In breve. Difesa penale e reclamo alla banca per phishing e frode bancaria online: blocco dei fondi, prova digitale e responsabilità dell’istituto.
Qui non si difendono cause: si controllano le conseguenze.
Difesa penale e reclamo all’istituto bancario in casi di phishing, smishing, vishing e sostituzione del numero della banca: truffa informatica dell’ articolo 248.2 del Codice penale e rimborso dell’importo non autorizzato ai sensi del Real Decreto-ley 19/2018 sui servizi di pagamento.
La frode bancaria online non somiglia più all’e-mail mal tradotta di dieci anni fa. Oggi il messaggio arriva nello stesso filo di SMS usato dalla banca, la chiamata mostra sullo schermo il numero reale dell’istituto grazie alla falsificazione dell’identificativo del chiamante, e chi parla dall’altra parte conosce gli ultimi movimenti del conto. La vittima non consegna il suo denaro: consegna un codice monouso o convalida una conferma nell’app credendo di bloccare un addebito. Questa condotta è, sul piano penale, il reato di truffa informatica dell’articolo 248.2 del Codice penale, punito ai sensi dell’ articolo 249, perché il patrimonio si sposta mediante manipolazione informatica o artificio analogo e senza valido consenso del titolare. E sul piano contrattuale e amministrativo apre una via diversa e spesso più rapida: il reclamo all’istituto per operazione di pagamento non autorizzata, in cui l’onere della prova dell’autenticazione spetta al prestatore di servizi di pagamento e il rimborso è escluso solo se dimostra frode dell’utente o colpa grave. Le due vie sono compatibili e conviene aprirle in parallelo, perché perseguono obiettivi diversi: quella penale identifica gli autori, blocca i fondi e sostiene la responsabilità civile derivante dal reato; quella dei servizi di pagamento obbliga l’istituto a rimborsare l’importo salvo prova contraria. Perdere una delle due per inattività o per una notifica mal redatta è l’errore più costoso che commette la vittima di un phishing.
Dietro un addebito non riconosciuto c’è di solito una catena di condotte punibili: la cattura delle credenziali, l’accesso all’home banking, l’uso dei dati della carta, la sostituzione dell’identità dell’istituto e la distribuzione del denaro tramite conti ponte. Ogni anello ha la propria norma e la propria strategia probatoria.
Punisce il trasferimento non consentito di qualsiasi bene patrimoniale ottenuto mediante manipolazione informatica o artificio analogo. È la fattispecie naturale del phishing bancario, della frode per sostituzione nell’app e degli ordini di pagamento inseriti con credenziali catturate.
Comprende le operazioni compiute in danno del titolare utilizzando carte di credito o debito, assegni turistici o qualsiasi altro strumento di pagamento materiale o immateriale ottenuto illecitamente, inclusi gli acquisti online e gli abbonamenti ricorrenti.
Prevede la reclusione da sei mesi a tre anni quando l’importo sottratto supera i quattrocento euro e la multa da uno a tre mesi quando non li supera. Nelle campagne con più addebiti successivi si riconosce di solito la continuazione del reato sull’importo totale.
Innalza il quadro sanzionatorio quando la frode supera i cinquantamila euro, quando colpisce un numero elevato di persone, quando riguarda beni di prima necessità o quando l’autore sfrutta la propria credibilità imprenditoriale o professionale.
Punisce autonomamente l’accesso a tutto o parte di un sistema informatico violando le misure di sicurezza, e anche l’intercettazione di trasmissioni non pubbliche di dati, condotte preliminari e necessarie nella maggior parte delle frodi di home banking.
Copre l’appropriazione di credenziali, messaggi e dati personali, nonché la loro cessione o diffusione a terzi. Le banche dati di clienti che alimentano le campagne di phishing mirato rientrano pienamente in questa norma.
Reprime la falsificazione di carte di credito o debito e di assegni turistici, la loro detenzione destinata alla distribuzione e l’uso in danno di altri con conoscenza della falsità, inclusa la clonazione delle bande e la creazione di carte virtuali con dati catturati.
