Le tutele per i correntisti vittime di truffe informatiche e phishing si arricchiscono di un tassello fondamentale, destinato a cambiare la gestione dei rimborsi bancari. La Corte di Giustizia dell’Unione Europea ha stabilito che gli istituti di credito hanno l’obbligo di restituire immediatamente le somme sottratte attraverso operazioni non autorizzate, anche nei casi in cui si ipotizzi che il cittadino abbia agito con grave negligenza o disattenzione.

La pronuncia dei giudici europei ribalta una prassi consolidata anche in Italia, dove le banche tendono a negare il riaccredito preventivo trattenendo il denaro e scaricando sul cliente l’onere di avviare complessi ricorsi.

Cosa prevede la sentenza della Corte Ue

I giudici europei hanno chiarito che, a fronte della segnalazione tempestiva di una transazione sospetta, il prestatore dei servizi di pagamento deve restituire l’intero importo sottratto entro e non oltre la fine del primo giorno lavorativo successivo alla notifica.

L’unica eccezione che consente all’istituto di sospendere il riaccredito immediato si verifica in presenza di un fondato e motivato sospetto di una frode commessa dallo stesso correntista, circostanza che la banca deve comunque segnalare formalmente e per iscritto alla Banca d’Italia.

Perché cambia la gestione dei rimborsi per i correntisti

La vera svolta della sentenza risiede nell’inversione della procedura d’indagine. Fino ad oggi, la tendenza prevalente delle banche era quella di trattenere le cifre sottratte sostenendo che la vittima avesse consegnato incautamente i propri codici di accesso ai criminali informatici che glieli chiedevano per messaggio.

La Corte Ue ha stabilito che questo meccanismo di blocco preventivo non è legittimo:

• l’istituto ha il dovere primario di restituire subito le somme rubate sul conto corrente;
• se la banca ritiene che il cliente abbia agito con dolo o colpa grave, non può trattenere il denaro d’autorità, ma deve avviare una procedura separata per dimostrare la negligenza dell’utente e chiederne la restituzione

In questo modo si evita che sia il cittadino a dover anticipare le spese legali o attendere i tempi dell’Arbitro Bancario Finanziario per rientrare in possesso del proprio denaro.

Come comportarsi in caso di addebito non autorizzato

Se si scopre di essere stati vittime di una transazione fraudolenta o di un prelievo non autorizzato, la regola fondamentale è sempre una: segnalare tempestivamente l’accaduto per attivare le tutele previste. Ecco quali sono i passi da fare se si sospetta di essere vittime di truffa:

• contattare immediatamente i numeri verdi ufficiali dell’istituto per bloccare le carte e le credenziali di home banking;
• sporgere formale denuncia dell’accaduto presso le autorità di Polizia Postale;
• inviare un reclamo formale via Pec o raccomandata alla propria banca chiedendo il riaccredito immediato delle somme entro il giorno lavorativo successivo, richiamando espressamente la sentenza C-70/25 della Corte di Giustizia Ue.

L’intelligenza artificiale sta entrando sempre più nelle banche, ma porta con sé nuovi rischi per la sicurezza dei conti correnti. Per questo motivo la Banca centrale europea ha chiesto ai principali istituti vigilati di rafforzare le proprie difese contro le minacce informatiche potenziale dall’AI entro il 31 ottobre 2026.

Tutto questo riguarda chiaramente molto da vicino i correntisti, chiamati a fare la propria parte per proteggere risparmi e dati personali. Chiariamo quali sono le richieste della BCE nel dettaglio e che tipo di rischi corriamo.

Cosa chiede la BCE

È giunta una lettera dalla vigilanza bancaria della BCE, nella quale si chiede ai grandi istituti dell’area euro di innalzare il livello di protezione contro le minacce informatiche legate all’intelligenza artificiale. Gli istituti dovrebbero adeguarsi in tempi rapidissimi, entro il 31 ottobre 2026, valutando come l’uso crescente dell’IA, tanto da parte delle banche che da parte dei criminali, possa esporre i sistemi a nuove vulnerabilità. Un intervento che rappresenta un tassello chiave nel quadro di regole europee sempre più attento al concetto di resilienza digitale.

I rischi dell’AI in banca

I pericoli sono di diversa natura:

• gli agenti IA (programmi in grado di agire autonomamente) potrebbero interpretare male attività del tutto legittime, scambiandole per minacce e bloccando servizi ai clienti;
• con la tecnica del prompt injection delle istruzioni malevole possono essere nascoste in documenti o messaggi per manipolare il comportamento dell’AI;
• l’IA può essere sfruttata per individuare le falle dei sistemi e automatizzare le fasi di un attacco, rendendo le intrusioni più rapide e riducendo il tempo a disposizione per reagire, con possibili conseguenze sui risparmi.

Per contenere questi rischi, agli istituti viene chiesto di definire in modo preciso cosa possono fare gli agenti di AI, prevedendo una conferma umana per le operazioni più delicate. Ogni azione dell’IA dev’essere tracciabile e verificabile, con possibilità di spegnere il tutto rapidamente in caso di problemi.

Le banche devono poi effettuare verifiche periodiche sulle vulnerabilità dei programmi usati, mantenendo gli aggiornamenti di sicurezza, disponendo di backup isolati e procedendo al ripristino in caso d’emergenza. Il tutto nel rispetto del regolamento europeo Dora sulla resilienza operativa digitale, in vigore dal 17 gennaio 2025, che fissa standard comuni per la sicurezza informatica.

Come difendersi

Anche i correntisti possono fare molto per proteggersi e dovrebbero agire in maniera rapida e attenta. Ecco un po’ di consigli pratici e utili:

• attivare le notifiche sulle operazioni;
• controllare con regolarità i movimenti del conto;
• custodire con cura le credenziali d’accesso;
• non condividere mai password o codici temporanei;
• verificare che il nome del beneficiario corrisponda all’IBAN indicato prima di un bonifico;
• prestare attenzione alle comunicazioni sospette, comprese chiamate e messaggi falsi creati con l’AI;
• segnalare subito alla banca dei pagamenti non autorizzati (la contestazione è possibile fino a 13 mesi);
• verificare le comunicazioni attraverso i canali ufficiali dell’istituto.