Pagamenti non autorizzati, SIM trasferita e responsabilità della banca nella frode di home banking

Quando la frode digitale coinvolge conto corrente e utenza telefonica

Il Tribunale di Milano, Sez. VI civile, 2 novembre 2026, n. 8374, ha esaminato una vicenda di frode bancaria realizzata attraverso l’acquisizione delle credenziali di home banking e il trasferimento illecito di una SIM collegata alle operazioni dispositive.

La domanda era stata proposta dalla titolare di un’impresa individuale, che chiedeva il risarcimento di euro 19.372,15 per due bonifici eseguiti nel gennaio 2021 e da lei disconosciuti. Secondo la ricostruzione allegata, soggetti ignoti avevano ottenuto le credenziali di accesso al conto online e, parallelamente, la portabilità del numero telefonico del fratello della correntista, delegato a operare sul rapporto bancario. La SIM originaria era stata così disattivata e la nuova utenza era stata utilizzata per completare le operazioni fraudolente.

Nel giudizio erano stati convenuti la banca e un operatore telefonico, ai quali venivano imputate carenze nei controlli. Era stato inoltre chiamato in causa l’altro gestore telefonico. Il Tribunale ha deciso la controversia senza svolgere istruttoria, rigettando integralmente la domanda e ponendo le spese a carico dell’attrice.

L’uso di login e password non prova di per sé l’autorizzazione

Un punto centrale della decisione riguarda il valore probatorio dei log informatici. Il fatto che l’accesso al servizio sia avvenuto mediante login e password corretti non è stato considerato sufficiente, in astratto, a dimostrare che i bonifici fossero stati realmente autorizzati dalla correntista o dal soggetto delegato.

Il giudice ha valorizzato la natura del rischio insito nei servizi bancari online. In tale contesto, l’intermediario non può limitarsi a richiamare il corretto inserimento delle credenziali, ma deve dimostrare il dolo o la grave negligenza dell’utilizzatore quando intende imputare al cliente la perdita derivante da pagamenti non autorizzati.

Il rapporto tra rimborso immediato e responsabilità finale

La pronuncia richiama la Corte di giustizia UE, Sez. I, 15 ottobre 2026, causa C 70/25. Secondo il principio riportato dal Tribunale, la grave negligenza del cliente non fa venir meno l’obbligo di rimborso immediato delle operazioni non autorizzate. Resta però ferma la possibilità per la banca di recuperare successivamente le somme, se riesce a provare la responsabilità dell’utilizzatore.

Il rimborso immediato e la definitiva allocazione della perdita sono quindi piani distinti. Il primo attiene alla tutela pronta dell’utente rispetto all’operazione disconosciuta. Il secondo riguarda l’accertamento successivo della condotta del cliente e della sua incidenza causale sulla frode.

Perché nel caso concreto è stata ritenuta la grave negligenza

Pur escludendo che l’utilizzo delle credenziali corrette basti da solo a liberare la banca da responsabilità, il Tribunale ha ritenuto raggiunta, nella specifica vicenda, la prova della grave negligenza della correntista.

Le credenziali di accesso erano personali ed erano sottoposte a un preciso obbligo contrattuale di segretezza e custodia. Tuttavia, l’attrice non aveva offerto una ricostruzione plausibile del modo in cui terzi fossero riusciti a entrarne in possesso. Tale mancanza è stata ritenuta significativa, perché proprio quei dati costituivano il presupposto necessario per accedere al rapporto bancario online.

Il ruolo del codice ICCID nella portabilità della SIM

Analoga valutazione ha riguardato il codice seriale ICCID della SIM. Tale codice era necessario per ottenere la portabilità del numero telefonico poi utilizzato nella frode. I truffatori conoscevano, oltre al numero, anche il dato seriale indispensabile al trasferimento dell’utenza.

Secondo il Tribunale, non poteva pretendersi dalla banca la prova puntuale del momento e delle modalità con cui le credenziali e il codice ICCID erano stati divulgati. Una simile pretesa avrebbe imposto all’intermediario una prova pressoché impossibile, in contrasto con il principio di vicinanza della prova.

La custodia dei dati riservati come snodo della decisione

L’acquisizione dei dati personali e riservati è stata considerata l’antecedente causale indispensabile della frode. Proprio tale valutazione ha reso superfluo, nella prospettiva del giudice, l’esame delle ulteriori contestazioni rivolte agli operatori telefonici e degli altri profili di condotta attribuiti alla banca.

La decisione chiarisce così che la tutela del correntista rispetto ai pagamenti non autorizzati non si traduce in una responsabilità oggettiva dell’intermediario. La banca non è automaticamente esonerata quando dimostra l’uso delle credenziali corrette, ma il cliente può perdere la tutela risarcitoria se emerge una grave carenza nella custodia dei codici personali e dei dati necessari alla frode.

Indicazioni operative per le controversie su frodi bancarie e SIM

Nelle liti relative a bonifici disconosciuti, la ricostruzione della conservazione delle credenziali, della gestione della SIM e della possibile compromissione del codice ICCID assume un rilievo decisivo. Non basta affermare che l’operazione non è stata voluta. Occorre spiegare, per quanto possibile, come i dati riservati siano rimasti custoditi e quali circostanze possano avere consentito l’accesso abusivo.

Allo stesso tempo, l’intermediario deve misurarsi con l’onere di provare dolo o grave negligenza dell’utilizzatore, senza poter fondare la propria difesa sul solo dato tecnico dell’avvenuto inserimento di login e password. La pronuncia del Tribunale di Milano colloca quindi la responsabilità nella verifica concreta della catena causale, dal possesso delle credenziali fino all’esecuzione dei bonifici del gennaio 2021.