In breve
- Se vedi un movimento che non riconosci, la sequenza è sempre la stessa: blocca la carta, segnala subito l'operazione all'emittente, documenta tutto e presenta il disconoscimento.
- La normativa europea (PSD2, recepita in Italia nel Testo unico sui servizi di pagamento) tutela il cliente: la perdita massima a tuo carico per le operazioni non autorizzate prima della segnalazione è di 50 euro, salvo dolo o colpa grave.
- L'emittente deve rimborsare di norma entro la giornata operativa successiva alla segnalazione, a meno che non abbia un motivato sospetto di frode da parte tua, e in quel caso deve informare la Banca d'Italia.
- Il rimborso può essere negato se hai agito con colpa grave: aver dato il PIN o un codice OTP a un finto operatore è il caso più frequente.
- Se l'emittente non rimborsa, hai a disposizione il reclamo scritto e poi l'Arbitro Bancario Finanziario, senza bisogno di un avvocato.
Cosa si intende per frode con la carta di credito
Per frode con la carta si intende qualunque operazione di pagamento o prelievo che non hai autorizzato, eseguita da terzi con i dati della tua carta o con la carta stessa. Il termine giuridico corretto è operazione non autorizzata, ed è quello che troverai nei moduli dell'emittente e nelle norme.
Le forme più comuni oggi sono tre:
- Uso dei dati della carta online: numero a 16 cifre, scadenza e CVV finiti in mani sbagliate, per esempio dopo un attacco a un sito su cui avevi acquistato o dopo un phishing.
- Clonazione della carta fisica: la banda magnetica o i dati vengono copiati da un dispositivo di skimming su un ATM o un POS manomesso, e usati per pagamenti o prelievi.
- Furto o smarrimento della carta: la carta viene usata prima che tu te ne accorga, di solito con pagamenti contactless sotto la soglia del PIN.
C'è poi una categoria a parte, la frode con manipolazione: il truffatore ti convince, con un SMS o una telefonata, a fare tu stesso l'operazione o a fornire i codici che la autorizzano. Tecnicamente l'operazione risulta autorizzata dal tuo dispositivo, e questo rende il rimborso molto più incerto: ne parliamo nella sezione dedicata alla colpa grave.
Cosa fare nei primi trenta minuti
Nei primi trenta minuti devi fare tre cose, in quest'ordine: bloccare la carta, segnalare l'operazione all'emittente e mettere al sicuro le prove. Tutto il resto può aspettare qualche ora; questi tre passaggi no, perché ogni minuto che passa è un'operazione in più che il truffatore può tentare e, sul piano legale, il momento della segnalazione segna il confine della tua responsabilità.
1. Blocca la carta dall'app
Le carte del nostro confronto si bloccano dall'app in pochi tocchi: Revolut e bunq documentano il blocco e lo sblocco istantaneo della carta dall'app, e la carta di credito TF Mastercard Gold di TF Bank prevede il blocco della carta senza costi; per gli altri prodotti verifica in app la funzione di blocco temporaneo. Se il blocco dall'app non è possibile (telefono rubato, app inaccessibile) usa il numero di assistenza dell'emittente. La procedura completa è nella guida su come bloccare una carta smarrita o rubata.
2. Segnala l'operazione senza indugio
La segnalazione è l'atto giuridicamente rilevante. Va fatta all'emittente della carta, non al circuito né al negoziante, e va fatta appena ti accorgi della frode: la norma parla di «senza indugio». Molti emittenti permettono di contestare l'operazione direttamente dal dettaglio del movimento in app, con un pulsante del tipo «Non riconosco questa operazione»; altri chiedono una chiamata o un'email. Usa il canale ufficiale indicato nel contratto e conserva la prova della segnalazione (numero di ticket, screenshot della chat, email di conferma).
3. Salva le prove
Fai screenshot dei movimenti contestati con data, ora, importo e nome dell'esercente. Se hai ricevuto SMS o email sospette, non cancellarli. Se la carta fisica è stata usata e ce l'hai ancora in tasca, annotalo: è un elemento forte a tuo favore, perché dimostra che l'operazione è avvenuta con una copia dei dati.
