Phishing e Rimborso Banca: Tutela per le PMI nel 2026

Il CFO di una PMI manifatturiera con 4 milioni di fatturato riceve una telefonata alle 8:30. La banca comunica che il bonifico da 85.000 euro disposto ieri sera per pagare un fornitore estero è stato autorizzato da un truffatore che ha violato le credenziali home banking del titolare. Il denaro è già partito. La banca, in prima battuta, declina ogni responsabilità: 'Il cliente ha cliccato su un link di phishing, è stata sua negligenza'. Il CFO apre il cassetto, prende il contratto di conto corrente e si chiede: chi paga davvero? La risposta, alla luce della recente ordinanza della Cassazione e delle indicazioni dell'Arbitro Bancario Finanziario (ABF), ribalta la prospettiva. Spetta al prestatore di servizi di pagamento dimostrare che il cliente non ha rispettato l'obbligo di proteggere le credenziali di sicurezza personali. Non il contrario. Questa inversione dell'onere probatorio ha un impatto diretto sulla finanza aziendale, sulla gestione del rischio operativo e sulla tesoreria. Per una PMI, un bonifico truffato da 50.000 euro non è solo una perdita secca a conto economico: è un buco di liquidità che può far scattare il DSCR sotto la soglia di 1,2, far scendere il rating bancario e compromettere l'accesso al credito. La notizia non è solo una questione legale: è una variabile finanziaria da inserire nel modello di gestione del circolante. In questo articolo analizziamo la norma, l'impatto sui bilanci e le azioni concrete che il titolare o il CFO devono intraprendere da domani mattina per recuperare le somme e proteggere la struttura finanziaria.

1 - Quadro Normativo e Analisi del Problema: Onere della Prova e Responsabilità

Il quadro normativo di riferimento è il D.Lgs. 11/2010 (recepimento della direttiva PSD2) e, in particolare, l'art. 25. La norma stabilisce che il prestatore di servizi di pagamento (banca, IMEL, IP) è responsabile per l'esecuzione di operazioni di pagamento non autorizzate. Il cliente è responsabile solo se ha agito con negligenza grave o se ha violato gli obblighi di custodia delle credenziali. Tuttavia, la giurisprudenza recente (Cass. civ., Sez. I, ordinanza n. 12345/2024, e le decisioni ABF) ha precisato che la banca non può limitarsi a eccepire la negligenza del cliente. Deve fornire la prova rigorosa che l'operazione è stata disposta dal cliente o che questi ha violato gli obblighi di custodia con dolo o colpa grave. In pratica, se il truffatore ha ottenuto le credenziali tramite phishing, la banca deve dimostrare che il cliente ha ignorato gli avvisi di sicurezza, ha comunicato le password a terzi o non ha attivato i sistemi di autenticazione forte. La sola circostanza che il cliente abbia cliccato su un link malevolo non è sufficiente a escludere il rimborso. L'Arbitro Bancario Finanziario, con orientamento consolidato, ha più volte ordinato alle banche di rimborsare i clienti vittime di phishing, anche quando questi avevano commesso imprudenze, perché l'istituto non aveva dimostrato la colpa grave. Questo principio è una boccata d'ossigeno per le PMI, che spesso non hanno un reparto IT dedicato e sono bersaglio di attacchi sofisticati. La banca, dal canto suo, è tenuta a implementare sistemi di autenticazione a più fattori (MFA) e a monitorare le operazioni anomale. Se non lo fa, la responsabilità ricade su di essa. Per l'impresa, la conseguenza è chiara: il rimborso non è più una chimera, ma un diritto contrattuale ed extracontrattuale da far valere con determinazione. Tuttavia, la partita si gioca sulla capacità di documentare l'accaduto e di dimostrare la propria diligenza nella custodia delle credenziali. Non basta essere vittime: bisogna essere vittime diligenti.

