Il principio che la frode informatica non si presume, ma si dimostra, e' ormai il cardine della materia. Il punto non e' piu' se la banca debba risarcire, ma se e' riuscita a dimostrare che il correntista abbia agito con colpa grave. La giurisprudenza del 2026 non ha fatto che dare concretezza a questo spostamento dell'onere.
L'onere della prova grava sulla banca
In caso di frode informatica l'istituto di credito deve dimostrare due cose: la regolarita' tecnica dell'operazione e l'adozione di sistemi idonei a prevenire o limitare l'uso fraudolento degli strumenti di pagamento. La sola regolarita' tecnica non basta: e' il principio consolidato, e la ragione per cui il rischio di frode pesa su chi gestisce il sistema (art. 64 PSD2).
In altre parole: se la banca non dimostra di avere adottato misure di sicurezza adeguate, l'operazione fraudolenta resta imputabile a lei. L'esito del giudizio dipende dal percorso della prova, non dalla sua buona fede soggettiva.
La colpa grave del cliente: un parametro, non una presunzione
Il dolo o la colpa grave del titolare del conto e' l'unica ipotesi di esclusione della responsabilita' della banca. In assenza di prova in tal senso, la responsabilita' del cliente e' esclusa.
Il parametro di giudizio e' il carattere tecnologicamente sofisticato della condotta fraudolenta: se la frode usa tecniche non aggirabili da un utente diligente, la colpa grave non sussiste. E' il principio applicato, ad esempio, dal Tribunale di Perugia nella sentenza n. 1711 del 7 maggio 2026, che ha escluso la colpa grave del correntista in una frode con tecniche di spoofing.
Attenzione pero' al caso opposto: prestare fede a una mail di phishing puo' integrare colpa grave. La valutazione e' sempre sul caso concreto, e la combinazione degli elementi conta.
Frodi multicanale: phishing, smishing, spoofing e vishing
La frode non arriva piu' con un solo canale. Si parla ormai di attacchi combinati, in cui la voce, l'SMS e l'email si concatenano per costruire una credibilita' che nessun canale da solo saprebbe creare. E' un'evoluzione che rende l'argomento della diligenza del correntista piu' complesso, e che il giudice deve valutare nel suo insieme.
Il punto resta uno solo: la banca che non prova la colpa grave del cliente, o che non dimostra l'adeguatezza dei propri sistemi, risponde.
Il quadro giurisprudenziale
La pronuncia che ha fissato il principio resta la sentenza n. 3780/2024: il phishing e' illecito e la banca risponde contrattualmente, salvo il caso in cui la frode sia stata resa possibile soltanto dalla negligenza dell'utente, in assenza di colpa grave. Nel 2026 le decisioni di merito hanno proseguito sulla stessa linea: il Tribunale Civile di Roma, con la sentenza n. 964 del 21 gennaio 2026, ha confermato l'obbligo di risarcimento del correntista.
Un avvertimento metodologico: la giurisprudenza su questo tema non e' mai stata del tutto univoca, e le fonti sono in parte discordi. Ogni valutazione richiede la verifica del testo integrale della pronuncia e il suo orientamento, non la sola ripubblicazione del principio.
Hai subito una frode online?
L'onere della prova grava sulla banca, ma va esercitato correttamente: serve una domanda di risarcimento costruita sulla tecnica della frode. Analizziamo il tuo caso.
Valuta il tuo caso