Truffe nel trading online e acquisto di titoli con “guadagni certi”: strumenti di tutela contro gli autori all’estero, responsabilità della banca e degli organi di vigilanza

Frodi finanziarie online: un fenomeno sistemico, due schemi ricorrenti

Negli ultimi anni il fenomeno delle frodi finanziarie perpetrate attraverso il web ha assunto dimensioni sistemiche, evolvendosi verso schemi di ingegneria sociale (social engineering) sempre più sofisticati. Sempre più spesso i risparmiatori vengono adescati tramite annunci sui social network, gruppi chiusi di messaggistica (WhatsApp, Telegram) o comunicazioni che sfruttano persino video generati con l’intelligenza artificiale (deepfake), venendo convinti da sedicenti analisti o consulenti finanziari ad acquistare titoli quotati o strumenti finanziari con la promessa di rendimenti elevati e “guadagni certi” sulla base di operazioni “segnalate” da presunti esperti.

Sul piano operativo, tali illeciti si articolano principalmente in due schemi:

• Il falso trading online (Boiler Rooms): l’investitore crede di operare su titoli quotati attraverso una piattaforma online che mostra grafici e profitti fittizi: in realtà nessun ordine viene immesso sul mercato e le somme bonificate vengono immediatamente dirottate su conti correnti esteri.
• La manipolazione su titoli realmente quotati (Pump & Dump): i promotori della truffa inducono una massa critica di risparmiatori ad acquistare simultaneamente, anche tramite il proprio home banking, azioni realmente quotate ma a bassissima capitalizzazione (penny stocks) su mercati esteri o non regolamentati, gonfiandone artificialmente il prezzo (pump) per poi vendere massicciamente le proprie quote (dump), provocando il crollo verticale del titolo e azzerando il capitale dei risparmiatori.

Quando l’investitore realizza di essere caduto in una trappola — spesso nel momento in cui tenta di prelevare i presunti profitti e gli viene richiesto il versamento di ulteriori somme a titolo di false “imposte” o “commissioni di sblocco” — si pone il problema di individuare quali azioni legali siano concretamente esperibili non solo verso gli autori materiali del reato, ma anche nei confronti degli istituti bancari coinvolti nel trasferimento dei fondi e nei confronti delle Autorità preposte alla vigilanza.

La sede estera dei truffatori non chiude la tutela. La rendono però una corsa contro il tempo: ogni azione — penale, cautelare, bancaria — vale nella misura in cui i flussi sono ancora tracciabili e i fondi non dispersi.

I. Gli strumenti per perseguire gli autori della truffa con sede all’estero

La circostanza che le società schermo o le piattaforme abbiano sede oltreconfine (sovente in Paesi dell’Est Europa, Cipro, Regno Unito o paradisi fiscali) non preclude l’azione penale e cautelare, a condizione di intervenire con estrema tempestività seguendo la direttrice investigativa del “follow the money” (la tracciatura dei flussi finanziari e informatici).

I profili di rilevanza penale

Le condotte descritte integrano plurime fattispecie delittuose perseguibili dalla magistratura italiana (atteso che l’evento di danno o parte della condotta si verifica nel territorio dello Stato ex art. 6 c.p.):

• Truffa aggravata (art. 640 c.p.) e Frode informatica (art. 640-ter c.p.), con l’applicazione della circostanza aggravante della minorata difesa (art. 61, n. 5, c.p.), costantemente riconosciuta dalla Corte di Cassazione nelle contrattazioni telematiche a distanza che impediscono il controllo diretto sull’identità e sull’affidabilità dell’interlocutore;
• Abusivismo finanziario (art. 166 del D.Lgs. 24 febbraio 1998, n. 58 — TUF), qualora i soggetti offrano servizi di investimento o raccomandazioni personalizzate senza le prescritte abilitazioni;
• Manipolazione del mercato (art. 185 TUF), nelle ipotesi in cui l’adescamento miri ad alterare sensibilmente il prezzo di strumenti finanziari quotati;
• Riciclaggio e Autoriciclaggio (artt. 648-bis e 648-ter.1 c.p.), reati chiave che consentono di aggredire i canali di transito e occultamento dei proventi illeciti.