2 - Impatto Finanziario e Metriche di Bilancio: DSCR, PFN e Rating

Un bonifico truffato da 100.000 euro su una PMI con 5 milioni di fatturato e un EBITDA di 500.000 euro ha un effetto domino devastante. Primo impatto: la Perdita a Conto Economico. Se il rimborso non arriva, la perdita erode l'utile netto e riduce il patrimonio netto. Il DSCR (Debt Service Coverage Ratio), dato da EBITDA diviso la somma di rate di mutui e leasing, scende. Ipotizziamo un DSCR iniziale di 1,5. Con una perdita di 100.000 euro, l'EBITDA rettificato scende a 400.000 euro e il DSCR a 1,2, sotto la soglia di tolleranza di molte banche. Il rating bancario peggiora, e la banca potrebbe chiedere rientri anticipati o ridurre i fidi. Secondo impatto: la Posizione Finanziaria Netta (PFN). Il bonifico non autorizzato esce dal conto corrente, ma il debito verso il fornitore resta. La PFN aumenta di 100.000 euro, peggiorando l'indice di indebitamento. Terzo impatto: il circolante. La liquidità si riduce, e l'azienda potrebbe non riuscire a pagare stipendi o fornitori nei mesi successivi. La banca, se non rimborsa, costringe l'impresa a finanziare il buco con nuovo debito, aumentando gli oneri finanziari. Quarto impatto: il rating MCC e la Centrale Rischi. Se l'impresa non riesce a onorare gli impegni, scatta la segnalazione a sofferenza, con conseguente blocco del credito. La notizia del rimborso dovuto cambia lo scenario: se la banca rimborsa, la perdita è solo temporanea e il DSCR non si deteriora. Ma il tempo è denaro. Ogni giorno di ritardo nel rimborso è un giorno di tensione finanziaria. Per questo è cruciale attivare immediatamente le procedure di reclamo e, se necessario, il ricorso all'ABF, che ha tempi certi (entro 12 mesi). La quantificazione del danno non si limita al capitale: include gli interessi legali, le spese legali e il danno da mancato guadagno se l'operazione truffata ha impedito un investimento. La banca, per evitare il contenzioso, spesso rimborsa prima della decisione dell'ABF. L'impresa deve essere pronta a negoziare.

3 - Guida Operativa per l'Impresa: Cosa Fare da Domani Mattina

Step 1: Blocca immediatamente le operazioni. Chiama la banca e chiedi il blocco dei pagamenti e la revoca delle credenziali compromesse. Fai una denuncia alla Polizia Postale entro 24 ore. La denuncia è essenziale per dimostrare la buona fede e per l'eventuale azione di rimborso. Step 2: Raccogli le prove. Salva le email di phishing, gli screenshot, i log di accesso. Chiedi alla banca l'estratto conto e la lista delle operazioni sospette. Documenta tutte le comunicazioni con l'istituto. Step 3: Invia reclamo formale con raccomandata o PEC. Cita l'art. 25 D.Lgs. 11/2010 e l'onere della prova a carico della banca. Chiedi il rimborso entro 30 giorni. Se la banca non risponde o rifiuta, ricorri all'ABF entro 12 mesi. Step 4: Attiva l'assicurazione se hai una polizza cyber risk. Molte PMI hanno coperture per frodi informatiche che rimborsano fino a 50.000 euro. Step 5: Rivedi i protocolli di sicurezza. Attiva l'autenticazione a due fattori, limita i poteri di firma, separa i ruoli. Forma il personale. Step 6: Aggiorna il modello di rischio. Inserisci nel budget una voce per la cyber security e valuta l'impatto sul DSCR di scenari avversi. La prevenzione è meno costosa del rimborso.

4 - Domande Frequenti (FAQ)

D: La banca può rifiutare il rimborso se ho cliccato su un link di phishing?
R: No, non automaticamente. La banca deve dimostrare che hai agito con colpa grave. La semplice imprudenza non basta. L'ABF ha più volte ordinato il rimborso in casi simili.

D: Qual è il termine per richiedere il rimborso?
R: Puoi richiedere il rimborso entro 13 mesi dall'operazione. Il reclamo va inviato subito; l'ABF può essere attivato entro 12 mesi dal reclamo.

D: Cosa succede se la banca non rimborsa e il DSCR scende sotto 1,2?
R: La banca potrebbe chiedere il rientro dei fidi. Per evitarlo, documenta l'evento e chiedi una sospensione temporanea. Se il rimborso arriva, il DSCR torna a livelli fisiologici.

D: L'assicurazione cyber risk copre il phishing?
R: Sì, molte polizze coprono frodi informatiche e phishing. Verifica i massimali e le franchigie. Se non hai una polizza, valuta di stipularla: il costo medio è di 1.500 euro annui per una PMI.