Prelievo ATM senza carta fisica: cosa verificare se il contante è stato ritirato con app, token o codice

Quando compare un prelievo di contante che il titolare non riconosce, la prima domanda è spesso: “come è possibile se ho ancora la carta?”. Oggi alcuni servizi consentono di prelevare senza inserire materialmente la carta, utilizzando app bancaria, token digitali, QR code, codici temporanei o altre funzioni di prelievo cardless. Se il cliente contesta l’operazione, è quindi necessario capire quale canale sia stato utilizzato e quali passaggi di autenticazione risultino nei sistemi della banca, senza fermarsi alla semplice circostanza che la carta fisica fosse ancora nel portafoglio.

Responsabilità editoriale: Redazione Consumatori24.
Ultimo aggiornamento sostanziale: 22 settembre 2026.

Per il quadro generale sulle operazioni contestate consulta la guida dedicata agli addebiti non autorizzati e al rimborso.

Il prelievo senza carta non è uguale a un prelievo tradizionale

Nel prelievo classico l’operazione è normalmente collegata all’uso della carta fisica e del PIN. Nei servizi cardless, invece, l’ordine può essere generato dall’app e completato allo sportello automatico con un codice, un QR, un token o una procedura analoga. Per questo, quando il cliente disconosce l’operazione, la ricostruzione tecnica dovrebbe individuare con precisione quale funzione sia stata utilizzata.

La differenza è importante perché cambia il tipo di dato che può essere disponibile: dispositivo associato, accesso all’app, indirizzo IP, generazione del codice, eventuale notifica push, posizione dell’ATM, orario e modalità di conferma. Non tutti questi dati sono presenti in ogni servizio, ma la banca dovrebbe essere in grado di spiegare il percorso autorizzativo dell’operazione contestata.

“La carta era con me” resta un dato utile, ma non chiude il caso

Se il prelievo è stato eseguito senza carta fisica, il fatto che il cliente conservi la carta non è contraddittorio. Diventa invece importante capire se qualcuno abbia ottenuto accesso all’app, se sia stato registrato un nuovo dispositivo o se il codice sia stato generato in seguito a un’azione del cliente indotta con l’inganno.

Consumatori24 ha già una guida generale sui prelievi non autorizzati e sul diniego di rimborso della banca. Questa pagina approfondisce la situazione più specifica in cui il contante viene ritirato attraverso strumenti digitali anziché con la carta materiale.

Il primo dato da chiedere è il tipo esatto di operazione

Nell’estratto conto può comparire semplicemente la voce “prelievo ATM”, senza indicare se sia stata utilizzata la carta. Per una valutazione seria serve una descrizione più dettagliata. La banca può disporre di codici interni che identificano il canale, il terminale, la tecnologia impiegata e l’eventuale dispositivo che ha generato la richiesta.

È utile anche verificare se l’ATM appartenga alla stessa banca o a un altro circuito, perché la disponibilità dei dati e i tempi di acquisizione possono essere diversi. L’obiettivo non è inseguire ogni dettaglio tecnico, ma distinguere tra un’operazione con carta, un’operazione cardless e un’operazione generata dall’app.

Nuovo dispositivo o accesso anomalo prima del prelievo

Se il prelievo senza carta richiede l’accesso all’app, diventa rilevante la cronologia dei dispositivi associati. Un nuovo smartphone registrato poco prima dell’operazione, una modifica del numero di telefono o una sessione anomala possono cambiare completamente la lettura del caso.

Il punto non è presumere che ogni accesso diverso sia fraudolento, ma verificare la sequenza: quando è stato associato il dispositivo, come è stato autenticato, quali notifiche sono state inviate e quali operazioni sono state eseguite subito dopo. Consumatori24 ha già approfondito la frode con OTP e la responsabilità bancaria nei casi di phishing.

La generazione del codice cardless può essere il passaggio decisivo

In alcuni servizi il cliente genera nell’app un codice temporaneo da digitare all’ATM. Se la banca sostiene che quel codice sia stato creato dal dispositivo abituale, è utile capire l’orario, la sessione e il metodo di autenticazione utilizzato. Se invece il codice è stato creato da un dispositivo nuovo, la registrazione di quel dispositivo diventa un passaggio centrale.

La semplice affermazione “l’operazione è stata autenticata” non sempre è sufficiente a rendere comprensibile la dinamica. Serve sapere che cosa sia stato autenticato: l’accesso all’app, la generazione del token, il prelievo o più passaggi distinti.

Manipolazione del pagatore e operazione non autorizzata non sono la stessa cosa

La Banca d’Italia distingue nelle proprie analisi tra frodi non autorizzate e frodi in cui il pagatore viene manipolato e indotto a compiere un’azione. Questa distinzione può essere rilevante anche nei prelievi cardless.

