Negli ultimi diciotto mesi si è affermata, tra le frodi bancarie online, una fattispecie che merita una trattazione autonoma rispetto al phishing “classico”.
La truffa realizzata facendo assumere al truffatore il controllo del dispositivo della vittima attraverso strumenti di accesso remoto, spesso già integrati nel sistema operativo.
Il caso più diffuso – come prassi tecnica – riguarda Quick Assist, la funzionalità nativa di Windows 10 e 11 basata sul protocollo RDP che non richiede alcuna installazione di software di terze parti, ed è proprio questa naturalezza a renderla efficace nelle mani dei truffatori.
Microsoft stessa ha lanciato, già nell’aprile 2025, un allarme ufficiale sul crescente abuso di Quick Assist in attacchi di finto supporto tecnico potenziati dall’intelligenza artificiale, arrivando a raccomandare la disinstallazione dell’applicativo dove non necessario.
Il meccanismo è ormai noto e riconoscibile. Un finto operatore bancario o delle forze dell’ordine – chiedendo con motivazioni diverse ma sempre molto apparentemente plausibili e di tutela del malcapitato – convince la vittima ad aprire Quick Assist, o un’applicazione equivalente di controllo remoto, per “risolvere un’anomalia o bloccare un tentativo di frode”, ottenendo così il controllo dello schermo e operando materialmente sul dispositivo della vittima, potendo disporre bonifici o pagamenti attraverso l’home banking già autenticato. È una circostanza che cambia in modo sostanziale l’inquadramento giuridico della responsabilità, e che si ritiene debba condurre, nella maggior parte dei casi, a un addebito prevalente in capo all’intermediario.
Il quadro normativo di base
Il fondamento resta il D.Lgs. 11/2010, attuativo delle Direttive PSD e PSD2.
Infatti, l’art. 10 pone a carico del prestatore di servizi di pagamento l’onere di provare che l’operazione contestata sia stata autenticata, correttamente registrata e contabilizzata; inoltre il mero utilizzo dello strumento di pagamento non è di per sé sufficiente a dimostrare che l’operazione sia stata autorizzata dall’utente, restando a carico dell’intermediario anche la prova della frode, del dolo o della colpa grave del cliente; l’art. 10-bis, introdotto dal D.Lgs. 218/2017, impone all’intermediario l’applicazione della Strong Customer Authentication; inoltre l’art. 12, comma 2-bis, esclude qualsiasi perdita a carico dell’utente, salvo il caso di frode, quando l’intermediario non abbia richiesto l’autenticazione forte dovuta, rappresentata da almeno due dei tre fattori indipendenti previsti dalla normativa. È bene chiarirlo perché nella narrazione divulgativa si sente talvolta parlare, impropriamente, di “tre livelli di verifica”, mentre la SCA è basata su almeno due elementi tra conoscenza, possesso e inerenza, tra loro indipendenti.
A questo si affianca l’orientamento consolidato della Cassazione (sent. 12 febbraio 2024, n. 3780), secondo cui la sottrazione fraudolenta delle credenziali rientra nell’area del rischio professionale dell’intermediario, il quale, per andare esente da responsabilità, deve dimostrare di avere adottato misure tecniche concretamente idonee a prevenire o ridurre l’uso fraudolento del servizio. Quindi, per liberarsi da responsabilità, la banca deve dimostrare non solo la regolarità formale dell’autenticazione, ma l’adozione di soluzioni tecniche concretamente idonee a prevenire l’uso fraudolento del servizio.
Perché la truffa con accesso da remoto sposta il terreno del confronto
Nel phishing tradizionale il nodo è quasi sempre se la SCA sia stata correttamente richiesta e se il cliente abbia fornito le proprie credenziali con un grado di imprudenza tale da integrare colpa grave. Nella truffa con accesso da remoto la SCA, di regola, risulta formalmente completata perché è la vittima stessa, con il proprio dispositivo e il proprio profilo biometrico o il proprio PIN, ad autorizzare l’operazione, sia pure sotto la guida del truffatore che opera attraverso lo schermo condiviso. Questo sposta l’oggetto della valutazione, infatti non più “la banca ha richiesto l’autenticazione forte”, ma “la banca disponeva di strumenti idonei a riconoscere che quella sessione, per quanto autenticata, non era genuinamente condotta dal titolare del conto”.
È esattamente su questo crinale che si muovono le decisioni più recenti dell’Arbitro Bancario Finanziario.
