La truffa del finto poliziotto su WhatsApp comincia quasi sempre con un SMS che sembra della tua banca e finisce con una videochiamata o una telefonata da un profilo che mostra la foto, vera, di un dirigente della Polizia di Stato. Il copione è studiato per farti “mettere al sicuro” i risparmi con un bonifico o con i codici che ricevi sul telefono. Come riconoscerla lo trovi ovunque. Qui ci occupiamo della domanda che arriva dopo, quando il bonifico è già partito: chi ti restituisce i soldi, in quali casi, entro quando e con quali probabilità reali.
Ultimo aggiornamento: settembre 2026
L’allarme della Polizia Postale sui profili WhatsApp con le foto dei dirigenti è del 21 novembre 2025 ed è tornato a circolare in questi giorni. Per il rimborso conta una distinzione che quasi nessuno spiega: se il bonifico l’hai disposto tu, anche se ingannato, per la legge è un’operazione autorizzata e la banca risponde solo se ha sbagliato qualcosa; se invece il truffatore ha usato le tue credenziali e i tuoi codici, l’operazione è non autorizzata e la banca deve rimborsare entro la fine della giornata operativa successiva, salvo provare la tua colpa grave (d.lgs. 11/2010, artt. 10-12). Hai al massimo 13 mesi per contestare, ma la legge chiede di farlo “senza indugio”. Se la banca dice no, il ricorso all’Arbitro Bancario Finanziario costa 20 euro e non richiede l’avvocato.
Indice
- Come funziona la truffa del finto poliziotto
- Bonifico autorizzato o non autorizzato: la distinzione che decide tutto
- La colpa grave secondo l’Arbitro Bancario Finanziario
- Tre casi con i numeri: chi rimborsa e quanto
- La verifica del beneficiario ti protegge?
- Cosa fare subito: banca, denuncia, reclamo, ABF
- Cosa cambierà con le nuove regole europee
- Domande frequenti
Come funziona la truffa del finto poliziotto
Il meccanismo è descritto nell’avviso del Commissariato di P.S. online, ripreso anche sul sito della Polizia di Stato. Arriva un SMS che sembra inviato dalla tua banca e parla di presunti problemi sul conto. Poco dopo squilla WhatsApp: numero sconosciuto, ma nella foto profilo c’è l’immagine istituzionale di un dirigente della Polizia, presa da internet. La persona al telefono ti dice che il conto è sotto attacco e che devi agire subito.
Da lì le strade sono due, e la Polizia le elenca entrambe: ti chiedono di fare un bonifico verso un conto “sicuro” oppure di comunicare credenziali, codici dispositivi e OTP. Sembrano varianti dello stesso raggiro, ma per il rimborso sono due mondi diversi. Nel primo caso sei tu a premere “conferma” sull’app. Nel secondo è il truffatore a entrare nel tuo conto con i codici che gli hai dettato.
Il messaggio della Polizia è netto: né le banche né la Polizia di Stato contattano i cittadini via WhatsApp, SMS o altre app di messaggistica per segnalare movimenti sospetti, e nessuna delle due chiede credenziali o dati finanziari. Se vuoi un quadro più ampio delle tecniche (vishing, quishing, voce clonata), lo abbiamo già fatto nella guida sulle truffe bancarie 2026 tra vishing e quishing. Sul primo anello della catena, l’SMS falso, c’è invece la nostra guida allo smishing, il phishing via SMS.
Una nota sul canale. Il blocco delle chiamate con numero italiano falsificato, di cui abbiamo parlato nell’articolo sulle nuove regole AGCOM contro lo spoofing, lavora sulle reti telefoniche. Una chiamata WhatsApp viaggia su internet, quindi quel filtro qui non entra in gioco. È uno dei motivi per cui i truffatori si sono spostati sulle app di messaggistica.
Bonifico autorizzato o non autorizzato: la distinzione che decide tutto
La legge che regola i rimborsi è il decreto legislativo 27 gennaio 2010, n. 11, aggiornato nel 2017 per recepire la direttiva europea PSD2. L’articolo 5 dice che senza il consenso del pagatore un’operazione non può considerarsi autorizzata. Il punto delicato è che il consenso, per la legge, è quello dato con le procedure concordate con la banca: PIN, impronta, conferma sull’app. Il fatto che tu sia stato ingannato non lo cancella.
