Il rapporto della Banca d’Italia del 20 luglio 2026 mostra che nel secondo semestre 2025 il tasso di frode sui bonifici istantanei è sceso da 45 a 28 euro ogni 100.000 euro transati, riduzione che la stessa Banca d’Italia collega anche al rafforzamento dei presìdi successivo all’Instant Payments Regulation e all’introduzione della verification of payee dal 9 ottobre 2025. L’autenticazione forte si conferma efficace contro le operazioni non autorizzate, ma la manipolazione del pagatore resta la forma prevalente di frode sui bonifici. Le frodi APP, in cui è la vittima a disporre il pagamento, mettono in luce i limiti di un quadro costruito sulla distinzione tra operazioni autorizzate e non autorizzate: la verification of payee riduce i rischi legati al cambio di IBAN, ma non intercetta gli schemi in cui il beneficiario è correttamente indicato. Il nuovo regolamento sui servizi di pagamento, in attesa di pubblicazione, sposta una parte significativa del rischio sui PSP, prevedendo il rimborso integrale per le frodi per impersonificazione, la responsabilità per sistemi di prevenzione inadeguati, la condivisione delle informazioni sulle frodi e il coinvolgimento di operatori di telecomunicazione e piattaforme online.
I dati del rapporto della Banca d’Italia
Il 20 luglio 2026 la Banca d’Italia ha pubblicato l’aggiornamento al secondo semestre del 2025 del Rapporto sulle operazioni di pagamento fraudolente in Italia. Secondo quanto evidenziato nel documento, il tasso di frode complessivo in relazione alle operazioni di pagamento eseguite dagli utenti resta contenuto, pari a 3 euro ogni 100.000 euro transati (0,003%), ed è stabile per carte di pagamento, prelievi da ATM e bonifici ordinari, mentre diminuisce per la moneta elettronica, da 33 a 24 euro, e soprattutto per i bonifici istantanei, passati da 45 a 28 euro ogni 100.000 euro transati.
La Banca d’Italia collega quest’ultima riduzione, tra l’altro, al rafforzamento dei presìdi di prevenzione e alle iniziative di sensibilizzazione adottate dai prestatori di servizi di pagamento (“PSP”) a seguito del regolamento (UE) 2024/886 sui bonifici istantanei (Instant Payments Regulation o “IPR”), che dal 9 ottobre 2025 impone il servizio di verifica del beneficiario (verification of payee o “VoP”) per i bonifici SEPA.
Il rapporto evidenzia, inoltre, che i pagamenti assistiti da autenticazione forte del cliente (strong customer authentication o “SCA”) presentano livelli di rischio nettamente inferiori, mentre i presìdi di sicurezza risultano meno efficaci in caso di manipolazione del pagatore, che si conferma la forma prevalente di frode sui bonifici e ne rappresenta, secondo quanto riportato, il 72% del valore. Le frodi su carte e moneta elettronica restano invece legate soprattutto a operazioni non autorizzate.
La responsabilità del PSP nel quadro vigente
Nell’attuale disciplina, derivante dalla direttiva (UE) 2015/2366 (“PSD2”) e recepita in Italia nel decreto legislativo 27 gennaio 2010, n. 11, il riparto delle perdite tra PSP e utente ruota attorno alla distinzione tra operazioni autorizzate e non autorizzate.
Per le operazioni non autorizzate, il PSP del pagatore è tenuto al rimborso immediato, salvo il fondato sospetto di frode del cliente. L’utente sopporta la perdita solo in caso di dolo o colpa grave, ferma una franchigia di modesto importo in caso di cliente consumatore; spetta al PSP provare che l’operazione è stata correttamente autenticata e registrata e il mero utilizzo dello strumento non basta a dimostrare la colpa grave. Se il PSP non ha richiesto la SCA, il pagatore non risponde delle perdite, salvo in caso di frode.
