Chi è stato vittima di una truffa di phishing e si è visto svuotare il conto corrente può ora contare su una tutela molto più solida di prima: la Corte di Giustizia dell’Unione Europea ha emesso il 15 ottobre 2026 la sentenza C-70/25, che ribalta la tradizionale ripartizione del rischio tra cliente e istituto di credito. Il tema del rimborso phishing banca diventa così uno dei nodi centrali del diritto bancario europeo, con conseguenze pratiche immediate per milioni di correntisti.
Cosa stabilisce la sentenza C-70/25
Il cuore della pronuncia è semplice ma dirompente: le banche sono obbligate a rimborsare le vittime di phishing entro 24 ore, indipendentemente dal comportamento tenuto dal cliente durante la truffa. Fino ad oggi, gli istituti di credito si difendevano spesso sostenendo che il correntista aveva agito con leggerezza — cliccando su un link sospetto, comunicando le proprie credenziali, confermando un’operazione fraudolenta — e su quella base rifiutavano o ritardavano qualsiasi rimborso.
La sentenza chiude questa via d’uscita. Secondo la Corte, i prestatori di servizi di pagamento devono riaccreditare i pagamenti non autorizzati entro il primo giorno lavorativo utile, senza attendere l’esito di eventuali verifiche interne o procedimenti legali. La responsabilità primaria, in caso di frode, ricade sull’istituto di credito.
Il caso che ha originato la decisione
La vicenda alla base della sentenza riguarda un cliente di una banca polacca che era stato derubato di circa 700 euro attraverso una classica operazione di phishing. Il correntista aveva sporto reclamo chiedendo il rimborso, ma l’istituto aveva opposto resistenza, ritenendo che il comportamento del cliente avesse contribuito alla frode.
→ Leggi anche: Diritto alla riparazione, scatta l'allarme dal 22 ottobre: cosa cambia per smartphone e elettrodomestici
Il caso è arrivato fino alla Corte di Giustizia dell’UE, che ha accolto l’impostazione già sostenuta dall’Avvocato Generale Athanasios Rantos nella sua opinione preliminare: le banche non possono scaricare sul cliente il rischio di una frode informatica, nemmeno quando il correntista ha commesso errori. Rantos aveva già indicato con chiarezza che l’obbligo di rimborso immediato non ammette eccezioni legate alla negligenza del titolare del conto.
Rimborso phishing banca: anche la colpa grave non blocca il pagamento
Il punto più rilevante — e probabilmente il più sorprendente per chi conosce le pratiche bancarie attuali — è che il rimborso è dovuto anche se il cliente ha agito con grave negligenza. Questo significa che anche chi ha risposto a un’email truffaldina, ha inserito le proprie credenziali su un sito falso o ha comunicato un codice OTP a un truffatore che si spacciava per un operatore bancario, ha diritto alla restituzione del denaro sottratto.
La banca non può dunque usare la negligenza del cliente come scudo per evitare il rimborso immediato. Tuttavia, la sentenza non elimina del tutto la possibilità di rivalsa: i prestatori di servizi di pagamento possono successivamente agire per recuperare le somme rimborsate, ma solo se riescono a dimostrare che il comportamento del cliente è stato intenzionale o connotato da dolo. La prova, in ogni caso, spetta alla banca — non al correntista.
È una distinzione fondamentale. Il cliente non deve più dimostrare la propria buona fede per ottenere il rimborso: è la banca che deve dimostrare la mala fede del cliente per poterlo recuperare.
→ Leggi anche: Allarme Tessera Sanitaria, il Ministero della Salute avverte: email truffa in circolazione, ecco come riconoscerle
Cosa cambia nella pratica per i correntisti
Sul piano operativo, la sentenza introduce una sequenza molto precisa. Se si subisce una transazione non autorizzata riconducibile a phishing, ecco cosa è cambiato:
- Segnalazione immediata alla banca: il correntista deve comunicare l’operazione fraudolenta non appena se ne accorge. La tempestività della segnalazione rimane un elemento rilevante.
- Rimborso entro il primo giorno lavorativo: una volta ricevuta la segnalazione, la banca è tenuta a riaccreditare la somma sottratta senza attendere l’esito di indagini interne.
- Eventuale contestazione successiva: solo in una fase successiva, e solo con prove concrete di dolo o comportamento intenzionalmente fraudolento da parte del cliente, la banca può avviare un’azione di recupero.
Per i correntisti, questo significa che il blocco del rimborso — pratica diffusa con cui le banche guadagnavano tempo e spesso scoraggiavano i clienti meno determinati — non è più ammissibile. Chi ha subito un furto tramite phishing e si è sentito rispondere che “la responsabilità è sua” ha oggi una base giuridica molto più solida per contestare quella risposta.
Il quadro normativo di riferimento
La sentenza si inserisce nel perimetro della normativa europea sui servizi di pagamento, che già imponeva obblighi di tutela per i correntisti vittime di operazioni non autorizzate. La Corte ha però chiarito in modo definitivo come quelle norme vadano interpretate quando il danno deriva da una truffa di phishing, colmando un’ambiguità che gli istituti di credito avevano spesso sfruttato a proprio vantaggio.
Per approfondire la dinamica tecnica del phishing — come funziona il furto di credenziali, quali sono i segnali da riconoscere e come comportarsi in caso di frode — il CERT-AGID dell’Agenzia per l’Italia Digitale fornisce aggiornamenti costanti sulle campagne in corso e indicazioni operative per i cittadini.
La pronuncia della Corte di Giustizia UE segna un cambio di prospettiva netto: il rischio della frode informatica non può più essere trasferito sul cliente attraverso clausole contrattuali o valutazioni discrezionali della banca. Chi ha perso soldi a causa di phishing ha ora dalla sua parte una sentenza europea che impone risposte rapide e concrete — e la banca che tarda o rifiuta si espone a contestazioni fondate su basi giuridiche solide.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.