Tradotto: se il finto poliziotto ti convince a fare tu il bonifico dall’app, l’operazione è autorizzata. Lo dice in chiaro la decisione dell’ABF di Bologna n. 770 del 28 gennaio 2026, che su un bonifico istantaneo disposto dalla cliente dopo un finto SMS della banca scrive che l’operazione «deve pertanto qualificarsi come autorizzata», con la conseguenza che non si applicano gli articoli 10 e 11. La stessa decisione richiama il Collegio di Coordinamento ABF (decisione n. 8671/2024): i pagamenti eseguiti interamente dal cliente, anche se indotto da un raggiro, restano fuori dalla disciplina delle operazioni non autorizzate. La banca, in quel caso, risponde solo se ha violato i suoi obblighi di diligenza, sicurezza o monitoraggio, con le regole ordinarie dell’inadempimento (art. 1218 del codice civile).
Se invece hai dettato le credenziali e l’OTP e il bonifico l’ha fatto il truffatore dal suo telefono, l’operazione è non autorizzata e il quadro cambia a tuo favore. L’articolo 11 obbliga la banca a rimborsare «immediatamente e in ogni caso al più tardi entro la fine della giornata operativa successiva» a quella in cui riceve la tua comunicazione, rimettendo il conto come se l’operazione non ci fosse mai stata, con la stessa valuta. L’articolo 10 aggiunge che l’uso delle credenziali registrato dalla banca non basta, da solo, a dimostrare che tu abbia autorizzato o sia stato gravemente negligente: la prova della frode, del dolo o della colpa grave tocca alla banca.
Ci sono due eccezioni da conoscere. La banca può sospendere il rimborso se ha un «motivato sospetto di frode», ma deve comunicarlo per iscritto alla Banca d’Italia (art. 11, comma 2). E può sempre dimostrare più tardi che l’operazione era autorizzata e chiederti indietro i soldi (art. 11, comma 3). Sul fronte della responsabilità, l’articolo 12 fissa una franchigia massima di 50 euro a carico del cliente, che però salta del tutto se hai agito con dolo o colpa grave: in quel caso le perdite sono tutte tue.
| Cosa è successo | Qualifica giuridica | Regola sul rimborso | Chi deve provare cosa |
|---|---|---|---|
| Hai fatto tu il bonifico dall’app, su istruzione del finto poliziotto | Operazione autorizzata (art. 5) | Nessun rimborso automatico; solo se la banca ha mancato obblighi di sicurezza o monitoraggio | Tocca a te dimostrare la mancanza della banca |
| Hai dato credenziali e OTP, il truffatore ha operato dal suo dispositivo | Operazione non autorizzata | Rimborso entro la fine della giornata operativa successiva (art. 11) | La banca deve provare la tua colpa grave (art. 10) |
| Carta usata online dal truffatore con i codici che gli hai comunicato | Operazione non autorizzata | Come sopra; franchigia massima di 50 euro se non c’è colpa grave (art. 12) | La banca deve provare la tua colpa grave |
| La banca non ha applicato l’autenticazione forte | Operazione non autorizzata | Nessuna perdita a tuo carico, salvo frode (art. 12, comma 2-bis) | Basta dimostrare che la SCA mancava |
La colpa grave secondo l’Arbitro Bancario Finanziario
La legge non definisce la colpa grave. A riempire il concetto ci pensano le decisioni dell’Arbitro Bancario Finanziario, e negli ultimi anni la linea si è assestata su un punto: dare l’OTP a uno sconosciuto non è automaticamente colpa grave, dipende da quanto era credibile l’inganno. Abbiamo letto per intero due decisioni recenti che lo mostrano bene, e i numeri parlano più delle massime.
La prima è la decisione n. 10893 dell’11 dicembre 2025, Collegio di Roma. Il cliente riceve una telefonata da un numero che sembra quello della banca, il finto addetto antifrode conosce i suoi dati anagrafici, il numero della carta e perfino il codice CVV, e si fa dettare i codici arrivati via SMS «per bloccare operazioni fraudolente». Partono due pagamenti con la carta: 1.048,72 euro, che la banca storna dopo il reclamo, e 1.598,66 euro, che invece contesta. L’ABF riconosce che il pagamento era stato autenticato correttamente con autenticazione forte, ma qualifica la chiamata con numero falsificato come truffa «sofisticata», sintomo di «una imperfezione nella sicurezza del sistema» della banca. Risultato: concorso di colpa e 700 euro riconosciuti al cliente, circa il 44% della somma contestata.
