Truffa Vishing Bancario: l’Aggravante ex Art. 640, Comma 2, N. 2-Ter c.p. e il Problema della Retroattività

Un decreto di citazione diretta a giudizio che contesta la truffa vishing bancario aggravata ex art. 640, comma 2, n. 2-ter, c.p. per fatti commessi nella primavera del 2023 solleva una questione che la prassi giudiziaria tende a trascurare: quella specifica aggravante non esisteva, nell’ordinamento penale italiano, prima del 17 luglio 2024. Non è un cavillo formale, ma un problema di successione di leggi penali nel tempo che incide sul trattamento sanzionatorio dell’imputato e, per la persona offesa, sui termini di querela e sulla strategia di costituzione di parte civile.

Il Modus Operandi del Vishing Bancario: Spoofing, Sedicente Operatore e Bonifici «di Annullo»

Lo schema di vishing bancario ricostruito nel capo d’imputazione segue una sequenza ormai standardizzata nelle indagini della polizia postale e ripetutamente esaminata dall’Arbitro Bancario Finanziario. Un messaggio di testo con mittente alfanumerico contraffatto — tecnica nota come spoofing — si inserisce nel medesimo thread SMS utilizzato dall’istituto di credito per le comunicazioni genuine, segnalando un presunto accesso anomalo all’applicazione di home banking. Segue una telefonata da un’utenza anch’essa non riconducibile alla banca, nel corso della quale un sedicente operatore, spacciandosi per il servizio antifrode, prospetta alla vittima bonifici illegittimi già eseguiti a sua insaputa. L’unico rimedio proposto — annullarli tramite nuovi bonifici istantanei con causale «Annullo Bonifico» — è in realtà l’artificio che consuma la truffa: il correntista, agendo di propria iniziativa attraverso la sua sessione di home banking, dispone materialmente il trasferimento delle somme verso conti correnti intestati a soggetti terzi.

Nel caso esaminato, la vittima — un correntista ultrasettantacinquenne — ha eseguito venti bonifici istantanei, frazionati su cinque conti correnti diversi, per un importo complessivo di circa 20.325 euro, ciascuno inferiore alla soglia dei 5.000 euro tipicamente monitorata dai sistemi antifrode bancari. La frammentazione non è casuale: distribuire l’esfiltrazione su una pluralità di conti-mulo (money mule) riduce la probabilità di intercettazione da parte dei sistemi di alert transazionale e complica il successivo tracciamento e recupero delle somme da parte dell’autorità giudiziaria.

L’Architettura del Money Muling e il Concorso ex Art. 110 c.p.

La contestazione «in concorso tra loro» richiama l’art. 110 c.p. e pone, per ciascun titolare del conto ricevente, un autonomo problema di qualificazione: se il money mule ha messo consapevolmente a disposizione il proprio conto per la ricezione e il successivo prelievo delle somme, risponde a titolo di concorso in truffa oppure, alternativamente, di riciclaggio ex art. 648-bis c.p. o di autoriciclaggio ex art. 648-ter.1 c.p., a seconda della prova del dolo — anche eventuale — e del momento in cui si è inserito nella filiera del vishing bancario. Il tema, distinto rispetto alla qualificazione dell’autore del contatto telefonico, è stato approfondito nel nostro contributo dedicato alla responsabilità civile e penale dei money mule, cui si rinvia per l’analisi della ripetizione dell’indebito oggettivo ex art. 2033 c.c.

Perché è Truffa e Non Frode Informatica: il Discrimine secondo la Cassazione

Una prima criticità, frequente nella prassi divulgativa ma talvolta anche in atti di indagine meno accurati, è la sovrapposizione tra truffa vishing bancario e frode informatica ex art. 640-ter c.p. Il discrimine, consolidato nella giurisprudenza di legittimità, non riguarda il mezzo tecnologico impiegato, ma la struttura dell’offesa: la frode informatica si configura quando l’agente altera il funzionamento di un sistema informatico o interviene senza diritto su dati e programmi, conseguendo il profitto senza che alcuna persona sia indotta in errore e senza che la vittima compia un atto di disposizione patrimoniale cosciente. La truffa, al contrario, richiede che l’inganno investa una persona, la quale — pur in errore — pone in essere volontariamente l’atto dispositivo.