Per le operazioni autorizzate, invece, la PSD2 non prevede in linea di principio un diritto al rimborso e la responsabilità del PSP è circoscritta alla corretta esecuzione dell’ordine. È in questo spazio che si collocano le c.d. frodi da manipolazione del pagatore.
Le frodi APP e i limiti dell’attuale tutela
Le frodi c.d. APP (authorised push payment) ricomprendono le ipotesi in cui il frodatore induce la vittima a disporre essa stessa il pagamento: a titolo esemplificativo, si tratta dei casi di falsi operatori bancari che segnalano movimenti sospetti e invitano a trasferire i fondi su un “conto sicuro”, di falsi fornitori che comunicano un cambio di IBAN, di investimenti fittizi promossi tramite social network. Questi schemi sfruttano tecniche di ingegneria sociale e, sempre più spesso, lo spoofing di numeri telefonici, mittenti di SMS o indirizzi e-mail riconducibili alla banca o al PSP.
Il confine tra operazione autorizzata e non autorizzata è, in questi casi, tutt’altro che netto. Se la vittima comunica credenziali o codici con cui il frodatore dispone direttamente l’operazione, questa resta non autorizzata e il focus, dal punto di vista normativo,si sposta sulla colpa grave del cliente – che l’Arbitro Bancario Finanziario valuta caso per caso alla luce della sofisticazione della truffa e dei presìdi del PSP. Se è la vittima a disporre il pagamento, la tutela è debole e si fonda essenzialmente sulle regole generali di diligenza.
L’irrevocabilità dei bonifici istantanei amplifica il problema, in quanto limita la possibilità di revoca da parte del cliente, dal punto di vista temporale. Da qui la scelta del legislatore europeo di intervenire in via preventiva, con la VoP, e in via successiva, con le nuove regole di responsabilità della riforma della PSD2.
L’autenticazione forte del cliente come strumento di mitigazione delle frodi
Come noto, la SCA, introdotta dalla PSD2 e disciplinata nel dettaglio dalle norme tecniche di regolamentazione adottate a livello europeo, impone l’utilizzo di almeno due elementi indipendenti, appartenenti alle categorie della conoscenza, del possesso e dell’inerenza, per l’accesso online al conto, per la disposizione di pagamenti elettronici e per le operazioni a distanza che comportano un rischio di frode.
I dati della Banca d’Italia ne confermano l’efficacia rispetto alle frodi da operazioni non autorizzate. La SCA mostra però un limite strutturale nelle frodi APP: quando è la vittima stessa ad autenticarsi e a disporre il pagamento, il presidio tecnico funziona correttamente, ma non impedisce la frode. È per questo che l’attenzione regolamentare si è progressivamente spostata dalla sola verifica dell’identità dell’utente al monitoraggio delle operazioni e alla verifica del beneficiario.
La Verification of Payee come ulteriore strumento anti-frode
A seguito dell’entrata in vigore dell’IPR, dal 9 ottobre 2025 i PSP dell’area dell’euro che offrono bonifici SEPA, ordinari e istantanei, sono tenuti a fornire gratuitamente al pagatore un servizio di verifica della corrispondenza tra l’IBAN e il nome del beneficiario indicati nell’ordine, prima che questo sia autorizzato. Il PSP del beneficiario effettua il controllo e il pagatore riceve un esito di corrispondenza, corrispondenza parziale – con l’indicazione del nome corretto – o mancata corrispondenza, restando libero di procedere comunque con il pagamento.
Se il PSP del pagatore non fornisce la verifica e il pagamento giunge a un beneficiario diverso da quello voluto, il PSP deve rimborsare l’importo; se invece il pagatore procede nonostante l’avviso di mancata corrispondenza, il pagatore resta esposto al relativo rischio. Gli utenti diversi dai consumatori possono rinunciare al servizio per i pagamenti in blocco.
