Operazioni non autorizzate su carta o conto: le prime 24 ore (2026)

Le operazioni non autorizzate su una carta o su un conto si scoprono di solito nel modo più sgradevole: una notifica sul telefono alle due di notte, un pagamento presso un negozio online sconosciuto o un bonifico verso un conto mai visto. In quel momento il panico è comprensibile, ma sono proprio le prime ore a determinare con quanta facilità riavrà il Suo denaro. La legge è dalla parte del consumatore, ma solo se agisce rapidamente e lascia una traccia scritta.

In questo articolo spieghiamo cosa fare nelle prime 24 ore dopo aver scoperto un'operazione di pagamento non autorizzata, quali sono gli obblighi della banca ai sensi della Legge sui servizi di pagamento e sui sistemi di pagamento (Закон за платежните услуги и платежните системи, ЗПУПС), fino a quale importo può essere responsabile e quando non lo è affatto. A parte esaminiamo le truffe di phishing e vishing, in cui è il cliente stesso ad aver inserito un codice o confermato un bonifico.

Che cos'è un'operazione «non autorizzata» per la legge?

Ai sensi dell'art. 70 della Legge sui servizi di pagamento e sui sistemi di pagamento, un'operazione di pagamento è autorizzata se il pagatore l'ha disposta o ha dato il consenso alla sua esecuzione. Senza consenso, l'operazione è non autorizzata. Esempi tipici sono:

• pagamenti con una carta rubata o smarrita;
• pagamenti online con i dati della carta copiati (numero, data di scadenza, codice CVC);
• bonifici dall'home banking disposti da un terzo che ha ottenuto l'accesso al Suo profilo;
• prelievi di contante da un bancomat con una carta clonata.

La situazione è diversa quando è stato Lei a disporre il bonifico, sia pure sotto l'influenza di un truffatore (ad esempio un «investimento» o il «salvataggio del Suo denaro» su istruzione di un falso dipendente della banca). In tal caso, formalmente, Lei ha dato il consenso e la tutela è più limitata: esaminiamo questa distinzione più avanti.

Operazioni non autorizzate: cosa fare nelle prime 24 ore

Le «24 ore» non sono un termine di legge ma un termine pratico: la legge richiede la notifica senza indugio, e ogni ora persa dà ai truffatori il tempo di spostare il denaro.

1. Blocchi subito la carta. Usi l'app o il numero telefonico della banca attivo 24 ore su 24. L'emittente della carta deve consentire la notifica in qualsiasi momento (art. 76, comma 1, punto 4, della Legge sui servizi di pagamento e sui sistemi di pagamento). Se è coinvolto l'home banking, chieda di bloccare anche l'accesso e cambi le password.
2. Avvisi la banca per iscritto. Una telefonata blocca la carta, ma non sostituisce la notifica scritta. Invii un'e-mail o presenti una domanda in filiale, indicando espressamente quali operazioni contesta (data, importo, beneficiario) e che non le ha autorizzate. Chieda un numero di protocollo.
3. Sporga denuncia alla polizia. La denuncia si presenta presso il commissariato più vicino oppure online alla Direzione generale per la lotta alla criminalità organizzata (ГДБОП), che dispone di un'unità specializzata in criminalità informatica. Il numero del procedimento Le servirà per la banca e per un'eventuale causa.
4. Conservi le prove. Faccia screenshot di SMS, notifiche, e-mail, cronologia delle chiamate, messaggi del truffatore e link cliccati. Non cancelli nulla, anche se è imbarazzante.
5. Chieda la prova della notifica. Su richiesta, la banca deve fornirLe, per un periodo fino a 18 mesi, la prova di averla avvisata (art. 76, comma 1, punto 5, della Legge sui servizi di pagamento e sui sistemi di pagamento).

Gli stessi passi valgono quando le operazioni non autorizzate vengono effettuate sul conto di un familiare defunto: gli eredi comunicano il decesso alla banca e chiedono il blocco delle carte e un estratto dei movimenti del conto. Descriviamo come gli eredi accertano quali conti e crediti aveva il defunto nel nostro articolo sulla ricerca dei beni ereditari: conti, immobili e quote societarie.

