Truffa business email compromise e bonifico su Iban adulterato: nessun rimborso (ABF Collegio di Roma n. 3688 del 24.04.2026)

Principi di diritto (Massima)
L’operazione di pagamento disposta per intero dal pagatore, con inserimento della disposizione e di tutti i fattori di autenticazione, è autorizzata e non è soggetta al regime di responsabilità previsto dalla PSD2. Il prestatore di servizi di pagamento dell’ordinante e quello del beneficiario sono autorizzati a eseguire il bonifico in conformità esclusivamente all’identificativo unico fornito dall’utilizzatore, anche quando questi abbia indicato informazioni ulteriori. Nessun obbligo di controllo grava sul prestatore in ordine alla corrispondenza tra Iban e beneficiario effettivo, né alcuna responsabilità può fondarsi sulla mancata verifica della genuinità della fattura ricevuta dal pagatore. La truffa del c.d. business email compromise, che altera la corrispondenza tra le parti dell’affare, non trasferisce il rischio dell’operazione sui prestatori di servizi di pagamento.

Il Fatto

Il ricorrente riferisce di aver ricevuto, presso la casella di posta del professionista incaricato di gestire i suoi affari fiscali, una fattura emessa da un fornitore per € 8.250,00, a saldo di prestazioni di servizio taxi. Eseguito il pagamento, una richiesta di notizie del fornitore faceva emergere che la fattura ricevuta era diversa da quella spedita e riportava un Iban differente, riconducibile a un terzo frodatore.

Informato l’intermediario disponente, il ricorrente ne otteneva il rifiuto del rimborso. Ha quindi adito l’Arbitro chiedendo la condanna in solido dell’intermediario disponente e di quello ricevente alla restituzione della somma. Entrambi hanno chiesto il rigetto: il primo ha dedotto la corretta autenticazione forte e l’esecuzione integrale dell’operazione da parte del ricorrente; il secondo ha documentato il tentativo di recupero, l’immediato trasferimento delle somme da parte del beneficiario e l’incapienza del conto.

La motivazione del Collegio

Il Collegio qualifica l’operazione come bonifico on line eseguito per intero dal pagatore, a mezzo di persona da questi incaricata e dunque assimilabile a un suo ausiliario. Richiamando l’orientamento condiviso dai Collegi ABF, ritiene che in tal caso l’operazione debba considerarsi autorizzata e sottratta al regime di responsabilità della PSD2. Non occorre pertanto procedere alla descrizione tecnico-informatica dell’operazione effettuata in regime di SCA, di cui pure l’intermediario disponente fornisce evidenza documentale.

Quanto al disconoscimento, il Collegio inquadra la vicenda nello schema del business email compromise: l’intromissione di un terzo nella corrispondenza elettronica tra le parti dell’affare, con alterazione dei documenti di fatturazione, così che i pagamenti non giungono ai beneficiari designati ma a terzi. Richiama sul punto la decisione del Collegio di Bari n. 1090/2023 e la decisione del Collegio di Roma n. 8209/2024.

Il Collegio valorizza poi l’orientamento consolidato secondo cui il prestatore dei servizi di pagamento non è tenuto ad alcun controllo sulla conformità tra Iban e beneficiario indicato, essendo sufficiente l’esecuzione conforme all’identificativo unico fornito dal pagatore. Richiama l’art. 24 d.lgs. n. 11/2010 e la decisione del Collegio di coordinamento n. 162/2017, secondo cui i prestatori coinvolti non sono responsabili se l’identificativo unico fornito dall’utilizzatore è inesatto, nonché la decisione del Collegio di Roma n. 9639/2023 e la n. 16295/2022. La domanda di rimborso non merita accoglimento.

Il Collegio esamina anche il profilo dei tempi del recall. Dagli atti risulta che l’intermediario disponente fu informato della truffa il 27.1.2025 e richiese il richiamo in pari data, circostanza non contestata e sostanzialmente confermata in repliche. L’intermediario ricevente documenta che la richiesta gli è pervenuta il 29.1.2025 e produce evidenza dell’incapienza del conto del beneficiario sia al 27.1.2025 sia al 29.1.2025. Il ricorso è pertanto respinto.