La VoP è particolarmente efficace contro le frodi basate sul cambio di IBAN, ma non intercetta gli schemi in cui il beneficiario è correttamente indicato, ad esempio un conto intestato alla vittima stessa o a un prestanome dichiarato.
Le nuove misure del PSR e della PSD3
Il 27 novembre 2025 Parlamento europeo e Consiglio hanno raggiunto l’accordo politico sul regolamento sui servizi di pagamento (Payment Services Regulation o “PSR”) e sulla terza direttiva sui servizi di pagamento (“PSD3”). La PSD3 riguarda essenzialmente autorizzazione e vigilanza degli istituti di pagamento e di moneta elettronica, mentre il PSR, direttamente applicabile, disciplina le regole di condotta, incluse quelle su frodi e responsabilità. Allo stato, si è ancora in attesa della pubblicazione in Gazzetta Ufficiale dei testi dei provvedimenti.
Sul fronte antifrode, la verifica della corrispondenza tra identificativo e nome del beneficiario diventa un presidio generale del nuovo quadro, con l’obbligo per il PSP di rimborsare il pagatore se, in caso di mancata corrispondenza non segnalata, il pagamento è giunto a un destinatario diverso. La novità più rilevante è però il diritto al rimborso integrale per i consumatori vittime di frodi per impersonificazione, nelle quali il frodatore impersona il PSP o un suo incaricato e induce il cliente ad autorizzare il pagamento: il rimborso spetta se la vittima denuncia il fatto alle autorità di polizia e informa tempestivamente il proprio PSP, salvo che quest’ultimo provi la colpa grave o la frode del cliente.
Più in generale, il PSP che non rispetti gli obblighi di prevenzione previsti dal regolamento potrà rispondere delle perdite subite dai clienti e dovrà monitorare le operazioni sia dal lato del pagatore sia da quello del beneficiario. I PSP condivideranno le informazioni sulle frodi nell’ambito di accordi di condivisione delle informazioni, nel rispetto della disciplina sulla protezione dei dati, e gli utenti potranno fissare limiti di spesa, bloccare gli strumenti di pagamento e contare su un’assistenza diretta. Il perimetro si estende, infine, oltre il settore dei pagamenti: gli operatori di comunicazione elettronica saranno chiamati a cooperare nel contrasto allo spoofing, mentre le piattaforme online potranno rispondere nei confronti dei PSP che abbiano rimborsato i clienti, se non hanno rimosso i contenuti fraudolenti segnalati.
Per le operazioni non autorizzate resta l’obbligo di rimborso, di norma entro la giornata operativa successiva; in presenza di motivati sospetti di frode, dolo o colpa grave del pagatore, il PSP potrà svolgere ulteriori verifiche e dovrà rimborsare o motivare il diniego entro 15 giorni lavorativi.
Il contrasto ai fenomeni di frode nei pagamenti e l’evoluzione della normativa di settore
I dati della Banca d’Italia mostrano che i presìdi introdotti negli ultimi anni producono effetti concreti: la SCA ha ridotto il rischio delle operazioni non autorizzate e la VoP ha contribuito al calo delle frodi sui bonifici istantanei. Al tempo stesso, la crescita del peso della manipolazione del pagatore dimostra che la frontiera della prevenzione si è spostata dalla sicurezza dello strumento al comportamento dell’utente.
Il PSR prende atto di questa evoluzione e sposta una parte significativa del rischio sui PSP, che dovranno rafforzare il monitoraggio delle operazioni, rivedere le procedure di gestione di reclami e rimborsi, adeguare la contrattualistica e organizzare la cooperazione con gli altri PSP, gli operatori di telecomunicazione e le piattaforme online.
Il periodo che separa l’entrata in vigore del PSR dalla sua applicazione – che dovrebbe essere, in linea generale, di 21 mesi – andrebbe utilizzato per una gap analysis accurata, tenendo conto che la ripartizione delle responsabilità sarà sempre più legata alla capacità del PSP di dimostrare l’adeguatezza dei propri presìdi.