Gli strumenti operativi e di cooperazione internazionale

Per bloccare e recuperare i capitali trasferiti all’estero, l’ordinamento mette oggi a disposizione strumenti incisivi:

• Querela qualificata e attivazione della Polizia Postale: il primo passo imprescindibile consiste nel deposito di una denuncia-querela tecnicamente circostanziata (corredata da contabili bancarie, codici IBAN, indirizzi IP, URL, conversazioni e wallet address in caso di conversione in cripto-attività) presso la Procura della Repubblica o i Centri Operativi per la Sicurezza Cibernetica (COSC), avvalendosi anche del portale ufficiale del Commissariato di P.S. Online della Polizia Postale e della piattaforma per le Denunce Online della Polizia di Stato.
• Ordine Europeo di Indagine (OEI) e Sequestro Preventivo transfrontaliero: qualora i bonifici siano stati indirizzati verso conti correnti accesi presso banche o Istituti di Moneta Elettronica (IME) situati nell’Unione Europea (anche tramite l’uso di virtual IBAN), il Pubblico Ministero può emettere un Ordine Europeo di Indagine (disciplinato dal D.Lgs. 21 giugno 2017, n. 108) per acquisire in via diretta l’identità dei titolari effettivi dei conti e la documentazione bancaria, nonché disporre il sequestro preventivo (art. 321 c.p.p.) delle somme, immediatamente eseguibile in tutti gli Stati membri in forza del Regolamento (UE) 2018/1805 sul riconoscimento reciproco dei provvedimenti di congelamento e di confisca.
• Intervento della UIF e rete internazionale delle FIU: attraverso la segnalazione di operazione sospetta (SOS) e il coordinamento investigativo, l’Unità di Informazione Finanziaria per l’Italia (UIF) presso la Banca d’Italia può interloquire con le omologhe Financial Intelligence Units (FIU) estere ed esercitare il potere di sospensione delle operazioni sospette (art. 6, comma 4, lett. c), D.Lgs. 231/2007), congelando i fondi prima che vengano dispersi.
• Azione civile di nullità e ripetizione dell’indebito: sul versante civilistico, i contratti stipulati con operatori privi di autorizzazione sono affetti da nullità radicale per violazione di norme imperative (art. 1418 c.c.). L’investitore ha diritto di agire per la ripetizione dell’indebito oggettivo (art. 2033 c.c.): a tal fine, secondo la giurisprudenza consolidata, la banca del beneficiario (presso cui è aperto il conto che ha ricevuto il bonifico) è tenuta a comunicare al danneggiato i dati identificativi del correntista accipiens, non potendo opporre la normativa sulla riservatezza dei dati personali a fronte della tutela del diritto di difesa in giudizio.

II. È possibile perseguire la propria banca per omessa verifica preliminare sui bonifici?

Uno dei profili di maggiore interesse pratico — specialmente quando i truffatori si rendono irreperibili — riguarda la configurabilità di una responsabilità contrattuale della banca dell’investitore (o extracontrattuale della banca ricevente) per non aver effettuato controlli preventivi idonei a bloccare i bonifici.

Per rispondere con rigore giuridico, occorre distinguere due diverse modalità con cui avvengono i trasferimenti di denaro.

1. Operazioni “non autorizzate” o eseguite mediante intrusione informatica

Spesso i falsi consulenti convincono la vittima a installare sul proprio computer o smartphone software di assistenza remota (es. AnyDesk) oppure carpiscono codici dispositivi tramite tecniche di spoofing e vishing, disponendo bonifici all’insaputa del cliente o per importi superiori a quelli voluti. In tali ipotesi trova piena applicazione il D.Lgs. 27 gennaio 2010, n. 11 (attuativo della Direttiva PSD2):

• la banca è obbligata a rimborsare immediatamente l’importo dell’operazione disconosciuta (artt. 10 e 12 D.Lgs. 11/2010), a meno che non assolva al rigoroso onere di provare che l’operazione è stata correttamente autenticata e che l’evento è ascrivibile a dolo o colpa grave del cliente;
• come ribadito dalla giurisprudenza di legittimità e dalle decisioni dell’Arbitro Bancario Finanziario (ABF), la mera regolarità formale della Strong Customer Authentication (SCA) non esonera la banca da responsabilità se questa non ha predisposto efficaci meccanismi di monitoraggio delle transazioni (Transaction Risk Analysis) imposti dall’art. 2 del Regolamento delegato (UE) 2018/389, i quali devono intercettare e bloccare pagamenti anomali rispetto al profilo comportamentale del pagatore o segnali di infezione da malware nella sessione telematica.

