Frode via email e bonifico su IBAN indicato: nessuna responsabilità della banca (ABF Collegio di Milano n. 3872 del 04.05.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento disconosciute dal cliente, allorché sia pacifico che l’ordine sia stato impartito dal disponente, non trova applicazione la disciplina delle operazioni non autorizzate di cui al d.lgs. n. 11 del 2010, ma è possibile rilevare secondo le norme di diritto comune un’eventuale responsabilità concorrente del prestatore dei servizi di pagamento, ove emerga dagli atti un apporto causale dell’intermediario alla frode. Ai sensi dell’art. 24 del d.lgs. n. 11 del 2010, l’ordine eseguito conformemente all’identificativo unico fornito dall’utente si ritiene correttamente eseguito quanto al beneficiario e al conto, e il prestatore non risponde della mancata o inesatta esecuzione quando l’identificativo sia inesatto. L’obbligo di verifica della corrispondenza tra IBAN e nominativo del beneficiario non opera per le disposizioni impartite prima del 9.10.2025, termine di efficacia del Regolamento UE n. 886 del 2024. La banca che abbia avviato il recall con tempestività, senza esito per l’avvenuta distrazione dei fondi, non incorre in responsabilità per tardività.

Il Fatto

La società ricorrente, titolare di un conto corrente presso l’intermediario resistente, riferisce di aver corrisposto un acconto a un fornitore con bonifico su un IBAN belga già noto alla banca. Secondo la ricostruzione, ignoti truffatori si inserivano nella corrispondenza con il fornitore e, tramite un dominio email contraffatto, inviavano una fattura per il saldo della fornitura recante un nuovo IBAN portoghese. Ricevuta la fattura, la società chiedeva alla banca di disporre il bonifico, di importo superiore a € 100.000,00, tramite la modalità pattuita per le operazioni oltre la soglia di € 50.000,00; l’operazione veniva eseguita e, nello stesso giorno, la cliente si avvedeva della truffa. La ricorrente contesta il ritardo nell’attivazione del recall, l’inadeguatezza dei presidi di sicurezza per le operazioni da remoto oltre soglia e chiede il risarcimento dell’importo dell’operazione, dedotta la franchigia, oltre commissioni e interessi. La banca eccepisce il difetto di legittimazione passiva, deduce di aver eseguito l’ordine conformemente all’IBAN indicato dalla cliente e di aver attivato la procedura di richiamo non appena avvisata, e imputa alla ricorrente la negligenza per non essersi avveduta dell’indirizzo email contraffatto.

La motivazione del Collegio

Il Collegio qualifica la vicenda come uno schema di business email compromised e muove da un dato pacifico tra le parti: l’operazione disconosciuta è stata eseguita dalla cliente, la quale ha seguito le indicazioni dei truffatori. Non essendo in contestazione né l’esecuzione del bonifico né il disconoscimento, risultano incoerenti le deduzioni sulla sottoscrizione della distinta e non si applica la disciplina sulle operazioni non autorizzate. Il Collegio richiama però l’orientamento per cui, in casi analoghi, può emergere secondo le norme di diritto comune una responsabilità concorrente dell’intermediario, purché dagli atti risulti un suo apporto causale alla frode.

Quanto alla mancata verifica della corrispondenza tra nominativo e titolare dell’IBAN, il Collegio rileva che la disposizione di pagamento è stata impartita il 21.06.2025 e resta quindi fuori dall’ambito temporale dell’obbligo di Verification of Payee introdotto dal Regolamento UE n. 886 del 2024, efficace dal 9.10.2025.

Sul diverso profilo della mancata rilevazione dell’incongruità del beneficiario, viene in rilievo l’art. 24 del d.lgs. n. 11 del 2010, che esenta il prestatore da responsabilità quando esegua l’ordine presso l’IBAN errato indicato dal disponente, secondo l’interpretazione costante dei collegi ABF (Collegio di Coordinamento n. 162 del 2017). La ricorrente non offre elementi per dimostrare che la banca avrebbe potuto rendersi conto dell’errore: la truffa ha interessato le comunicazioni di posta elettronica tra cliente e fornitore, non il servizio di pagamento. Quanto alle modalità pattuite per le disposizioni oltre soglia, il Collegio osserva che non è chiaro come una diversa modalità avrebbe potuto incidere sulla vicenda.

Infine, sul preteso ritardo del recall, l’intermediario prova di aver avviato la procedura di richiamo per frode il 24.06.2025 e che questa ha avuto esito negativo perché i fondi erano già stati distratti dai truffatori nello stesso giorno. La domanda della società ricorrente non merita pertanto accoglimento e il ricorso è respinto.