La seconda è la già citata decisione n. 770 del 28 gennaio 2026, Collegio di Bologna. Qui il messaggio falso arriva nella stessa chat dove c’erano gli SMS veri della banca, la cliente chiama il numero indicato e un finto operatore la guida a fare lei stessa un bonifico istantaneo di 1.600 euro, confermato con il PIN. L’ABF riconosce che la chat condivisa rendeva il messaggio più credibile, ma giudica gravemente negligente aver disposto un bonifico a favore di terzi senza verificare con i canali ufficiali della banca. Il cliente porta a casa il 20%, cioè 320 euro.
Da queste decisioni si ricava un criterio pratico. Pesa a tuo favore tutto ciò che rendeva l’inganno difficile da smascherare: il numero della banca che compare sul display, il messaggio inserito nella chat con gli SMS autentici, un interlocutore che conosce dati riservati. Pesa contro di te il gesto attivo, cioè fare tu il bonifico, e l’aver ignorato segnali di anomalia. Nella truffa del finto poliziotto c’è un elemento che una banca potrebbe usare in difesa: il salto dalla banca alla “Polizia” su WhatsApp, un canale che le stesse istituzioni dicono di non usare mai per queste cose. È un argomento da mettere in conto quando valuti le tue probabilità, non una sentenza già scritta.
Tre casi con i numeri: chi rimborsa e quanto
Abbiamo costruito tre scenari sul copione descritto dalla Polizia e li abbiamo confrontati con le regole del d.lgs. 11/2010 e con le due decisioni ABF lette sopra. Gli esiti sono probabili, non garantiti: ogni caso viene deciso sui documenti che porti e sui registri della banca.
Caso 1: bonifico istantaneo da 4.800 euro fatto da te
Maria riceve l’SMS “della banca”, poi la chiamata WhatsApp del finto commissario, che le spiega che il conto è compromesso e la guida a spostare 4.800 euro su un “conto di sicurezza” con un bonifico istantaneo. Maria lo conferma con l’impronta digitale. I soldi arrivano sul conto del truffatore in pochi secondi.
Per la legge questa è un’operazione autorizzata. Un ordine di pagamento, una volta ricevuto dalla banca, non si può più revocare (art. 17 del d.lgs. 11/2010), e con un istantaneo la banca lo riceve e lo esegue quasi nello stesso istante. Il rimborso automatico dell’articolo 11 non si applica. Maria può ottenere qualcosa solo dimostrando una mancanza della banca, per esempio un monitoraggio antifrode che non ha segnalato un’operazione del tutto fuori dalle sue abitudini. Se l’ABF le riconoscesse la stessa quota del caso di Bologna, il 20%, recupererebbe 960 euro e ne perderebbe 3.840. Il rigetto totale è uno scenario realistico.
Caso 2: prelievi dall’app dopo aver dettato l’OTP
Giorgio non fa nessun bonifico. Il finto poliziotto gli chiede di “confermare l’identità” leggendo le credenziali e il codice appena arrivato via SMS. Con quei dati il truffatore attiva l’app su un altro telefono e dispone due bonifici, da 2.300 e 1.400 euro, per un totale di 3.700 euro. Giorgio se ne accorge la sera e chiama la banca.
Qui l’operazione è non autorizzata: Giorgio non ha dato il consenso a quei bonifici. La banca deve rimborsare i 3.700 euro entro la fine della giornata operativa successiva alla segnalazione, a meno che non comunichi alla Banca d’Italia un motivato sospetto di frode. Nelle decisioni che abbiamo letto la banca ha sempre sostenuto la colpa grave del cliente che aveva comunicato i codici. Ma l’onere della prova è loro, e se l’inganno era sofisticato (SMS nella chat della banca, interlocutore che conosce i dati del conto) l’ABF tende a riconoscere almeno un concorso di colpa. L’esito probabile va dal rimborso pieno a un rimborso parziale. Se la banca riuscisse a dimostrare la colpa grave, non scatterebbe nemmeno la franchigia dei 50 euro.
Caso 3: carta usata online con i codici che hai comunicato
Anna dà al finto agente i dati della carta e il codice di conferma “per bloccarla”. Il truffatore fa un acquisto online da 1.200 euro. È la situazione più vicina alla decisione ABF di Roma n. 10893/2025.