2. Operazioni “autorizzate” dal cliente sotto inganno (Authorized Push Payment Fraud)

Più complesso è il caso in cui l’investitore, indotto in errore dai raggiri della piattaforma, esegua volontariamente e consapevolmente i bonifici dal proprio conto corrente o allo sportello. In queste fattispecie le banche negano solitamente il rimborso invocando il principio dell’identificativo unico (art. 24 D.Lgs. 11/2010), secondo cui l’ordine di pagamento eseguito conformemente all’IBAN indicato dall’utente si considera correttamente adempiuto, nonché l’orientamento (espresso anche dall’ABF, es. Collegio di Milano, dec. n. 3795/2026 e n. 6732/2025) per cui la normativa antiriciclaggio (D.Lgs. 231/2007) non impone alla banca dell’ordinante un blocco automatico generalizzato delle disposizioni consapevoli del cliente, salvo i casi tassativi di astensione di cui all’art. 42 D.Lgs. 231/2007.

Tuttavia, anche nel caso di bonifici volontariamente disposti dal risparmiatore, esistono tre solidi argomenti giuridici per agire nei confronti dell’intermediario bancario:

Argomento 1 — Violazione dell’obbligo di “Verifica del Beneficiario” (Verification of Payee — VoP)

In forza del Regolamento (UE) 2024/886 sui bonifici in euro (che ha introdotto l’art. 5-quater nel Regolamento UE n. 260/2012), dal 9 ottobre 2025 tutte le banche dell’area euro hanno l’obbligo legale di verificare gratuitamente e in tempo reale, prima che il pagatore autorizzi il bonifico (sia istantaneo sia ordinario), la corrispondenza tra il codice IBAN e il nome del beneficiario inserito dall’ordinante. Nelle truffe finanziarie accade frequentemente che il cliente indichi nella causale o nel campo beneficiario il nome di un’impresa di investimento nota o della piattaforma di trading, mentre l’IBAN fornito dai truffatori corrisponde al conto di una società “cartiera” del tutto estranea o di un prestanome (money mule). Se la banca omette di eseguire la verifica VoP o non avvisa chiaramente il cliente della “mancata corrispondenza” prima dell’esecuzione, essa incorre in una specifica responsabilità di legge ed è tenuta a rimborsare al pagatore l’importo trasferito.

Argomento 2 — Violazione della diligenza del bonus argentarius e dei doveri di protezione a fronte di anomalie macroscopiche

L’istituto di credito è tenuto a uno standard di diligenza professionale qualificata (art. 1176, co. 2, c.c.) e al rispetto della buona fede esecutiva (artt. 1175 e 1375 c.c.). Anche alla luce degli Indicatori di anomalia emanati dalla UIF di Banca d’Italia (Provvedimento UIF del 12 maggio 2023), la banca dell’ordinante può essere chiamata a rispondere (eventualmente in concorso di colpa ex art. 1227 c.c.) qualora rimanga totalmente inerte dinanzi a operazioni palesemente anomale: si pensi all’esecuzione ravvicinata di molteplici bonifici di ingente importo verso IBAN esteri o exchange di criptovalute da parte di un correntista che non aveva mai compiuto simili operazioni, al superamento dei limiti massimi giornalieri previsti dal contratto, oppure alla mancata adozione di contromisure dopo che il cliente abbia già segnalato alla filiale le prime anomalie o consegnato una prima denuncia. Inoltre, sulla banca grava l’obbligo di attivare senza ritardo la procedura interbancaria di richiamo dei fondi (recall) ai sensi dell’art. 25 del D.Lgs. 11/2010.

Argomento 3 — Responsabilità della banca del beneficiario per omessa adeguata verifica (KYC) e antiriciclaggio

Un’azione risarcitoria ex art. 2043 c.c. è altresì prospettabile nei confronti dell’istituto bancario (italiano o comunitario) presso cui i truffatori hanno aperto il conto corrente ricevente, qualora emerga che tale intermediario abbia violato gli obblighi di identificazione del titolare effettivo e di adeguata verifica della clientela imposti dal D.Lgs. 21 novembre 2007, n. 231, consentendo a una società priva di reale operatività (c.d. buffer company o “cartiera”) di incassare e smistare indisturbata ingenti flussi finanziari provenienti da risparmiatori raggirati.