Equipara all’uso di documento falso l’impiego di documenti autentici da parte di chi non è legittimato a utilizzarli, regola decisiva quando l’autore opera con documentazione reale della vittima ottenuta nella fase di raccolta dei dati.
L’usurpazione dello stato civile esige di arrogarsi l’identità completa di un’altra persona nei rapporti giuridici. In parallelo, chi riceve e reinvia il denaro sottratto risponde di riciclaggio di capitali, anche nella forma colposa per grave omissione di verifica.
Nella frode bancaria online la pena dipende dall’importo complessivo, dal numero di danneggiati, dal ruolo accertato nella catena e dalla riparazione del danno. Questo quadro riunisce le norme che ordinano la risposta penale e gli elementi che il tribunale valuta in ciascuna.
| Reato | Norma | Quadro di pena | Fattore aggravante chiave |
|---|---|---|---|
| Truffa informaticaTrasferimento non consentito mediante manipolazione | Articoli 248.2 a) e 249.1 CP | Reclusione da 6 mesi a 3 anni | Importo complessivo e continuazione del reato negli addebiti |
| Truffa informatica aggravataOltre 50.000 euro o moltitudine di danneggiati | Articolo 250.1 CP | Reclusione da 1 a 6 anni e multa da 6 a 12 mesi | Portata della campagna e danno accertato |
| Accesso illecito a sistemiIngresso nell’home banking altrui | Articolo 197 bis.1 CP | Reclusione da 6 mesi a 2 anni | Violazione effettiva di misure di sicurezza |
| Intercettazione di datiCattura di codici monouso | Articolo 197 bis.2 CP | Reclusione da 3 mesi a 2 anni o multa | Mezzo tecnico impiegato e carattere non pubblico della trasmissione |
| Appropriazione e cessione di datiBanche dati usate in campagne mirate | Articoli 197.1 e 197.3 CP | Reclusione da 1 a 4 anni; diffusione, da 2 a 5 anni | Numero di coinvolti e diffusione successiva |
| Falsificazione di carteClonazione e creazione di carte virtuali | Articolo 399 bis CP | Falsificazione, da 4 a 8 anni; uso, da 2 a 5 anni | Fabbricazione rispetto al mero uso consapevole |
| Riciclaggio dolosoConto ricevente che reinvia i fondi | Articolo 301.1 CP | Reclusione da 6 mesi a 6 anni e multa dal valore al triplo | Indizi di conoscenza dell’origine delittuosa |
| Riciclaggio colposoGrave inadempimento del dovere di verifica | Articolo 301.3 CP | Reclusione da 6 mesi a 2 anni e multa dal valore al triplo | Profilo del reclutato e avvertenze ricevute dall’istituto |
Quadri sanzionatori orientativi secondo il Codice penale vigente. Non costituiscono consulenza legale; la qualificazione e la pena richiedono un’analisi individuale della causa.
Un caso di phishing si difende su due fronti simultanei e con linguaggi diversi. In quello penale bisogna identificare l’infrastruttura della frode, la destinazione del denaro e chi lo ha ricevuto; in quello dei servizi di pagamento bisogna smontare l’affermazione che il cliente abbia autorizzato l’operazione. Le due vie si fondano sullo stesso materiale probatorio: estrazione peritale del terminale con catena di custodia, analisi delle intestazioni del messaggio e dell’identificativo del chiamante falsificato, conservazione dei registri mediante l’ordine giudiziario dell’ articolo 588 octies della Ley de Enjuiciamiento Criminal, richiesta ai prestatori ai sensi dell’articolo 588 ter j, tracciabilità dei conti riceventi e richiesta di blocco e sequestro tramite gli articoli 589 e 764 della stessa legge. Questo materiale è anche ciò che obbliga l’istituto a esibire i propri registri di autenticazione forte e che trasforma il reclamo in una posizione difendibile davanti al Banco de España e, se necessario, davanti al giudice civile.LIWARD Legal Intelligence Warfare for Defense, la nostra metodologia propria che integra intelligence giuridica, analisi giurisprudenziale, analisi finanziario-contabile ed e-forensic in un’unica strategia processuale. È ciò che ci distingue dalla difesa penale convenzionale.
