Business email compromise e identificativo unico (ABF Collegio di Roma n. 1580 del 20.02.2026)

Principi di diritto (Massima)
Nell’esecuzione di un bonifico bancario, il prestatore di servizi di pagamento dell’ordinante e quello del beneficiario sono autorizzati a dare esecuzione all’operazione in conformità esclusivamente all’identificativo unico (IBAN), anche quando l’utilizzatore abbia fornito informazioni ulteriori. Il prestatore di servizi di pagamento del beneficiario non è tenuto a verificare la corrispondenza tra il nominativo del beneficiario e il titolare del conto di accredito individuato tramite l’IBAN. Se l’identificativo unico è inesatto, i prestatori coinvolti non sono responsabili della mancata o inesatta esecuzione dell’operazione ai sensi dell’art. 25 d.lgs. 27 gennaio 2010, n. 11. Resta sindacabile il comportamento dell’intermediario sul piano del blocco dell’operazione e della procedura di recall.

Il Fatto

La ricorrente, nell’ambito di una successione ereditaria, si affidava a un ufficio di mediazione per la gestione della pratica. In base a un accordo con i legali degli eredi, ella doveva versare la somma di 2.300 euro a favore di un coerede, che avrebbe provveduto al pagamento delle tasse successorie.

In data 03.07.2025 la ricorrente riceveva una mail apparentemente genuina dall’organismo di mediazione, contenente gli estremi di un conto corrente presso cui effettuare il bonifico, con dati che sembravano riferibili al coerede destinatario. Facendo affidamento su tale comunicazione, la ricorrente disponeva il pagamento verso l’IBAN indicato. Nei giorni successivi apprendeva che l’IBAN contenuto nella mail era diverso da quello effettivo del destinatario e chiedeva il rimborso dell’operazione. L’intermediario eccepiva di essere il prestatore di servizi di pagamento del beneficiario, di aver rispettato la normativa, di aver esperito un tentativo di recall e di aver bloccato in via cautelativa l’operatività del conto.

La motivazione del Collegio

Il Collegio qualifica la vicenda nello schema del c.d. business email compromise: l’intromissione, nella corrispondenza elettronica tra le parti di un affare, di un terzo che altera la comunicazione indicando un conto di appoggio diverso da quello del fornitore. Non si tratta, dunque, del diverso schema del c.d. man in the browser.

In simili ipotesi i Collegi territoriali valorizzano il disposto dell’art. 24 d.lgs. n. 11/2010: i prestatori di servizi di pagamento sono autorizzati a eseguire l’operazione in conformità esclusivamente all’identificativo unico, anche se l’utilizzatore ha fornito informazioni ulteriori rispetto all’IBAN. Il prestatore del beneficiario non deve verificare la corrispondenza tra nominativo del beneficiario e titolare del conto di accredito.

Da ciò deriva che, se l’identificativo unico fornito è inesatto, i prestatori coinvolti non rispondono ai sensi dell’art. 25 d.lgs. n. 11/2010 della mancata o inesatta esecuzione. Il Collegio richiama sul punto la decisione del Collegio di coordinamento n. 162/2017.

Accertato che il bonifico è stato correttamente disposto, il Collegio si sofferma sul diverso profilo del blocco dell’operazione e della procedura di recall. Ritiene tuttavia non contestato che l’intermediario beneficiario abbia tentato il recall e bloccato l’operatività del conto, i cui fondi erano già stati distratti: il comportamento dell’intermediario non è pertanto censurabile.

Il ricorso è conseguentemente respinto.