Frode informatica e bonifico su IBAN errato: prova e responsabilità degli intermediari (ABF Collegio di Napoli n. 421 del 20.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute dall’utente, grava sul prestatore di servizi di pagamento la prova che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito gli effetti di malfunzionamenti, ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010. L’uso di uno strumento di pagamento registrato e l’esito positivo dell’autenticazione forte a due fattori non bastano, da soli, a dimostrare che l’utente abbia autorizzato l’operazione ovvero abbia agito con frode, dolo o colpa grave. Qualora l’utente lamenti un’attività fraudolenta di tipo man in the browser, con alterazione dell’IBAN dopo la conferma dell’ordine, è comunque suo onere fornire elementi concreti dell’avvenuta alterazione, in particolare la prova dell’ordine originario recante l’identificativo corretto. Nell’esecuzione del bonifico i prestatori sono tenuti a operare esclusivamente in base all’identificativo unico (IBAN), senza obbligo di verificare la corrispondenza tra nominativo del beneficiario e intestatario del conto di accredito, secondo l’art. 24 d.lgs. n. 11/2010.

Il Fatto

La società ricorrente, titolare di un conto corrente aziendale presso l’intermediario A, ha disposto tramite home banking un bonifico di € 100.000,00 a favore di un proprio fornitore, quale acconto per l’acquisto di un macchinario industriale nell’ambito di un investimento agevolato ai fini del credito d’imposta. Il pagamento non è pervenuto al beneficiario indicato: la somma è stata accreditata su un diverso IBAN, intestato a soggetto estraneo e acceso presso l’intermediario B.

La ricorrente ha tempestivamente disconosciuto l’operazione e sporto denuncia, sostenendo di essere stata vittima di una frode informatica riconducibile al man in the browser, che avrebbe alterato l’IBAN dopo la conferma dell’ordine. Il conto di destinazione è stato bloccato e, per effetto di un sequestro preventivo, è stato recuperato l’importo di € 60.113,14, residuando un danno di € 39.886,86, di cui la ricorrente ha domandato la restituzione, oltre ai danni e alle spese legali. Entrambi gli intermediari hanno chiesto il rigetto del ricorso.

La motivazione del Collegio

Il Collegio muove dalla disciplina applicabile ratione temporis, individuata nel d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, con le relative norme tecniche emanate dall’EBA e recepite nel Regolamento Delegato UE 2018/389. Su questa base verifica il riparto dell’onere probatorio in materia di autenticazione ed esecuzione delle operazioni di pagamento.

Quanto all’intermediario A, il Collegio ritiene assolto l’onere: le tracciature informatiche prodotte dimostrano che l’accesso al servizio di home banking e l’autorizzazione del bonifico sono avvenuti previa validazione delle credenziali statiche e dinamiche (PIN e OTP), senza anomalie nei flussi di autenticazione. L’autenticazione forte a due fattori è dunque documentata.

Resta però controversa la qualificazione della frode. Il Collegio ricorda che il man in the browser integra un meccanismo particolarmente sofisticato e, ove adeguatamente provato, di regola non comporta colpa grave dell’utente. Tuttavia, anche in tali ipotesi è onere del ricorrente fornire elementi concreti dell’effettiva alterazione dei dati dopo l’inserimento dell’ordine. Nel caso di specie manca la prova dell’ordine originario recante l’IBAN asseritamente corretto: le contabili e i log riportano esclusivamente l’IBAN effettivamente destinatario. Tale carenza probatoria è dirimente.

Sul versante dell’intermediario B, il Collegio applica l’art. 24 d.lgs. n. 11/2010: i prestatori eseguono il bonifico in base all’identificativo unico, senza obbligo di riscontrare il nominativo del beneficiario con l’intestatario del conto. Se l’IBAN fornito è inesatto, non rispondono della inesatta esecuzione, fermo l’obbligo di compiere sforzi ragionevoli per il recupero dei fondi. Nel caso concreto B ha collaborato, consentendo il sequestro e la restituzione parziale. Gli eventuali profili relativi all’apertura del conto del finto destinatario non determinano un concorso di colpa, mancando comunque la prova che l’ordine contenesse l’IBAN corretto.

Il ricorso è pertanto rigettato, con assorbimento delle ulteriori domande risarcitorie relative al danno da mancata disponibilità della liquidità e alle spese di assistenza professionale.