Dalla nostra pratica: L'errore più frequente è che il cliente si accontenti di una telefonata e di un «verificheremo». Mesi dopo la banca sostiene che la notifica è stata tardiva, e il cliente non ha modo di provare il contrario. La notifica scritta il primo giorno è l'assicurazione più economica contro una simile controversia.

Quando la banca deve restituirLe il denaro?

La regola fondamentale è nell'art. 79, comma 1, della Legge sui servizi di pagamento e sui sistemi di pagamento: in caso di operazione di pagamento non autorizzata, il prestatore di servizi di pagamento del pagatore ne rimborsa l'importo immediatamente, e in ogni caso entro la fine della giornata lavorativa successiva a quella in cui ha preso atto dell'operazione o ne è stato informato. Il conto deve essere riportato nello stato in cui si sarebbe trovato se l'operazione non autorizzata non avesse avuto luogo, con data valuta non successiva a quella dell'addebito.

La legge ammette un'eccezione: la banca può astenersi dal rimborsare l'importo entro quel termine se ha fondati motivi per sospettare una frode e ne informa le autorità competenti. Se la banca si avvale di questa possibilità, le chieda per iscritto di indicare in cosa consiste il sospetto e a quale autorità è stata fatta la segnalazione.

Entro quanto tempo deve avvisare la banca?

Ai sensi dell'art. 77, comma 1, della Legge sui servizi di pagamento e sui sistemi di pagamento, la banca rettifica un'operazione non autorizzata solo se Lei l'ha avvisata senza indebito ritardo dopo esserne venuto a conoscenza, ma non oltre 13 mesi dalla data di addebito. Si considera che Lei ne sia venuto a conoscenza al più tardi quando ha ricevuto le informazioni sull'operazione (estratto conto, notifica). I tredici mesi sono un limite massimo, non una raccomandazione.

Fino a quale importo è responsabile?

La Legge sui servizi di pagamento e sui sistemi di pagamento ripartisce il rischio tra la banca e il cliente a seconda delle circostanze. La tabella lo riassume:

Situazione	Chi sopporta la perdita	Fondamento giuridico
Carta smarrita, rubata o sottratta (fino alla notifica)	Il cliente – fino all'importo convenuto, ma non oltre 50 EUR	Art. 80, comma 1, della Legge sui servizi di pagamento e sui sistemi di pagamento
Lo smarrimento o il furto non potevano essere notati dal cliente prima del pagamento	La banca (salvo che il cliente abbia agito in modo fraudolento)	Art. 80, comma 2, punto 1
Il danno è stato causato da un dipendente o da un subappaltatore della banca	La banca	Art. 80, comma 2, punto 2
Operazioni successive alla notifica alla banca	La banca (salvo che il cliente abbia agito in modo fraudolento)	Art. 80, comma 5
La banca non ha richiesto l'autenticazione forte del cliente	La banca (salvo che il cliente abbia agito in modo fraudolento)	Art. 80, comma 4
Il cliente ha agito in modo fraudolento oppure, con dolo o colpa grave, non ha custodito la carta e i codici	Il cliente – per intero, senza limiti	Art. 80, comma 3

Il limite di 50 EUR si applica dal 1° gennaio 2026 (modifica pubblicata nella Gazzetta di Stato n. 64 del 2025). In precedenza l'importo era fissato in leva. In un normale furto della carta, senza negligenza da parte Sua, il Suo rischio arriva a 50 EUR, e dopo che ha avvisato la banca è pari a zero.

L'onere della prova grava sulla banca

È forse la tutela più importante per il consumatore. Quando Lei dichiara di non aver autorizzato un'operazione, è la banca a dover provare che l'operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze di un guasto tecnico (art. 78, comma 1, della Legge sui servizi di pagamento e sui sistemi di pagamento).

