Truffa del bonifico via e-mail: operazione autorizzata e nessuna corresponsabilità della banca (ABF Collegio di Milano n. 1069 del 06.02.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è disposta per intero dal pagatore, ancorché costui sia caduto vittima di un raggiro e abbia prestato un consenso viziato, l’operazione deve considerarsi autorizzata. Non viene pertanto in rilievo il regime di responsabilità per le operazioni non autorizzate di cui al d.lgs. n. 11/2010 e alla direttiva 2015/2366/UE, né il Collegio deve verificare la corretta autenticazione ed esecuzione ai sensi degli artt. 10 ss. del decreto citato. La banca non è tenuta a verificare l’incongruenza tra IBAN e ragione sociale del beneficiario quando tale controllo non era ancora imposto dalla normativa applicabile. Non sussiste corresponsabilità dell’intermediario se l’operazione non presenta profili di anomalia rispetto all’operatività abituale del cliente e se il pagatore ha agito con negligenza dopo aver già conosciuto la compromissione dei propri sistemi di posta.

Il Fatto

La società ricorrente ha disposto tramite home banking un bonifico di € 22.854,13 a favore di un beneficiario con IBAN estero, in adempimento di una fattura ricevuta via e-mail da un fornitore abituale. In seguito è emerso che l’IBAN era stato sostituito mediante una frode informatica del tipo man in the middle / business e-mail compromise. La cliente ha informato la banca, presentato denuncia e chiesto il rimborso parziale di € 11.427,00 per asserita corresponsabilità dell’intermediario, che a suo dire non avrebbe attivato efficaci sistemi antifrode e non avrebbe più effettuato le verifiche telefoniche in precedenza garantite.

L’intermediario ha chiesto il rigetto del ricorso, sostenendo l’inapplicabilità della disciplina sulle operazioni non autorizzate, la corretta autenticazione del pagamento e la condotta gravemente negligente della cliente. Ha inoltre dedotto di aver inviato un avviso automatico di nuovo beneficiario prima della conferma dell’operazione.

La motivazione del Collegio

Il Collegio esamina anzitutto la domanda con cui la ricorrente chiedeva di ordinare alla banca di fornire informazioni sui protocolli antifrode adottati. Sul punto la richiesta è inammissibile: all’ABF è preclusa la possibilità di emettere pronunce costitutive o di condanna, come pure di accogliere domande aventi ad oggetto un facere infungibile.

Nel merito, il Collegio rileva che l’operazione è stata eseguita direttamente dalla società cliente, che, cadendo vittima del raggiro, ha personalmente disposto il pagamento a favore dell’IBAN indicato nella fattura. Secondo il consolidato orientamento dei Collegi, quando l’operazione è posta in essere per intero dal pagatore essa deve considerarsi autorizzata. Rientrano in questa fattispecie le operazioni eseguite seguendo le indicazioni del frodatore, come le c.d. operazioni “sotto dettatura”. Il Collegio non procede quindi alla verifica della corretta esecuzione e autenticazione ai sensi degli artt. 10 ss. del d.lgs. n. 11/2010.

Passando agli elementi di fatto, il Collegio osserva che la ricorrente, già a conoscenza dal 07.08.2025 della compromissione delle proprie caselle di posta, ha comunque disposto il bonifico il 21.08.2025 verso un nuovo IBAN comunicato via e-mail, senza alcuna verifica diretta con il fornitore o con la banca. La richiesta di recall è stata presentata solo il 27.08.2025. L’indirizzo mittente della mail con l’IBAN modificato era diverso, ancorché simile, a quello abitualmente utilizzato dal fornitore.

Il Collegio rileva inoltre che alla data dell’operazione non era ancora in vigore l’obbligatoria verifica di corrispondenza tra nome e IBAN del beneficiario, onde l’intermediario non era tenuto a segnalare l’incongruenza tra l’IBAN e la ragione sociale. Infine, l’importo del bonifico non appare anomalo rispetto all’operatività della cliente: il log dei pagamenti tra il 27.02.2025 e il 01.10.2025 mostra operazioni di importo anche rilevante, con una media di € 14.408,17 per singola disposizione. Non si rinvengono dunque elementi sufficienti per affermare la corresponsabilità dell’intermediario. Il ricorso è dichiarato in parte inammissibile e in parte infondato.