Nel caso analizzato non vi è alcuna intrusione abusiva nel sistema di home banking: è il correntista stesso, ingannato dagli artifizi e raggiri del sedicente operatore, ad accedere alla propria area riservata e a disporre i bonifici istantanei. Il profitto ingiusto e il danno patrimoniale sono conseguenza diretta di un atto di volontà viziato, non di una manipolazione tecnica del sistema bancario. La qualificazione operata ai sensi dell’art. 640 c.p., anziché dell’art. 640-ter c.p., è pertanto corretta e coerente con l’orientamento della Corte di cassazione, che distingue nettamente le due fattispecie proprio sul crinale dell’atto dispositivo cosciente della vittima.

Truffa Vishing Bancario e l’Aggravante ex Art. 640, Comma 2, N. 2-Ter c.p.: il Nodo della Retroattività

Diversa, e assai più delicata, è la valutazione dell’aggravante contestata. L’art. 640, comma 2, n. 2-ter, c.p. è stato introdotto dalla legge 28 giugno 2024, n. 90 (la cosiddetta legge sulla cybersicurezza), entrata in vigore il 17 luglio 2024, e punisce la truffa commessa «a distanza attraverso strumenti informatici o telematici idonei ad ostacolare la propria o altrui identificazione». La formulazione è ritagliata esattamente sui casi di spoofing telefonico che caratterizzano il vishing bancario: non stupisce che i pubblici ministeri la richiamino sistematicamente in questa tipologia di procedimenti.

Il problema è che, nel caso esaminato, il fatto risale al maggio 2023: oltre un anno prima che la fattispecie aggravata entrasse in vigore. L’art. 2, comma 1, c.p. e l’art. 25, comma 2, Cost. vietano l’applicazione retroattiva di una norma penale che comporti un trattamento sanzionatorio più severo di quello vigente al tempo del fatto. Il codice penale, prima della novella del 2024, non prevedeva alcuna aggravante specifica per la truffa commessa mediante alterazione dell’identificazione a distanza: la condotta avrebbe dovuto essere eventualmente ricondotta all’aggravante comune della minorata difesa ex art. 61, n. 5, c.p., già riconosciuta dalla Cassazione nelle truffe a distanza in danno di vittime che, per l’assenza di un confronto diretto con l’autore del reato, non sono in condizione di verificarne la veridicità delle dichiarazioni.

Procedibilità a Querela e Trattamento Sanzionatorio: Due Piani da Tenere Distinti

La Corte di cassazione si è pronunciata sul regime intertemporale di questa aggravante, ma limitatamente al profilo della procedibilità. Con la sentenza n. 1956 del 16 gennaio 2025, la Sezione II ha chiarito che il terzo comma dell’art. 640 c.p., come modificato dalla l. 90/2024, mantiene la procedibilità a querela anche per i fatti aggravati ex n. 2-ter, in deroga alla regola generale per cui le ipotesi aggravate di truffa sono procedibili d’ufficio. Con la successiva sentenza n. 22257 del 9 maggio 2025, la stessa Sezione ha stabilito che, per i fatti commessi prima dell’introduzione della norma e in assenza di disposizioni transitorie, il termine per la presentazione della querela decorre dalla data di entrata in vigore della legge, e non dalla commissione del fatto.