Se il cliente non ha mai aperto l’app e non ha generato alcun codice, il quadro è diverso da quello in cui un truffatore lo ha convinto, con una falsa telefonata della banca, a creare o comunicare un codice. Le due situazioni vanno raccontate con precisione, perché hanno dinamiche e valutazioni differenti.

Telefonata della falsa banca: perché la cronologia conta

Una telefonata può precedere di pochi minuti il prelievo. Il truffatore può presentarsi come operatore antifrode e chiedere alla vittima di effettuare passaggi che sembrano servire a bloccare una frode, ma che in realtà generano un token o autorizzano una funzione. In questi casi è importante conservare il numero chiamante, l’orario, gli eventuali SMS e le notifiche ricevute.

Non basta ricordare genericamente di avere “seguito le istruzioni della banca”. Bisogna ricostruire ciò che è stato fatto, schermata per schermata per quanto possibile, evitando di colmare i vuoti con supposizioni.

L’ATM può fornire dati utili sulla materialità del ritiro

La localizzazione dello sportello, l’orario preciso e gli eventuali log del terminale possono essere importanti. In alcune situazioni può risultare evidente che il cliente si trovasse altrove; in altre la distanza non è significativa. Anche eventuali immagini di videosorveglianza dipendono dalle regole e dai tempi di conservazione applicabili e non sono sempre disponibili.

Per questo la tempestività è utile: più tempo passa, più alcuni elementi possono diventare difficili da acquisire. Non significa che il caso sia perso, ma che conviene evitare ritardi inutili nella contestazione.

Se il prelievo è seguito da altre operazioni

Talvolta il prelievo cardless è solo una parte di una sequenza che comprende bonifici, pagamenti con carta o modifiche ai limiti. In quel caso è importante non analizzare ciascuna operazione come se fosse isolata. Una stessa compromissione dell’account può produrre più effetti.

La cronologia dovrebbe indicare accessi, modifiche, generazione di token, prelievi e altri pagamenti. Una sequenza ordinata è spesso più informativa di decine di screenshot non collegati tra loro.

Quali documenti e dati rendono leggibile la contestazione

Mettere in sequenza accessi, token, ATM e notifiche

Sono utili l’estratto conto, la ricevuta o descrizione dell’operazione, il reclamo inviato alla banca, la risposta ricevuta, gli SMS, le notifiche push, la cronologia degli accessi disponibile nell’app, le informazioni sui dispositivi associati e ogni comunicazione avuta con il presunto servizio antifrode.

Se il cliente ha sporto denuncia, è utile che la narrazione sia coerente con la cronologia ricostruita. Eventuali integrazioni possono servire quando emergono dati nuovi, ma non è opportuno trasformare la denuncia in un contenitore di ipotesi tecniche non verificate.

Quando la banca nega il rimborso richiamando l’autenticazione

Un diniego può indicare che l’operazione è stata eseguita con credenziali corrette o con un dispositivo associato. Questo dato deve essere letto insieme agli altri. L’uso di credenziali valide non spiega da solo come siano state ottenute, né se vi siano stati passaggi anomali prima dell’operazione.

Per questo la risposta bancaria va analizzata riga per riga, distinguendo fatti tecnici, conclusioni e clausole contrattuali. La pagina su richieste di integrazione della denuncia può essere utile quando l’intermediario chiede ulteriori elementi prima di decidere.

Quando è opportuno chiedere assistenza

È opportuno approfondire quando il cliente conserva la carta, non riconosce la generazione del codice, compaiono dispositivi nuovi, la banca non chiarisce il canale utilizzato, il prelievo è inserito in una sequenza di accessi anomali oppure il diniego si limita a richiamare in modo generico l’autenticazione.

Il punto non è dimostrare a priori una specifica tecnica di attacco, ma ottenere una ricostruzione coerente di ciò che i sistemi registrano e confrontarla con quanto effettivamente fatto dal cliente.

Consumatori24: ricostruire il percorso digitale del prelievo

Consumatori24 può esaminare reclamo, risposta della banca, estratti, notifiche e dati disponibili per capire quale percorso abbia portato al ritiro del contante. Nei prelievi senza carta la domanda centrale non è “dov’era la carta?”, ma “quale funzione digitale ha generato il prelievo e attraverso quali passaggi?”.

Una ricostruzione precisa permette di distinguere meglio tra accesso non riconosciuto, manipolazione del cliente e altre possibili dinamiche.

Non riconosci un prelievo ATM effettuato senza usare la carta fisica?

Indica importo, data, banca, sportello, dispositivo abituale e comunicazioni ricevute prima dell’operazione.