III. È possibile perseguire i soggetti tenuti al controllo e alla sorveglianza (CONSOB e Banca d’Italia)?

Un ulteriore interrogativo che gli investitori traditi pongono di frequente riguarda la possibilità di chiamare in giudizio le Autorità indipendenti preposte alla vigilanza sui mercati finanziari e sul sistema creditizio — in primo luogo la CONSOB e la Banca d’Italia — per non aver impedito l’attività illecita.

Anche su questo fronte è necessario operare una rigorosa distinzione giuridica, fondata sulla legge e sulla giurisprudenza della Corte di Cassazione.

Il principio generale: la responsabilità per omessa vigilanza e il limite della “colpa grave”

Sin dalle storiche pronunce di legittimità (cfr. Cass. Civ. n. 3132/2001; Cass. Civ. n. 4587/2009; Cass. Civ. n. 6681/2011; Cass. Civ. n. 9067/2018, fino ai più recenti arresti quali Cass. Civ., ord. n. 1643/2024), la Suprema Corte ha affermato che l’attività della CONSOB, pur connotata da discrezionalità tecnica nel quomodo, è vincolata al precetto del neminem laedere (art. 2043 c.c.) e alla tutela costituzionale del risparmio (art. 47 Cost.). Ne consegue che l’inerzia o il ritardo dell’Autorità nell’esercitare i propri poteri ispettivi, inibitori o sanzionatori a fronte di gravi e specifici indizi di irregolarità può generare l’obbligo di risarcire il danno patito dagli investitori.

Tuttavia, il legislatore ha introdotto un filtro rigoroso con l’art. 24, comma 6-bis, della Legge 28 dicembre 2005, n. 262 (Disposizioni per la tutela del risparmio), stabilendo che nell’esercizio delle proprie funzioni di controllo la Banca d’Italia e la CONSOB rispondono dei danni cagionati a terzi esclusivamente in presenza di atti o comportamenti posti in essere con dolo o colpa grave.

Quando l’azione contro l’Autorità di Vigilanza è percorribile

Alla luce di tale cornice normativa, la fattibilità di un’azione risarcitoria dipende dalla natura del soggetto che ha posto in essere l’illecito:

• Piattaforme online totalmente abusive con sede all’estero: se il risparmiatore è stato adescato da un portale web gestito da soggetti “fantasma” privi di qualsiasi autorizzazione (non iscritti nell’Albo delle Imprese di Investimento tenuto dalla CONSOB ai sensi dell’art. 20 TUF), tali operatori agiscono al di fuori del perimetro dei soggetti sottoposti alla vigilanza ordinaria dell’Autorità. Nei confronti dei siti abusivi, la CONSOB esercita i poteri repressivi di cui all’art. 7-octies TUF e il potere di ordinare ai fornitori di connettività l’oscuramento dei siti internet (introdotto dall’art. 36, comma 2-terdecies, del D.L. 30 aprile 2019, n. 34, convertito in L. n. 58/2019, grazie al quale sono già stati oscurati oltre 1.800 domini). In queste ipotesi, configurare una responsabilità risarcitoria di CONSOB è estremamente complesso, essendo necessario dimostrare che l’Autorità, benché formalmente investita da molteplici e circostanziati esposti su quella specifica piattaforma, abbia omesso con colpa grave e per un lasso di tempo irragionevole di adottare i provvedimenti di inibizione e oscuramento.
• Intermediari vigilati ed Emittenti di titoli quotati: lo scenario muta radicalmente qualora il danno subito dall’investitore si collochi nell’ambito dell’operatività di intermediari abilitati (per i quali è altresì attivabile in via stragiudiziale l’Arbitro per le Controversie Finanziarie — ACF istituito presso la CONSOB) oppure riguardi società emittenti di titoli effettivamente quotati o offerte al pubblico sottoposte al controllo dell’Autorità. Qualora la CONSOB o la Banca d’Italia abbiano omesso, per grave negligenza o imprudenza professionale, di attivare i propri poteri ispettivi e cautelari nonostante l’emersione di conclamati segnali di allarme, manipolazioni delle negoziazioni o macroscopiche falsità documentali conoscibili dall’organo di controllo, l’azione risarcitoria ex art. 2043 c.c. e art. 24, comma 6-bis, L. 262/2005 risulta concretamente fondata e supportata dai precedenti della Cassazione.