Mappatura del procedimento, analisi giurisprudenziale e individuazione precoce delle vulnerabilità probatorie.
Ricostruzione dei flussi economici e perizia della documentazione che sostiene, o smonta, l’accusa.
Catena di custodia, validità della prova elettronica e tracciabilità dei criptoattivi con rigore peritale.
Decisione precisa in ogni fase, dal primo interrogatorio alla cassazione, sostenuta dall’analisi del rischio.
Nella frode bancaria online il caso si vince o si perde nelle prime ore, e quasi sempre per decisioni che la vittima prende da sola, mentre è ancora sotto shock e al telefono con chi la sta truffando.
Nessun istituto chiede di convalidare un pagamento, inserire un codice monouso o installare un’app di assistenza remota per bloccare un addebito. Chiuda la chiamata, chiami lei il numero sul retro della carta e non confermi assolutamente nulla finché dura il contatto in entrata.
Il reclamo per operazione non autorizzata esige una notifica senza indebito ritardo all’istituto. La faccia per iscritto e con ricevuta, identificando ogni operazione, e la conservi: è il documento che fissa la data e attiva l’obbligo di rimborso dell’importo.
Il messaggio contraffatto, l’intestazione dell’e-mail, l’indirizzo del sito falso e il registro della chiamata sono la prova dell’artificio. Li elimini e l’istituto sosterrà che l’operazione è stata autenticata correttamente. Conservi il terminale, non ripristini il dispositivo e chieda un’estrazione peritale.
L’istituto deve dimostrare che l’operazione è stata autenticata, registrata con esattezza e contabilizzata, e non gli basta affermare che sono state usate le credenziali corrette. Esiga i registri di autenticazione, il dettaglio del secondo fattore e la tracciabilità del dispositivo prima di considerare chiusa la questione.
Assistenza immediata 24/7, preparazione della dichiarazione e controllo delle misure cautelari fin dal primo atto.
Studio del fascicolo, perizia finanziaria e digitale e individuazione della teoria del caso.
Progettazione della difesa o dell’accusa, richieste istruttorie e articolazione della prova peritale.
Difesa in dibattimento e, se del caso, appello, cassazione e ricorso di amparo.
Privati e lavoratori autonomi con addebiti, bonifici o prestiti non riconosciuti dopo aver ricevuto un messaggio o una chiamata che simulava il proprio istituto bancario.
Imprese colpite da truffa del CEO o dall’alterazione fraudolenta dei conti di pagamento nelle fatture inviate per e-mail.
Persone indagate per riciclaggio di capitali dopo aver ricevuto e reinviato dal proprio conto fondi provenienti da una frode bancaria.
Clienti il cui istituto ha rifiutato il rimborso invocando colpa grave senza fornire i registri di autenticazione dell’operazione.
Una conversazione tempestiva può cambiare il corso dell’intera vicenda. Parliamone prima che il procedimiento decida per lei.
Testo vigente secondo la versione consolidata della Gazzetta ufficiale dello Stato, con gli elementi della fattispecie e le linee di difesa applicabili.
Société de Conseil Juridique et Expert es un despacho de abogados con sedes en Madrid, Alicante, Londres y París, especializado en defensa y acusación penal, delitos económicos y corporativos y derecho tecnológico. Trabajamos con orientación estratégica en procedimientos penales complejos, propiedad intelectual y análisis forense avanzado, y prestamos consultoría jurídica, compliance y escudos de protección a particulares y empresas. Atendemos desde Alicante y Madrid, con consulta online en toda España y asistencia al detenido 24 horas. Resuelva sus dudas en las preguntas frecuentes o solicite una primera consulta.
Copyright © 2026 Société de Conseil Juridique et Expert S.L.