Anche qui l’operazione è non autorizzata. Se la banca non prova la colpa grave, Anna sopporta al massimo 50 euro di franchigia (art. 12, comma 3) e recupera almeno 1.150 euro. Se l’ABF ravvisa un concorso di colpa come nel caso romano, dove al cliente è stato riconosciuto circa il 44%, la cifra scende e viene fissata in via equitativa. Il rimborso zero resta possibile se ci sono segnali evidenti di inattendibilità del contatto.
| Caso | Importo | Regime | Esito probabile |
|---|---|---|---|
| 1. Bonifico istantaneo fatto da te | 4.800 € | Autorizzata, diritto comune | Da zero a un rimborso parziale (al 20% sarebbero 960 €) |
| 2. Bonifici del truffatore dopo il tuo OTP | 3.700 € | Non autorizzata, artt. 10-12 | Da rimborso pieno a parziale; zero solo se la banca prova la colpa grave |
| 3. Carta usata online | 1.200 € | Non autorizzata, artt. 10-12 | Senza colpa grave almeno 1.150 €; con concorso di colpa quota decisa caso per caso |
L’avviso che in queste ore viene presentato come “nuovo” non lo è: sul sito del Commissariato di P.S. online è datato 21 novembre 2025, e sul portale della Polizia di Stato risulta pubblicato lo stesso giorno e modificato il 13 febbraio 2026. Che torni a circolare dopo dieci mesi dice una cosa sola: la truffa non si è fermata. Nelle due decisioni ABF che abbiamo letto, poi, la banca è stata condannata anche a versare 200 euro alla Banca d’Italia come contributo alle spese e a restituire al cliente i 20 euro del ricorso. Per chi vince, anche solo in parte, il ricorso non costa nulla.
La verifica del beneficiario ti protegge?
Dal 9 ottobre 2025 le banche devono offrire l’invio dei bonifici istantanei e controllare, prima che tu confermi un bonifico SEPA ordinario o istantaneo, se il nome del beneficiario che hai scritto corrisponde all’intestatario dell’IBAN. Lo prevede il Regolamento (UE) 2024/886, come ricorda la pagina della Banca d’Italia sui bonifici istantanei. Il servizio si chiama verifica del beneficiario (in inglese Verification of Payee) ed è gratuito. Per i bonifici in generale, compresa la differenza tra SEPA e SWIFT, trovi i dettagli nella nostra guida su bonifico SEPA e SWIFT.
Contro la truffa del finto poliziotto la verifica aiuta, ma solo in un caso preciso. Se ti dicono di spostare i soldi su un “conto sicuro a tuo nome” e tu scrivi il tuo nome, la verifica ti risponderà che non c’è corrispondenza, perché quel conto è di qualcun altro. Quell’avviso è il momento giusto per fermarti. Se invece il truffatore ti detta il nome esatto dell’intestatario (spesso un prestanome), la verifica darà esito positivo e non ti proteggerà affatto.
C’è anche un rovescio. Nelle note informative che le banche hanno pubblicato sulla verifica, per esempio quella di Intesa Sanpaolo aggiornata al 16 dicembre 2025, è scritto chiaramente che se ricevi l’esito “non corrispondenza” e confermi comunque, la banca non sarà responsabile se i soldi finiscono su un conto non intestato al beneficiario indicato. Ignorare quell’avviso, insomma, indebolisce la tua posizione anche davanti all’ABF. La banca è invece tenuta a rimborsare se la verifica non l’ha fatta o non ti ha mostrato l’esito prima della conferma.
Cosa fare subito: banca, denuncia, reclamo, ABF
Le ore contano, anche se la legge ti dà fino a 13 mesi. L’articolo 9 del d.lgs. 11/2010 fissa quel termine come limite massimo dalla data di addebito, ma prima ancora chiede di comunicare l’operazione non autorizzata «senza indugio». Chi aspetta settimane regala alla banca un argomento. E per un bonifico ordinario non ancora accreditato, o per bloccare altre operazioni, ogni minuto può fare la differenza.
La sequenza che conviene seguire è questa:
- Chiama la banca dal numero stampato sulla carta o sul sito ufficiale, fai bloccare carta, app e credenziali e chiedi di bloccare o richiamare i bonifici. Annota data, ora e nome dell’operatore.
- Metti tutto per iscritto il giorno stesso: disconoscimento delle operazioni non autorizzate o contestazione del bonifico, via PEC o raccomandata o dal canale indicato nel contratto.
- Fai denuncia alla Polizia Postale o in qualunque ufficio di polizia, allegando screenshot dell’SMS, del profilo WhatsApp, del registro chiamate e gli estratti conto. La pre-denuncia online su denunceonline.poliziadistato.it esiste ma, per ora, è in sperimentazione solo in alcuni uffici del Lazio e va formalizzata in ufficio entro 48 ore.
