza si divida tra la tutela del correntista e l'esonero dell'intermediario in caso di colpa grave. Attraverso l'analisi delle norme e il ricorso al nostro caso gemello, vedremo come il confine tra una semplice distrazione e la colpa grave possa determinare il diritto al rimborso o la perdita delle somme sottratte illegalmente.
In sintesi
L'articolo analizza la responsabilità degli intermediari nei casi di phishing e smishing, soffermandosi sul riparto dell'onere della prova. La giurisprudenza si divide: se da un lato spetta all'istituto dimostrare la colpa grave dell'utente, dall'altro pronunce come la Cass. 7214/2023 esonerano l'intermediario in presenza di grave negligenza del cliente. Viene approfondito il parametro della diligenza tecnica ex art. 1176 c.c., inquadrando la fattispecie nella responsabilità contrattuale.
Il fatto
La vicenda giunge all'attenzione della Suprema Corte di Cassazione dopo che un correntista aveva subito il prelievo non autorizzato di ingenti somme dal proprio conto in seguito a un attacco informatico. A differenza di quanto accade in altri procedimenti, nei gradi di merito la domanda di rimborso era stata accolta e la Cassazione, con l'ordinanza 3780/2024, ha rigettato il ricorso di Poste Italiane S.p.A., confermando la condanna alla restituzione. Il ricorrente aveva contestato la vulnerabilità del sistema informatico dell'istituto. La tematica dei messaggi fraudolenti inseriti nella stessa catena di comunicazioni ufficiali della banca, capace di trarre in inganno anche un utente mediamente accorto, costituisce invece un tipico scenario valorizzato dalla giurisprudenza di merito e dall'Arbitro Bancario Finanziario (ABF) per escludere la colpa grave. Gli altri profili della vicenda sono trattati in articoli dedicati della rubrica.
Le norme in gioco
Il pilastro normativo è il D.Lgs. 11/2010, che recepisce le direttive europee sui servizi di pagamento.
- L'articolo 10 stabilisce l'onere della prova a carico della banca: se l'utente nega l'autorizzazione, l'istituto deve provare che l'operazione è stata autenticata e che non ha subito malfunzionamenti.
- L'articolo 12 limita la responsabilità del cliente ai soli casi di frode o colpa grave nell'inadempimento degli obblighi di custodia delle credenziali.
- L'articolo 1176 del Codice Civile impone al banchiere la diligenza tecnica professionale, un parametro superiore a quello del buon padre di famiglia, che richiede l'adozione delle migliori tecnologie di sicurezza disponibili per prevenire intrusioni e fenomeni di spoofing.
Cosa dice la giurisprudenza
La giurisprudenza di legittimità ha chiarito che l'intermediario deve fornire la prova del corretto funzionamento dei sistemi, inquadrando la fattispecie nell'ambito della responsabilità contrattuale ex art. 1176, comma 2, c.c. e del D.Lgs. 11/2010. La tesi che qualifica l'attività bancaria online come attività pericolosa ex art. 2050 c.c. rappresenta oggi un orientamento minoritario. Il quadro giurisprudenziale non è univocamente pro-correntista, ma risulta diviso: se da un lato la semplice registrazione dei log di sistema non basta a dimostrare la colpa grave dell'utente, dall'altro la Cassazione, con l'ordinanza 7214/2023, ha stabilito che la consegna delle credenziali a terzi a seguito di un'ingannevole e-mail configura colpa grave, esonerando Poste Italiane S.p.A. da ogni responsabilità.
- Prova l'AI di edit.legal
Analisi redatta e verificata con edit.legal
Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.
Cosa insegna ai professionisti
- Per gli avvocati dei correntisti, è fondamentale produrre screenshot e documentazione che dimostri la verosimiglianza del messaggio fraudolento per declassare la colpa da grave a lieve.
- Per i legali degli istituti, la difesa deve concentrarsi sulla produzione di perizie tecniche che attestino la conformità dei sistemi agli standard PSD2 più elevati.
- Occorre sempre verificare se la banca ha inviato alert in tempo reale e se ha adottato sistemi di blocco automatico per operazioni sospette verso conti esteri o beneficiari mai censiti in precedenza.
Nota di aggiornamento e rettifica (17 settembre 2026)
La versione precedente di questo articolo riportava erroneamente che la giurisprudenza di legittimità avesse un orientamento consolidato a favore del correntista e che qualificasse l'attività bancaria online come attività pericolosa. Inoltre, attribuiva alla Cassazione argomentazioni sui messaggi fraudolenti nella catena ufficiale, proprie invece della giurisprudenza di merito e dell'ABF, e riportava un iter processuale inesatto per Poste Italiane. Il testo è stato corretto sulla base degli atti ufficiali: la Cassazione inquadra la fattispecie nella responsabilità contrattuale e presenta un orientamento diviso, avendo rigettato il ricorso di Poste con l'ordinanza 3780/2024, ma avendola esonerata per colpa grave del cliente con l'ordinanza 7214/2023.
Riferimenti: D.Lgs. 11/2010Art. 1176 c.c.Art. 2050 c.c.Cass. 7214/2023Cass. 3780/2024
Casi correlati
Domande frequenti
Cosa si intende esattamente per colpa grave del correntista?
La colpa grave consiste in una condotta caratterizzata da una straordinaria imprudenza, come ignorare avvisi di sicurezza palesi o cedere volontariamente tutte le credenziali a sconosciuti.
La banca deve rimborsare sempre in caso di phishing?
No, il rimborso è dovuto solo se l'istituto non riesce a provare la colpa grave dell'utente o se i propri sistemi di sicurezza non erano adeguati agli standard professionali richiesti.
Quanto tempo ho per denunciare un'operazione non autorizzata?
L'utente deve comunicare l'operazione non autorizzata alla banca senza indugio e comunque entro 13 mesi dalla data di addebito per conservare il diritto al rimborso.
Ricerca e redazione con fonti verificate su edit.legal
Ricerca giuridica e redazione con citazioni riscontrate sulle banche dati ufficiali. edit.legal si prova gratis, senza carta di credito.
Prova edit.legal gratis