Questi arresti risolvono il problema del regime di procedibilità, ma non affrontano — perché non erano chiamati a farlo — la diversa questione se la componente sanzionatoria dell’aggravante (la cornice edittale da uno a cinque anni di reclusione prevista dal comma 2 dell’art. 640 c.p., più severa di quella base di sei mesi-tre anni) possa applicarsi a un fatto anteriore alla sua introduzione. È un profilo di merito che la difesa può e dovrebbe sollevare: se il capo d’imputazione ancora la pena al comma 2, n. 2-ter, per un fatto del 2023, l’imputato ha diritto a un trattamento sanzionatorio parametrato alla disciplina vigente al tempo del fatto, con eventuale richiesta di riqualificazione ai sensi dell’art. 521 c.p.p. verso la truffa aggravata dalla minorata difesa comune, ove ne ricorrano gli elementi costitutivi, o verso la truffa semplice, con le conseguenze che ne derivano anche sul regime di procedibilità e sui termini di prescrizione.

Il Decreto di Citazione Diretta e la Competenza del Tribunale Monocratico

Va segnalato, per completezza, che la scelta del rito nel caso esaminato — il decreto di citazione diretta a giudizio ex art. 552 c.p.p. — è corretta anche a fronte di una pena edittale massima di cinque anni, superiore alla soglia generale dei quattro anni prevista dall’art. 550, comma 1, c.p.p. La riforma Cartabia (d.lgs. 150/2022) ha infatti ampliato l’elenco dei reati a citazione diretta di cui al comma 2 dello stesso articolo, includendovi espressamente la truffa aggravata ex art. 640, comma 2, c.p., in ragione della semplicità istruttoria che normalmente ne caratterizza l’accertamento. Il profilo procedurale, dunque, non presenta criticità: la questione della retroattività dell’aggravante attiene esclusivamente al merito della qualificazione giuridica del fatto, non alla forma con cui l’azione penale è stata esercitata.

La Responsabilità della Banca: Onere della Prova, Autenticazione Forte e i Limiti del Rimborso

Parallelamente al procedimento penale, la vittima di una truffa vishing bancario ha titolo per attivare la tutela prevista dal d.lgs. 11/2010, di recepimento della disciplina PSD2. L’art. 10 pone a carico del prestatore di servizi di pagamento l’onere di provare che l’operazione contestata sia stata autenticata, correttamente registrata e contabilizzata, mentre l’art. 12 limita la responsabilità del correntista alle sole ipotesi di dolo o colpa grave. La Corte di cassazione, con la sentenza n. 3780 del 12 febbraio 2024 e con l’ordinanza n. 23683/2024, ha ribadito il principio dell’«accorto banchiere»: la prevedibilità di queste tipologie di frode rientra nel rischio d’impresa dell’intermediario, tenuto ad adottare misure di sicurezza adeguate, a partire da un sistema di autenticazione a due fattori (Strong Customer Authentication) conforme ai requisiti tecnici di regolamentazione dell’EBA.

Le più recenti decisioni dell’Arbitro Bancario Finanziario confermano questo orientamento senza tradurlo, però, in un automatismo risarcitorio. I Collegi di Roma, Milano e Torino, pronunciandosi nel corso del 2025 su casi analoghi di spoofing e vishing, hanno chiarito che la verifica dell’adeguatezza dell’autenticazione forte costituisce un antecedente logico imprescindibile rispetto alla valutazione della colpa grave del cliente: se l’accesso all’area riservata non era protetto da un secondo fattore di autenticazione, la responsabilità dell’operazione non autorizzata ricade, almeno in parte, sull’intermediario. In numerosi casi, tuttavia, gli stessi Collegi hanno disposto un rimborso solo parziale, ripartendo la perdita tra banca e cliente in ragione di un concorso di colpa: l’esito resta quindi legato alla ricostruzione probatoria del caso concreto e non può essere dato per scontato prima di un’analisi documentale approfondita.

Il quadro è destinato a irrigidirsi ulteriormente con l’operatività, da ottobre 2025, del regolamento UE 2024/886 sul Verification of Payee, che impone agli intermediari un controllo di corrispondenza tra IBAN e beneficiario prima dell’esecuzione dei bonifici istantanei, riducendo — pur senza azzerarlo — il margine di successo di schemi come quello qui esaminato.

