Truffa BEC e bonifico su IBAN contraffatto: nessuna responsabilità dei PSP (ABF Collegio di Roma n. 4509 del 20.05.2026)

Principi di diritto (Massima)
Nel caso di business email compromise, in cui il pagatore dispone il bonifico in favore dell’IBAN contraffatto comunicato via e-mail, il prestatore di servizi di pagamento esegue legittimamente l’ordine ricevuto e non è tenuto ad alcun controllo sulla corrispondenza tra l’IBAN e il beneficiario indicato. La PSD II e il d.lgs. n. 11/2010 prevedono un’esenzione da responsabilità per tutti i prestatori coinvolti nell’esecuzione del bonifico, che operano in conformità all’identificativo unico fornito dall’utilizzatore. Il pregresso malfunzionamento informatico dell’intermediario dell’ordinante non integra un nesso causale rispetto al danno, riconducibile alla condotta del truffatore e alla digitazione dell’IBAN. Gli obblighi di collaborazione nel recall e di adeguata verifica della clientela si intendono assolti quando l’intermediario prova di averli adempiuti.

Il Fatto

La società ricorrente, titolare di un’attività di vendita di biciclette e articoli sportivi, è correntista presso l’intermediario A, al quale trasmette periodicamente le disposizioni per le rimesse ai fornitori. A fine novembre 2024 i sistemi informatici della banca subiscono un disservizio e i bonifici programmati non vengono inviati. La società, non avvertita, se ne accorge solo dall’estratto conto del giorno successivo e provvede manualmente ai pagamenti.

Tra questi figura un bonifico di euro 38.892,59 in favore di un fornitore, eseguito però su un IBAN diverso, riferibile a un correntista dell’intermediario B. Quest’ultimo, avvertito, rifiuta il recall e non comunica subito il nome del beneficiario. La ricorrente, che successivamente scopre l’accesso abusivo alla propria posta elettronica con sostituzione dell’IBAN, chiede il rimborso o il risarcimento della somma, ravvisando responsabilità di entrambi gli intermediari.

La motivazione del Collegio

Il Collegio ricostruisce la vicenda come un caso di business email compromise: l’ordine di pagamento è stato disposto direttamente dalla ricorrente, sulla base delle indicazioni contenute in una e-mail oggetto di accesso abusivo. Quando l’operazione proviene dall’utilizzatore, secondo il consolidato orientamento dei Collegi ABF non trova applicazione la disciplina di tutela del d.lgs. n. 11/2010, comprese le previsioni sull’autenticazione forte. L’intermediario A ha comunque prodotto i LOG informatici attestanti l’autenticazione dell’operazione tramite device, PIN e OTP.

Il Collegio esclude poi che il disservizio informatico del 2 dicembre 2024 possa fondare una responsabilità dell’intermediario dell’ordinante. Il danno deriva dalla condotta del truffatore e dalla digitazione dell’IBAN, evenienze autonome rispetto al malfunzionamento. Il richiamo all’ordinanza Cass. n. 17415/2024, invocata dalla ricorrente, è ritenuto inconferente, perché relativa a fattispecie diversa. La giurisprudenza successiva, Cass. n. 21105/24, condivide l’orientamento del Collegio di Coordinamento ABF n. 162/2017: la normativa contempla un’esenzione da responsabilità per i prestatori coinvolti, autorizzati a eseguire l’operazione in conformità all’IBAN fornito, senza rilievo per il nome del beneficiario.

Muovendo dall’art. 24 d.lgs. n. 11/2010, i Collegi territoriali escludono che i prestatori siano tenuti a controllare la conformità tra IBAN e beneficiario: è sufficiente che la disposizione sia eseguita secondo l’identificativo unico indicato dal pagatore. Una responsabilità potrebbe essere affermata solo per il mancato rilievo di anomalie o per la mancata collaborazione nel recall. Nel caso concreto, la richiesta è stata inoltrata il 19.12.2024, l’intermediario A ha attivato la procedura lo stesso giorno ottenendo risposta negativa il giorno seguente e l’intermediario B ha tentato il recupero e contattato più volte il proprio cliente, senza esito. La condotta appare conforme all’art. 24, comma 2, d.lgs. n. 11/2010.

Quanto agli obblighi di adeguata verifica della clientela, il Collegio richiama gli artt. 17, 18 e 19 d.lgs. n. 231/2007 e le Disposizioni della Banca d’Italia del 30.07.2019. A seguito della richiesta di integrazione, l’intermediario B ha prodotto documentazione idonea a comprovare l’identificazione a distanza del cliente e l’osservanza delle procedure antiriciclaggio. Il Collegio ritiene pertanto provato l’assolvimento degli obblighi e respinge il ricorso.