Ancora più rilevante è la regola dell'art. 78, comma 4: il solo utilizzo registrato della carta o dei codici non è prova sufficiente che Lei abbia autorizzato l'operazione o abbia agito con colpa grave. La banca deve fornire la prova di una frode o di una colpa grave da parte Sua.

Cosa significa l'assenza di autenticazione forte del cliente (SCA)?

L'autenticazione forte del cliente (SCA) ai sensi dell'art. 100 della Legge sui servizi di pagamento e sui sistemi di pagamento richiede almeno due elementi indipendenti appartenenti a tre categorie: qualcosa che conosce solo Lei (PIN, password), qualcosa che possiede solo Lei (telefono, carta) e qualcosa che Lei è (impronta digitale, riconoscimento facciale). Per i pagamenti online, questi elementi devono collegare l'operazione a un importo e a un beneficiario specifici.

Se la banca non ha richiesto tale autenticazione, il pagatore non sopporta alcuna perdita, salvo che abbia agito egli stesso in modo fraudolento (art. 80, comma 4). Se il pagamento è passato utilizzando solo i dati della carta, senza ulteriore conferma, la Sua posizione migliora notevolmente.

Phishing e vishing: quando ha «confermato» Lei stesso

Le controversie più frequenti oggi riguardano truffe con siti web falsi, SMS e chiamate di un «dipendente della banca» o della «polizia». Qui gli scenari sono due.

Il truffatore ha disposto l'operazione con i Suoi dati

Lei ha inserito i dati della carta o il codice ricevuto via SMS su un sito falso, e il pagamento è stato effettuato dal truffatore. L'operazione non è stata disposta da Lei, quindi di regola è non autorizzata. La banca obietta di solito che Lei ha agito con colpa grave, ma la legge impone alla banca di provarlo. Se la comunicazione di un codice costituisca colpa grave o colpa lieve dipende dai fatti: quanto era convincente la truffa, cosa diceva l'SMS con il codice e se la banca aveva messo in guardia da schemi simili. Non esiste una risposta automatica.

Ha disposto Lei stesso il bonifico

Se, su istruzione di un truffatore, Lei stesso è entrato nell'home banking e ha disposto un bonifico verso un «conto sicuro» o una «piattaforma di investimento», l'operazione è stata formalmente autorizzata da Lei. Il meccanismo di rimborso immediato dell'art. 79, in linea di principio, non si applica. Ciò non significa necessariamente che il denaro sia perduto, ma la strada è diversa:

• chieda immediatamente alla Sua banca di contattare la banca del beneficiario per tentare di recuperare i fondi (prima lo fa, maggiori sono le probabilità che il denaro sia ancora lì);
• sporga denuncia alla polizia con tutti i dati del conto del beneficiario;
• verifichi se la banca ha adempiuto ai propri obblighi di sicurezza e di informazione; per i bonifici in euro, il Regolamento (UE) 2024/886 impone alla banca di verificare se il nome del beneficiario corrisponde all'IBAN e di avvisarLa in caso di discrepanza. Il Regolamento è direttamente applicabile e vale in Bulgaria senza una legge apposita. Se la banca non ha effettuato questa verifica, ciò può rilevare ai fini della sua responsabilità;
• proponga un'azione contro chi ha ricevuto il denaro.

Il destinatario è spesso un cosiddetto «money mule», una persona che ha messo a disposizione il proprio conto dietro compenso. Contro di lui si può agire per la restituzione di quanto ricevuto senza titolo (arricchimento senza causa, art. 55 della Legge sulle obbligazioni e sui contratti). Descriviamo come si svolgono questi procedimenti, fino all'esecuzione tramite un ufficiale giudiziario privato (ЧСИ), nel nostro articolo sul recupero dei crediti non pagati.

La banca rifiuta: e ora?

Un rifiuto standard che richiama un'«operazione confermata con successo» non è definitivo.