Recidiva e Trattamento Sanzionatorio dei Promotori dello Schema

Nei procedimenti per truffa vishing bancario organizzata non è infrequente che uno o più coimputati risultino gravati da recidiva reiterata, specifica e infraquinquennale ex art. 99, comma 4, c.p. — la forma di recidiva che presuppone una precedente condanna per delitto della stessa indole commesso nei cinque anni precedenti, a sua volta successiva ad altra recidiva. Gli effetti non sono simbolici: la recidiva reiterata specifica preclude, salvo eccezioni, l’applicazione piena della diminuente per il rito abbreviato, incide sul calcolo dei termini di prescrizione ai sensi dell’art. 161, comma 2, c.p., e costituisce elemento ostativo alla sospensione condizionale della pena in relazione a precedenti condanne per reati della stessa indole. In sede di commisurazione, inoltre, la recidiva qualificata si somma, sul piano degli aumenti edittali, agli effetti dell’aggravante di cui al comma 2 dell’art. 640 c.p., a prescindere dalla correttezza del numero applicabile.

La Strategia di Tutela Immediata: Querela, Tracciamento IP e Sequestro Conservativo

Per la vittima, l’elemento decisivo non è la qualificazione dogmatica dell’aggravante, ma la rapidità della reazione. Un bonifico istantaneo (SEPA Instant Credit Transfer) si esegue in pochi secondi ed è, di regola, irrevocabile una volta accreditato sul conto del beneficiario: a differenza del bonifico ordinario, non esiste una finestra temporale utile per un blocco spontaneo da parte della banca ordinante. Le uniche leve concretamente disponibili sono, in sequenza: la denuncia-querela immediata presso la polizia postale o la procura della repubblica territorialmente competente, corredata di ogni elemento utile all’identificazione dell’utenza chiamante e del gateway SMS impiegato; la richiesta, per il tramite dell’autorità giudiziaria, del tracciamento IP e dei tabulati di traffico telefonico e telematico, essenziali per superare l’anonimato garantito dallo spoofing; la sollecitazione, presso l’istituto beneficiario, del blocco cautelativo delle somme ancora giacenti sui conti riceventi, prima che vengano prelevate o ulteriormente girate.

Sul piano processuale, la persona offesa può costituirsi parte civile nel procedimento instaurato con il decreto di citazione diretta, ottenendo così una pronuncia sul risarcimento del danno contestualmente all’accertamento della responsabilità penale, e può richiedere al giudice, ricorrendone il fumus boni iuris e il periculum in mora, il sequestro conservativo ex art. 316 c.p.p. sui beni degli imputati identificati, a garanzia del credito risarcitorio. Nei confronti dei titolari dei conti riceventi, ove non imputati nel medesimo procedimento, resta inoltre esperibile l’azione civile di ripetizione dell’indebito oggettivo ex art. 2033 c.c., strumento già trattato in dettaglio con riferimento alla responsabilità dei money mule.

La combinazione tra un fatto commesso nel 2023, un’aggravante introdotta nel 2024 e cinque conti correnti destinatari dei bonifici istantanei rende questo tipo di procedimento tutt’altro che lineare, tanto per l’accusa quanto per la difesa e per la parte offesa. Una valutazione tempestiva del capo d’imputazione, della corretta qualificazione giuridica del fatto e delle azioni ancora percorribili per il recupero delle somme può fare la differenza tra un credito risarcitorio effettivamente esigibile e una pretesa ormai priva di beni su cui rivalersi. Il nostro studio segue quotidianamente, con assistenza attiva H24, vittime di truffa vishing bancario e persone sottoposte a procedimento per questo tipo di reato. Se ti trovi in una delle due situazioni, compila il modulo di contatto in fondo a questa pagina: verrai ricontattato per una prima valutazione del tuo caso.