IV. Cosa fare subito se si teme di essere vittima di una frode finanziaria

La variabile tempo è determinante per massimizzare le probabilità di blocco dei flussi e per radicare correttamente la responsabilità degli intermediari coinvolti. Ai risparmiatori raccomandiamo di:

1. Interrompere immediatamente ogni versamento: non effettuare per nessun motivo ulteriori bonifici richiesti a titolo di presunte “tasse sul capital gain”, “svincoli antiriciclaggio” o “commissioni di liquidazione”.
2. Diffidare dalle società di “recupero crediti” online (Recovery Scam): chi ha subito una truffa di trading viene spesso ricontattato, a distanza di settimane o mesi, da sedicenti studi legali internazionali, false agenzie governative o siti che usurpano i loghi di CONSOB, ACF o UIF promettendo il recupero immediato delle somme dietro pagamento anticipato di una tariffa. Si tratta di una seconda truffa orchestrata dai medesimi gruppi criminali.
3. Verificare lo status dell’operatore: consultare sempre preventivamente la sezione “Occhio alle truffe!” della CONSOB e la pagina dedicata agli Ordini di oscuramento di siti abusivi.
4. Cristallizzare le prove e attivare la tutela legale: conservare tutte le ricevute dei bonifici (con relativi codici CRO/TRN e IBAN di destinazione), gli estratti conto, le email e le chat integrali, rivolgendosi tempestivamente a un legale specializzato per l’immediata richiesta di recall bancario, la redazione della querela per l’attivazione dei canali di cooperazione internazionale e la formale messa in mora degli istituti di credito coinvolti.

Lo Studio Legale Lizzani assiste i risparmiatori e gli investitori su tutto il territorio nazionale ed europeo nella tutela penale, civile e stragiudiziale (dinanzi ad ABF e ACF) per il recupero dei capitali sottratti mediante frodi finanziarie e per l’accertamento delle responsabilità degli intermediari bancari. Per una valutazione preliminare e riservata della Vostra posizione, è possibile contattare lo Studio tramite i recapiti presenti sul sito.

Fonti istituzionali essenziali

Link verificati il 19 ottobre 2026. In caso di discordanza prevale il testo pubblicato nella Gazzetta Ufficiale e nei siti istituzionali delle Autorità richiamate.

1. Normattiva — codice penale, artt. 6, 61 n. 5, 640, 640-ter, 648-bis e 648-ter.1.
2. Normattiva — D.Lgs. 24 febbraio 1998, n. 58 (TUF), artt. 7-octies, 20, 166 e 185.
3. Normattiva — D.Lgs. 27 gennaio 2010, n. 11 (servizi di pagamento, PSD2), artt. 10, 12, 24 e 25.
4. EUR-Lex — Regolamento (UE) 2024/886 (bonifici istantanei in euro e Verifica del Beneficiario — VoP).
5. EUR-Lex — Regolamento delegato (UE) 2018/389 (SCA e monitoraggio delle transazioni).
6. Normattiva — D.Lgs. 21 giugno 2017, n. 108 (Ordine Europeo di Indagine) e Regolamento (UE) 2018/1805 (congelamento e confisca).
7. Normattiva — D.Lgs. 21 novembre 2007, n. 231 (antiriciclaggio, adeguata verifica e astensione) e UIF — Banca d’Italia, inclusi gli Indicatori di anomalia del 12 maggio 2023.
8. Normattiva — Legge 28 dicembre 2005, n. 262, art. 24, comma 6-bis (responsabilità per dolo o colpa grave di Banca d’Italia e CONSOB).
9. CONSOB — “Occhio alle truffe!” e Ordini di oscuramento di siti abusivi; Arbitro per le Controversie Finanziarie (ACF).
10. Arbitro Bancario Finanziario (ABF) — Banca d’Italia; Commissariato di P.S. Online — Polizia Postale.