1. Reclamo scritto alla banca. Ogni banca ha una procedura interna di reclamo. Deve dare una decisione scritta entro 15 giornate lavorative dal ricevimento del reclamo; eccezionalmente, per motivi indipendenti dalla sua volontà e con espressa comunicazione del ritardo, il termine può essere prorogato, ma non oltre 35 giornate lavorative (art. 174, commi 3 e 4, della Legge sui servizi di pagamento e sui sistemi di pagamento). Nel reclamo richiami espressamente gli artt. 78 e 80 della Legge sui servizi di pagamento e sui sistemi di pagamento e chieda le prove su cui la banca fonda il rifiuto.
2. Commissione di conciliazione per le controversie di pagamento. Se la banca non risponde in tempo o la risposta non La soddisfa, può rivolgersi alla Commissione di conciliazione per le controversie di pagamento (Помирителна комисия за платежни спорове) presso la Commissione per la tutela dei consumatori (КЗП) (art. 174, comma 5, e art. 175 della Legge sui servizi di pagamento e sui sistemi di pagamento). La procedura è gratuita per le parti (art. 180), e la domanda si può presentare anche online tramite il sito della Commissione per la tutela dei consumatori. La proposta della commissione vincola le parti solo se entrambe la accettano.
3. Segnalazione alla Banca nazionale bulgara. La Banca nazionale bulgara (БНБ) vigila su banche e istituti di pagamento. Una segnalazione può portare a un'ispezione e a misure nei confronti della banca, ma la BNB non decide la singola controversia né riconosce somme.
4. Azione in giudizio. Solo un giudice può ordinare in via definitiva la restituzione del denaro. In una causa contro la banca, l'onere della prova previsto dall'art. 78 della Legge sui servizi di pagamento e sui sistemi di pagamento opera di nuovo a favore del consumatore, e oltre al capitale si possono chiedere gli interessi legali.

Come preparare una domanda solida

Una buona domanda si costruisce già nei primi giorni. Ricostruisca una cronologia con gli orari esatti: quando ha ricevuto il messaggio, quando ha saputo dell'operazione, quando ha avvisato la banca. Alleghi l'estratto conto, la denuncia alla polizia e la corrispondenza con la banca. Chieda per iscritto alla banca quali elementi di autenticazione sono stati utilizzati per confermare ciascuna operazione, e da quale dispositivo e indirizzo IP.

Controlli anche le Sue polizze assicurative: alcuni assicuratori offrono la copertura per l'uso fraudolento della carta come rischio aggiuntivo, e in caso di furto in casa si può chiedere un indennizzo anche per quanto sottratto. Approfondimenti nel nostro articolo sull'assicurazione della casa per allagamento, incendio e furto.

Se l'importo è significativo o la banca insiste nel rifiuto, la consulenza di un avvocato esperto in diritto bancario può cambiare l'esito. Spieghiamo come valutare se un avvocato è adatto a una determinata controversia nel nostro articolo su come scegliere un buon avvocato e cosa chiedergli.

Domande frequenti (FAQ)

Entro quanto tempo la banca deve restituire il denaro sottratto?

Ai sensi dell'art. 79 della Legge sui servizi di pagamento e sui sistemi di pagamento, la banca deve rimborsare l'importo di un'operazione non autorizzata immediatamente e al più tardi entro la fine della giornata lavorativa successiva alla notifica. L'unica eccezione è il fondato sospetto di frode da parte del cliente, di cui la banca deve informare le autorità competenti.

Fino a quale importo rispondo se mi rubano la carta?

Se non ha agito in modo fraudolento o con colpa grave, la Sua responsabilità per le operazioni anteriori alla notifica alla banca è limitata all'importo convenuto, ma non oltre 50 EUR (art. 80, comma 1, della Legge sui servizi di pagamento e sui sistemi di pagamento, in vigore dal 1° gennaio 2026). Per le operazioni successive alla notifica non risponde affatto.

La banca dice che l'operazione è stata confermata con il mio codice. Perdo la controversia?