Cosa dice la legge sul rimborso: la PSD2 e la franchigia di 50 euro
La legge stabilisce che le operazioni non autorizzate devono essere rimborsate dall'emittente, e che a carico del cliente può restare al massimo una franchigia di 50 euro per le operazioni avvenute prima della segnalazione. Questo principio arriva dalla direttiva europea sui servizi di pagamento (PSD2, direttiva 2015/2366), recepita in Italia nel decreto legislativo 11/2010 e successive modifiche.
I punti che devi conoscere sono quattro.
Rimborso immediato. Se segnali un'operazione non autorizzata, l'emittente deve rimborsarti l'importo entro la fine della giornata operativa successiva a quella in cui riceve la segnalazione, ripristinando il conto o il plafond nello stato in cui sarebbe stato senza l'operazione. Può astenersi solo se ha un motivato sospetto di frode da parte tua, comunicandolo per iscritto alla Banca d'Italia.
Franchigia di 50 euro. Per le operazioni non autorizzate avvenute prima della segnalazione, dovute all'uso di una carta smarrita, rubata o «sottratta indebitamente», puoi essere chiamato a sopportare al massimo 50 euro. Non paghi nemmeno quelli se non potevi accorgerti dello smarrimento o del furto prima dell'operazione, o se la perdita è dovuta a comportamenti dell'emittente o di un suo dipendente.
Nessuna responsabilità dopo la segnalazione. Tutte le operazioni successive alla tua segnalazione sono interamente a carico dell'emittente, salvo che tu abbia agito in modo fraudolento.
Eccezione per dolo o colpa grave. Se hai agito con dolo (frode) o con colpa grave, o se non hai rispettato intenzionalmente gli obblighi di custodia della carta e dei codici, la franchigia non si applica e puoi rispondere dell'intera perdita. È l'unico vero terreno di scontro tra clienti ed emittenti, e merita una sezione a parte.
La tabella seguente riassume chi paga cosa nelle situazioni più frequenti, secondo la normativa europea e italiana.
| Situazione | A carico del cliente | A carico dell'emittente |
|---|---|---|
| Dati della carta rubati online, carta mai uscita di tasca | Di norma nulla | Tutto |
| Carta rubata, usata contactless prima che tu te ne accorga | Massimo 50 euro | Il resto |
| Carta rubata, operazioni dopo la tua segnalazione | Nulla | Tutto |
| Operazione senza autenticazione forte (SCA) dove era dovuta | Nulla | Tutto |
| PIN scritto sulla carta o comunicato a terzi (colpa grave) | Potenzialmente tutto | Nulla o parte, secondo il caso |
| Codice OTP dettato a un finto operatore | Contestato caso per caso; spesso colpa grave | Dipende dalla condotta dell'emittente |
Il ruolo dell'autenticazione forte
Un dettaglio che gioca a tuo favore: se l'operazione contestata è stata eseguita senza autenticazione forte del cliente (SCA) nei casi in cui la PSD2 la richiede, la perdita non può essere addossata a te, salvo che tu abbia agito in modo fraudolento. Per questo, nel modulo di disconoscimento, conviene indicare esplicitamente se hai ricevuto o meno una richiesta di conferma in app o un codice OTP per quella operazione.
Cos'è il disconoscimento e come si presenta
Il disconoscimento è la dichiarazione formale con cui comunichi all'emittente che una o più operazioni non sono state autorizzate da te e ne chiedi lo storno. È il passo che trasforma la segnalazione iniziale in una pratica di rimborso.
Nella maggior parte dei casi l'emittente ti chiede di compilare un modulo, in app o in PDF, con:
- i tuoi dati e il numero della carta (spesso solo le ultime quattro cifre);
- l'elenco delle operazioni contestate, con data, importo ed esercente;
- una descrizione dei fatti: quando ti sei accorto della frode, se la carta è in tuo possesso, se hai ricevuto messaggi sospetti, se hai comunicato codici a qualcuno;
- la dichiarazione che non hai eseguito né autorizzato le operazioni e che non hai ceduto la carta o i codici a terzi;
- copia della denuncia, se richiesta.