Le decisioni più recenti dell’Arbitro Bancario Finanziario mostrano una crescente attenzione agli indici di anomalia rilevabili dall’intermediario anche nei casi di accesso remoto, pur permanendo, allo stato, una tendenza prevalente a soluzioni di concorso di colpa in via equitativa
La decisione del Collegio di Milano n. 8204/2025 ha ribadito che, in assenza di prova di un’autenticazione conforme, non si procede nemmeno a valutare la colpa del cliente, in quanto l’onere probatorio grava per intero sull’intermediario. Per quanto riguarda il caso di accesso remoto propriamente detto, la decisione ABF di Bari (resa nota i primi giorni di settembre 2026, non ancora pubblicata sul sito ufficiale, relativa a una frode da 40.000 euro) è particolarmente significativa perché ha riconosciuto la corresponsabilità della banca, ordinando di conseguenza un rimborso parziale a favore del risparmiatore.
In quel caso, la banca aveva eccepito la piena regolarità della SCA (notifica push e PIN) e la responsabilità esclusiva del cliente per aver consentito l’accesso remoto; il Collegio, pur riscontrando una condotta gravemente colposa della vittima, ha comunque riconosciuto una responsabilità concorrente dell’intermediario, richiamando l’art. 1176, comma 2, c.c. e gli indici di anomalia che la banca avrebbe dovuto cogliere, disponendo un rimborso parziale in via equitativa.
Analogamente ABF Roma con decisione n. 8198/2025 e n. 8019/2023 ha censurato l’intermediario per non aver rilevato una sequenza di undici bonifici anomali eseguiti in successione in poco più di un giorno, ravvisando una responsabilità “quasi paritaria” nonostante la colpevole credulità della cliente.
Il filo conduttore, leggendo insieme queste decisioni, è che il solo superamento formale della SCA non basta più a esonerare la banca in quanto la diligenza dell’accorto banchiere ex art. 1176 c.c. impone un presidio ulteriore, mirato proprio a riconoscere le sessioni compromesse.
L’argomento tecnico che può considerarsi decisivo
È qui che si inserisce l’elemento tecnico che, a mio avviso, sposta in modo determinante l’equilibrio delle responsabilità. Non si tratta – come inizialmente ipotizzato in una prima fase di questo approfondimento – del firewall perimetrale della banca, dal momento che quell’apparato ispeziona solo il traffico diretto ai propri server, e la sessione di accesso remoto tra il dispositivo della vittima e i server-broker dell’applicazione di controllo remoto utilizzata è un flusso di rete del tutto separato, che non transita mai sull’infrastruttura bancaria. Al momento si può ritenere che un firewall, per quanto aggiornato, possa ispezionare un traffico che non gli viene direttamente instradato.
Lo strumento tecnicamente pertinente è un altro, ed è oggi maturo e diffuso sul mercato rappresentato ad esempio invece dalla behavioral biometrics, o analisi comportamentale della sessione.
Diversi fornitori specializzati – adottati anche da primari istituti europei, inclusi casi documentati in Spagna e nel Regno Unito – analizzano centinaia di parametri comportamentali durante la sessione autenticata con la banca. La dinamica del movimento del mouse (le sessioni pilotate da un RAT mostrano traiettorie innaturalmente rettilinee, contro le curve e i micro-tremori tipici del gesto umano), i tempi di reazione ai click (dilatati dalla latenza della connessione remota e dalla necessità del truffatore di leggere istruzioni), e lo scostamento dal profilo comportamentale storico dell’utente. Questa tecnologia è esplicitamente commercializzata come strumento di rilevamento di sessioni controllate da remoto, ed opera precisamente nello scenario in cui la SCA risulta formalmente regolare colmando quindi il vuoto di tutela che la sola autenticazione forte lascia scoperto.
A questo si aggiunge un aggancio normativo che ritengo di grande rilievo: il Regolamento DORA (UE 2022/2554), pienamente applicabile dal 17 gennaio 2025, impone agli intermediari finanziari – all’art. 9 – l’adozione di un framework di gestione del rischio ICT che includa meccanismi di monitoraggio e rilevamento proporzionati ai rischi identificati. Poiché il rischio delle frodi con accesso da remoto è, alla luce degli allarmi di Microsoft e della crescente casistica ABF, ampiamente noto e documentato, la mancata adozione di strumenti di analisi comportamentale oggi tecnicamente maturi, commercialmente disponibili e già impiegati da concorrenti sul mercato europeo non può più essere presentata come un’impossibilità tecnica, ma come una scelta organizzativa che l’intermediario deve giustificare.