- Presenta reclamo scritto alla banca chiedendo il rimborso e citando gli articoli 10, 11 e 12 del d.lgs. 11/2010. Per i servizi di pagamento la banca ha 15 giorni lavorativi per rispondere, contro i 60 giorni degli altri reclami.
- Ricorri all’ABF se la risposta non arriva o non ti soddisfa, tramite il portale online dell’Arbitro.
Sul ricorso i numeri sono semplici e li trovi nelle pagine ufficiali dell’Arbitro sulle verifiche preliminari e sull’invio del ricorso. Il contributo è di 20 euro, da pagare prima e da allegare. Si possono chiedere fino a 200.000 euro. Il ricorso va presentato entro 12 mesi dal reclamo e non può riguardare fatti di oltre sei anni prima. Non serve l’avvocato e non si viene ascoltati: si decide solo sulle carte, quindi conta quello che alleghi.
Le decisioni dell’ABF non sono vincolanti come una sentenza, ma la banca che non le rispetta finisce per cinque anni nell’elenco degli inadempienti sul sito dell’Arbitro e per sei mesi in evidenza sulla propria home page. Nella pratica è una pressione efficace. Se la decisione non ti soddisfa puoi comunque andare dal giudice.
Cosa cambierà con le nuove regole europee
A novembre 2025 Parlamento europeo e Consiglio dell’UE hanno raggiunto un accordo politico sul nuovo regolamento sui servizi di pagamento, che sostituirà buona parte della PSD2. Secondo il comunicato del Consiglio, quando un truffatore si finge un dipendente della banca e induce il cliente ad approvare un pagamento, la banca dovrà rimborsare l’intero importo, a condizione che il cliente abbia denunciato la frode alla polizia e informato la banca. Le nuove regole non sono ancora applicabili, quindi oggi non si possono invocare.
C’è però un dettaglio che riguarda da vicino questa truffa. La tutela, per come è stata annunciata, copre chi si spaccia per la banca. Il finto poliziotto è un’altra figura, anche se il raggiro parte da un SMS che imita la banca. Quanto questa differenza peserà nei casi concreti lo diranno il testo definitivo e le prime decisioni. Per il momento vale il d.lgs. 11/2010, con la distinzione tra operazioni autorizzate e non autorizzate che abbiamo visto.
Domande frequenti
Ho dato l’OTP al finto poliziotto: ho perso tutto?
No, non automaticamente. Se l’operazione l’ha fatta il truffatore, è non autorizzata e la banca deve rimborsare entro la fine della giornata operativa successiva, a meno che non provi la tua colpa grave. L’ABF valuta caso per caso quanto era credibile l’inganno e spesso riconosce almeno una parte della somma.
La banca rifiuta dicendo che il bonifico l’ho fatto io: ha ragione?
Sulla qualifica sì: se hai disposto tu il bonifico con PIN o impronta, per la legge è un’operazione autorizzata e non c’è rimborso automatico. Puoi però contestare mancanze della banca, come controlli antifrode assenti su un’operazione anomala, e chiedere all’ABF un rimborso parziale.
Entro quanto tempo devo contestare l’operazione?
Il limite massimo è di 13 mesi dalla data di addebito, ma la legge chiede di segnalare «senza indugio». Fallo il giorno stesso, prima al telefono e poi per iscritto.
Posso annullare un bonifico istantaneo già partito?
Di norma no: l’ordine diventa irrevocabile quando la banca lo riceve e l’istantaneo viene eseguito in pochi secondi. Chiedi comunque alla banca di contattare quella del beneficiario per un richiamo dei fondi, ma la restituzione dipende da chi li ha ricevuti.
Quanto costa il ricorso all’Arbitro Bancario Finanziario?
Venti euro di contributo, restituiti dalla banca se il ricorso viene accolto anche solo in parte. Non serve l’avvocato e si presenta online dal portale ABF, dopo aver fatto reclamo alla banca.
La banca non risponde al reclamo: cosa faccio?
Per i servizi di pagamento la banca ha 15 giorni lavorativi per rispondere. Se il termine passa senza risposta, puoi presentare subito ricorso all’ABF, entro 12 mesi dal reclamo.
La denuncia serve per avere il rimborso?
Il d.lgs. 11/2010 non la mette come condizione, ma è la prova più solida che sei vittima di un reato e conviene allegarla al reclamo e all’eventuale ricorso. Con le future regole europee sulla frode per impersonificazione della banca sarà uno dei requisiti per il rimborso.