Scrivi i fatti in modo preciso e coerente: le pratiche di disconoscimento vengono lette da un ufficio frodi che confronta la tua ricostruzione con i dati tecnici dell'operazione (dispositivo usato, geolocalizzazione, tipo di autenticazione). Una ricostruzione vaga o contraddittoria è il primo motivo di rigetto.
La denuncia: quando serve e come farla
La denuncia alle forze dell'ordine non è un requisito di legge per il rimborso, ma nella pratica è quasi sempre richiesta dall'emittente e conviene farla comunque. Serve a tre scopi: dà data certa ai fatti, alimenta le indagini sulle reti che rivendono i dati delle carte e ti tutela se i truffatori usano i tuoi dati per altre operazioni in futuro.
Puoi presentarla in qualunque ufficio di Polizia di Stato o stazione dei Carabinieri; per le frodi informatiche la Polizia Postale mette a disposizione un canale di segnalazione online sul sito della Polizia di Stato. Porta con te l'elenco delle operazioni contestate, gli screenshot e, se ci sono, i messaggi ricevuti. La denuncia è gratuita.
Un consiglio pratico: fai la denuncia dopo la segnalazione all'emittente, non prima. La priorità è fermare la carta; la denuncia si può presentare anche il giorno dopo.
Tempi del rimborso: cosa aspettarsi davvero
Il rimborso di un'operazione non autorizzata correttamente segnalata arriva, per legge, entro la giornata operativa successiva alla segnalazione, ma nella pratica accade spesso che l'emittente accrediti l'importo «con riserva» e chiuda l'istruttoria nelle settimane successive.
Questa è la sequenza tipica:
- Segnalazione e blocco (giorno zero). La carta viene bloccata e sostituita; la sostituzione è gratuita per la maggior parte dei prodotti che confrontiamo, come indica anche la tabella costi della TF Mastercard Gold di TF Bank (carta sostitutiva a 0 euro).
- Riaccredito provvisorio (da un giorno a pochi giorni). L'importo viene restituito sul conto o il plafond viene ripristinato, in attesa dell'istruttoria.
- Istruttoria dell'ufficio frodi (settimane). L'emittente verifica i dati tecnici, eventualmente interpella l'esercente tramite il circuito e valuta se ci sono elementi di colpa grave.
- Esito definitivo. Se l'istruttoria conferma la frode, il riaccredito diventa definitivo. Se l'emittente ritiene di poterti attribuire la colpa grave, ti comunica per iscritto il rigetto e riaddebita l'importo: a quel punto si apre la fase del reclamo.
Con la carta di credito c'è una differenza pratica importante rispetto alla carta di debito: l'operazione contestata intacca il plafond ma non è ancora stata addebitata sul tuo conto corrente. Se segnali prima della chiusura dell'estratto conto, spesso l'importo viene stornato senza che tu debba anticipare nulla. Con la carta di debito, invece, i soldi escono davvero dal conto e rientrano con il rimborso.
Quando il rimborso può essere negato: la colpa grave
L'emittente può negare il rimborso se dimostra che hai agito con dolo o con colpa grave, oppure che hai violato intenzionalmente gli obblighi di custodia. Non basta che l'operazione risulti «autenticata» dal sistema: la legge dice espressamente che l'uso della carta registrato dall'emittente non è di per sé sufficiente a dimostrare che tu abbia autorizzato l'operazione o agito con colpa grave. Spetta all'emittente provarlo.
Nella prassi degli uffici frodi e nelle decisioni dell'Arbitro Bancario Finanziario, questi comportamenti vengono spesso qualificati come colpa grave:
- avere scritto il PIN sulla carta o in un foglietto tenuto insieme alla carta;
- avere comunicato PIN, password o codici OTP per telefono, via SMS o su un sito raggiunto da un link ricevuto;
- avere autorizzato in app un'operazione o l'associazione di un nuovo dispositivo su richiesta di un sedicente operatore;
- avere ignorato per lungo tempo notifiche e movimenti evidenti.
Il caso più discusso è quello del finto operatore che ti chiama, spesso con un numero che sembra quello della banca, e ti guida passo passo a «mettere in sicurezza» il conto facendoti confermare operazioni o dettare codici. Molte decisioni riconoscono la colpa grave del cliente, ma altre tengono conto della sofisticazione della truffa e di eventuali carenze dei sistemi di controllo dell'emittente. Non esiste una risposta unica: per questo la prevenzione, cioè non dare mai codici a nessuno, resta molto più efficace del contenzioso.