Perché la responsabilità dovrebbe ricadere, in misura prevalente, sull’intermediario
Sulla base di questi elementi, ritengo sostenibile – e da valorizzare con decisione in sede di reclamo e di ricorso ABF – la tesi secondo cui, quando l’intermediario non dimostri di aver implementato strumenti di rilevamento comportamentale proporzionati al rischio ormai notorio delle frodi con accesso da remoto, la colpa grave tradizionalmente addebitata al cliente ingannato debba essere ridimensionata a favore di una responsabilità preponderante della banca. L’errore della vittima – aprire un’applicazione nativa, a marchio Microsoft, su indicazione di un interlocutore che si presenta con cognizione di dati reali del proprio conto – è oggettivamente meno grave, sul piano della prevedibilità e dell’evitabilità, della scelta dell’intermediario di non dotarsi di un presidio tecnico ormai standard di settore contro un rischio specificamente segnalato dal produttore del sistema operativo stesso.
Va detto con onestà intellettuale che la giurisprudenza ABF, ad oggi, non è ancora giunta a un addebito integrale e automatico in capo alla banca. Lo schema prevalente resta quello del concorso di colpa ex art. 1227 c.c., con ripartizioni equitative che, nei casi più recenti, si spostano progressivamente a favore del cliente. L’argomento tecnico-normativo qui esposto – assenza di behavioral biometrics a fronte di un obbligo DORA di monitoraggio proporzionato al rischio – non risulta ancora essere stato specificamente introdotto e recepito in una decisione pubblicata, e va quindi presentato come tesi difensiva da valorizzare, non come diritto vivente consolidato.
Cosa fare in pratica
Oltre al protocollo d’urgenza già noto – blocco immediato di carte e home banking, denuncia ai Carabinieri o alla Guardia di Finanza, disconoscimento scritto dell’operazione – nei casi di sospetta frode con accesso da remoto è opportuno, già nel reclamo, richiedere espressamente alla banca la prova documentale dei log di autenticazione dell’operazione contestata; l’indicazione se l’intermediario disponga di strumenti di behavioral biometrics o di analisi comportamentale della sessione e se questi fossero attivi al momento della frode; l’eventuale mancata generazione di alert nonostante pattern di utilizzo anomali.
È questo il terreno probatorio su cui, con maggiore frequenza, si stanno orientando le decisioni più favorevoli al correntista.
È inoltre consigliabile, specie per importi rilevanti, incaricare tempestivamente un legale affinchè formalizzi alla banca la denuncia dell’accaduto e avvii una circostanziata richiesta di risarcimento, corredata della documentazione tecnica sopra indicata. In caso di rigetto e/o di risposta insoddisfacente, potrà essere attivato il ricorso all’Arbitro Bancario-Finanziario per ottenere l’indennizzo delle somme sottratte, valorizzando in quella sede proprio gli argomenti tecnico-giuridici qui esposti.
Un ultimo elemento, spesso ignorato nella narrazione mediatica di queste vicende, merita di essere segnalato. Gli istituti di credito sono normalmente dotati di coperture assicurative dedicate al rischio operativo – le polizze Bankers Blanket Bond (BBB) – che includono una sezione specificamente destinata alle frodi informatiche (“Electronic and Computer Crime”), riferita a perdite derivanti da hacking, frode informatica e trasferimenti di fondi non autorizzati. Ciò non costituisce, di per sé, un titolo di responsabilità azionabile dal cliente, che resta fondato sul D.Lgs. 11/2010 e sui principi sopra richiamati; tuttavia, è un elemento di contesto utile, perché l’eventuale indennizzo riconosciuto al correntista, in caso di accoglimento del reclamo o del ricorso ABF, di norma non grava direttamente sul patrimonio della banca, bensì attiva la copertura assicurativa dedicata a questo specifico rischio.
Conclusioni
La truffa con accesso da remoto rappresenta un salto di sofisticazione rispetto al phishing tradizionale, ma proprio per questo espone con più nettezza i limiti di una difesa bancaria fondata sulla sola regolarità formale della SCA. Gli strumenti per riconoscere una sessione compromessa esistono, sono maturi, sono già adottati da istituti concorrenti sul mercato europeo, e la loro assenza – a fronte di un rischio ampiamente noto e di obblighi di monitoraggio proporzionato ormai codificati dal Regolamento DORA – costituisce l’argomento più solido su cui, oggi, un correntista truffato può fondare, con particolare forza, la richiesta di un rimborso anche integrale, o comunque di una significativa prevalenza di responsabilità in capo all’intermediario.