Non necessariamente. Ai sensi dell'art. 78, comma 4, della Legge sui servizi di pagamento e sui sistemi di pagamento, l'utilizzo registrato della carta o dei codici non prova di per sé che Lei abbia autorizzato l'operazione o agito con colpa grave. La banca deve fornirne la prova.

Qual è il termine ultimo per contestare un'operazione?

Il termine di legge è di 13 mesi dalla data di addebito sul conto (art. 77 della Legge sui servizi di pagamento e sui sistemi di pagamento). La legge, tuttavia, richiede la notifica senza indebito ritardo dopo che è venuto a conoscenza dell'operazione, quindi è meglio avvisare la banca il giorno stesso in cui la scopre.

Posso riavere il denaro se ho fatto io stesso un bonifico a un truffatore?

L'operazione è formalmente autorizzata, e la regola del rimborso immediato non si applica. Restano il tentativo di recupero tramite la banca del beneficiario, la denuncia alla polizia e un'azione contro il destinatario per quanto ricevuto senza titolo. Descriviamo come si riscuote un simile credito nel nostro articolo sul recupero dei crediti non pagati, dalla diffida all'ufficiale giudiziario.

Devo sporgere denuncia alla polizia se la banca mi rimborserà?

Sì. La denuncia documenta la frode, consente di rintracciare gli autori ed è spesso richiesta dalla banca stessa. Il numero del procedimento è utile anche davanti alla Commissione di conciliazione o al giudice.

Entro quanto tempo la banca deve rispondere al mio reclamo?

La banca deve dare una decisione scritta entro 15 giornate lavorative dal ricevimento del reclamo. Eccezionalmente, se il ritardo è dovuto a motivi indipendenti dalla sua volontà e glielo comunica, il termine può arrivare a 35 giornate lavorative (art. 174 della Legge sui servizi di pagamento e sui sistemi di pagamento).

Di cosa si occupa la Commissione di conciliazione per le controversie di pagamento?

È un organismo di risoluzione stragiudiziale delle controversie presso la Commissione per la tutela dei consumatori. La procedura è gratuita, e la proposta della commissione ha valore di transazione solo se entrambe le parti la accettano. Se la banca non la accetta, resta la via giudiziaria.

L'assicurazione della casa copre l'uso fraudolento della carta bancaria?

Di solito le normali assicurazioni sui beni non coprono l'uso fraudolento della carta. Alcuni assicuratori offrono questa copertura come rischio aggiuntivo, quindi controlli le condizioni generali della Sua polizza. Per maggiori informazioni su coperture e rifiuti, veda il nostro articolo sull'assicurazione della casa e i rifiuti di indennizzo.

Cosa fare se ci sono operazioni non autorizzate sul conto di un familiare defunto?

Gli eredi comunicano il decesso alla banca presentando il certificato degli eredi e chiedono il blocco delle carte e un estratto dei movimenti del conto. Spieghiamo come si individuano i conti di una persona defunta nel nostro articolo sulla ricerca dei conti bancari e degli immobili di un defunto.

Quando conviene rivolgersi a un avvocato?

Quando l'importo è significativo, la banca invoca la colpa grave o il caso riguarda un bonifico disposto da Lei sotto l'influenza di un truffatore. Veda cosa chiedere a un avvocato alla prima consulenza.

Come possiamo aiutarLa?

Lo Studio Legale Mechkova & Dimitrova assiste i clienti nelle controversie con banche e istituti di pagamento per operazioni non autorizzate: dalla redazione della notifica scritta e del reclamo alla banca, attraverso il procedimento davanti alla Commissione di conciliazione per le controversie di pagamento, fino all'azione in giudizio e alle azioni contro i destinatari del denaro.

Ogni caso dipende dai suoi fatti concreti e non possiamo promettere un esito in anticipo, ma possiamo valutare le Sue possibilità e compiere rapidamente i passi giusti. Ci contatti per una consulenza sul Suo caso il prima possibile dopo aver scoperto l'operazione non autorizzata.