Se l'emittente non rimborsa: reclamo e Arbitro Bancario Finanziario
Se l'emittente rigetta il disconoscimento, la prima mossa è un reclamo scritto al suo ufficio reclami, la seconda è il ricorso all'Arbitro Bancario Finanziario. Nessuna delle due richiede un avvocato.
Il reclamo. Va inviato per iscritto (PEC, raccomandata o il canale indicato nel contratto) all'ufficio reclami dell'emittente, esponendo i fatti, allegando la documentazione e chiedendo espressamente il rimborso ai sensi della normativa sui servizi di pagamento. L'emittente deve rispondere entro i termini previsti per i reclami sui servizi di pagamento, termini brevi rispetto ai reclami bancari ordinari, indicati nel contratto e nella normativa di riferimento.
L'Arbitro Bancario Finanziario (ABF). Se la risposta non arriva o non ti soddisfa, puoi rivolgerti all'ABF, il sistema di risoluzione stragiudiziale delle controversie istituito presso la Banca d'Italia. Il ricorso si presenta online, costa un contributo modesto che viene restituito se il ricorso è accolto, e le decisioni sono pubblicate: molte riguardano proprio operazioni non autorizzate e stabiliscono orientamenti su cosa sia o non sia colpa grave. Le informazioni ufficiali sono sul sito della Banca d'Italia.
Un dettaglio che vale per gli emittenti con licenza estera, come Revolut Bank UAB (Lituania) o bunq (Paesi Bassi): operano in Italia in regime di passaporto europeo e la normativa PSD2 si applica allo stesso modo; per i reclami va seguito il canale indicato nel loro contratto, e per la risoluzione stragiudiziale possono essere competenti organismi del Paese d'origine, collegati alla rete europea FIN-NET. Nella recensione Revolut e nella recensione bunq trovi i riferimenti sulla licenza di ciascun operatore.
Come ridurre il rischio (e accorciare i tempi) in futuro
Le stesse funzioni che rendono più sicura una carta rendono anche più rapido il rimborso, perché riducono il tempo tra la frode e la tua segnalazione. Le più utili sono:
- Notifiche istantanee per ogni operazione: sono lo strumento numero uno. Tutte le fintech del confronto le offrono; se il tuo emittente tradizionale non le prevede, attiva almeno gli SMS.
- Carte virtuali usa e getta per gli acquisti su siti che non conosci, disponibili per esempio con Revolut: il numero cambia dopo ogni pagamento e i dati rubati diventano inutili. Ne parliamo nella guida sulle carte virtuali.
- Limiti di spesa e disattivazione selettiva di pagamenti online, contactless o prelievi, quando non ti servono.
- Controllo regolare dell'estratto conto, soprattutto con la carta di credito, dove le spese non «pesano» subito sul saldo.
- Nessun codice a nessuno: né PIN, né OTP, né conferme in app richieste da qualcuno che ti chiama. Nessun operatore serio te li chiederà mai, e nemmeno CartaSmart, che non raccoglie dati e non gestisce richieste, lo farà.
Nel confronto delle carte indichiamo per ogni prodotto le funzioni di controllo disponibili; le condizioni esatte vanno sempre verificate sul sito ufficiale del provider.
Conclusione
Una frode con la carta di credito è spiacevole ma, nella grande maggioranza dei casi, si risolve con un rimborso integrale se agisci nell'ordine giusto: blocco immediato, segnalazione all'emittente senza indugio, disconoscimento preciso e denuncia. La legge è dalla parte del cliente, con la franchigia massima di 50 euro e l'onere della prova a carico dell'emittente; la parte che dipende da te è non cadere nella colpa grave, cioè non consegnare mai a nessuno i codici che autorizzano le operazioni. Se l'emittente rigetta il rimborso, il reclamo scritto e l'Arbitro Bancario Finanziario sono strumenti accessibili e gratuiti o quasi. E per il futuro, notifiche, limiti e carte virtuali trasformano la sicurezza da problema a routine.