Bonifico eseguito su IBAN alterato da truffa man in the middle (ABF Collegio di Napoli n. 1162 del 10.02.2026)

Principi di diritto (Massima)
Nell’esecuzione di un bonifico bancario, ai sensi dell’art. 24, d.lg. n. 11 del 2010, il prestatore di servizi di pagamento dell’ordinante e quello del beneficiario sono autorizzati a eseguire l’operazione in conformità esclusivamente all’identificativo unico (IBAN), anche quando l’utilizzatore abbia fornito informazioni ulteriori. La banca di destinazione non è tenuta a verificare la corrispondenza tra il nominativo del beneficiario e il titolare del conto di accredito. Il rischio dell’errore, pur se indotto dall’attività dolosa o colposa di terzi, rimane a carico del disponente e non integra condotta gravemente colposa del pagatore. Resta fermo l’obbligo dei prestatori di adoperarsi, secondo diligenza professionale, per il recupero dei fondi.

Il Fatto

La società ricorrente aveva stipulato un contratto di collaborazione con una ditta individuale. Nel luglio 2024 riceveva via e-mail una fattura, poi sostituita da una nuova fattura con nota di credito, recante un IBAN diverso da quello originario. La società disponeva un bonifico di € 10.320,00 a favore dell’IBAN indicato nella seconda comunicazione. Solo dopo alcuni contatti telefonici emergeva che la creditrice non aveva ricevuto il pagamento e che l’IBAN era riferibile a un soggetto sconosciuto, verosimilmente per un attacco informatico di tipo man in the middle.

La ricorrente chiedeva lo storno e, ottenuto il rifiuto della banca di destinazione, adiva l’Arbitro lamentando violazione degli obblighi di diligenza, buona fede e cooperazione e chiedendo il rimborso della somma e il risarcimento del danno.

La motivazione del Collegio

Il Collegio qualifica la vicenda come truffa perpetrata mediante inserimento di un cybercriminale nel thread di e-mail tra professionista e clientela, finalizzata ad alterare i documenti di fatturazione. Poiché l’operazione è stata personalmente eseguita dal ricorrente, non trovano applicazione le regole della PSD2 sull’autenticazione forte, né rileva la relativa prova.

Il Collegio richiama il principio del Collegio di Coordinamento n. 162 del 2017: la banca non è tenuta a verificare la corrispondenza tra nominativo del beneficiario e titolare del conto identificato tramite IBAN, conformemente all’art. 24, d.lg. n. 11 del 2010. Richiama altresì la Corte di giustizia, 21 marzo 2019, c. 245/18. Il regolamento 2024/886/UE, che introduce il servizio di verifica del beneficiario, non è applicabile perché il bonifico è stato disposto nel luglio 2024, prima della scadenza del termine di adeguamento.

In casi analoghi l’Arbitro ha valorizzato l’esecuzione conforme all’IBAN indicato dal disponente, escludendo una condotta gravemente colposa del pagatore. Il Collegio richiama sul punto numerose decisioni dei Collegi di Torino, Napoli, Milano, Palermo, Bologna e Roma.

Resta fermo l’obbligo di diligenza professionale nel recupero dei fondi. Tuttavia, nel caso concreto, la convenuta ha fornito i dettagli sull’intestazione del conto in sede di riscontro al reclamo, e la banca della ricorrente ha tentato il recupero; la richiesta di storno è pervenuta quando le somme erano già state trasferite. Il Collegio rileva che la convenuta non ha depositato prova del tentativo di contattare il cliente né del blocco del conto, ma esclude comunque la responsabilità della banca. Il ricorso è non accolto.