Banca beneficiario non responsabile per apertura conto nella truffa del falso IBAN (ABF Collegio di Milano n. 1074 del 06.02.2026)

Principi di diritto (Massima)
Quando l’operazione di pagamento è disposta per intero dal pagatore, con inserimento dell’ordine e dei fattori di autenticazione, la stessa deve considerarsi autorizzata, anche se il pagatore ha agito seguendo le indicazioni del frodatore. Ne resta esclusa l’applicazione del regime di responsabilità per le operazioni non autorizzate di cui al D. Lgs. n. 11/2010 e alla direttiva PSD2. Il PSP del beneficiario non è tenuto a verificare la corrispondenza tra il nome del beneficiario e l’IBAN indicato dal cliente, essendo quest’ultimo sufficiente a individuare univocamente il destinatario. La normativa antiriciclaggio di cui al D. Lgs. n. 231/2007 non impone alla banca un obbligo di accertamento materiale della veridicità dell’indirizzo di residenza o delle condizioni personali del correntista. In ogni caso, l’eventuale violazione degli obblighi AML non è legata da nesso causale alla truffa perpetrata ai danni dell’ordinante.

Il Fatto

Una società disponeva telematicamente i bonifici per le paghe dei dipendenti, con data di esecuzione 11.06.2024. Tra questi figurava quello in favore di un dipendente. Prima dell’invio, il responsabile delle risorse umane riceveva una e-mail, apparentemente proveniente dal lavoratore, con nuove coordinate bancarie. La società inseriva nell’ordine di bonifico il nuovo IBAN e la somma veniva accreditata.

Allorché il dipendente segnalava di non aver ricevuto la retribuzione, emergeva che la e-mail proveniva in realtà da un terzo (phishing). La società chiedeva il richiamo del bonifico alla propria banca, che investiva il PSP del beneficiario; sporgeva denuncia e inviava diffida al titolare del conto accreditato, scoprendo che questi aveva fornito recapiti falsi e risultava soggetto senza fissa dimora. La società ricorrente chiedeva quindi al PSP del beneficiario il ristoro di quanto pagato, oltre al danno emergente per il costo del personale impiegato negli approfondimenti.

La motivazione del Collegio

Il Collegio muove dalla qualificazione dell’operazione. È pacifico che il bonifico sia stato eseguito direttamente dalla ricorrente, che, cadendo vittima di un raggiro, ha personalmente disposto il pagamento su un IBAN diverso seguendo le istruzioni del frodatore. Secondo l’orientamento dei Collegi, in questi casi l’operazione è autorizzata: non viene in rilievo il regime delle operazioni non autorizzate e non occorre verificare l’autenticazione ai sensi degli artt. 10 ss. del D. Lgs. n. 11/2010.

La frode è riconducibile alla c.d. business e-mail compromise. L’interposizione dei malfattori è avvenuta nelle comunicazioni tra un dipendente e la società, prima della disposizione del bonifico, e ha avuto l’effetto di fornire un IBAN falsamente riferito al lavoratore. Per le operazioni eseguite prima del 09.10.2025, il Collegio di Coordinamento (decisione n. 162/2017), richiamando le finalità delle direttive comunitarie, ha affermato che gli intermediari non sono responsabili quando il cliente abbia erroneamente indicato l’identificativo unico, non essendo imposta la verifica di corrispondenza tra nome del beneficiario e IBAN (conforme CGUE 21 marzo 2019, C-245/18, Tecnoservice Int.).

Quanto al profilo che qui rileva, la società contesta al PSP del beneficiario di non aver verificato, all’apertura del conto, l’effettiva residenza del titolare, poi risultato soggetto senza fissa dimora e dunque privo di attivo aggredibile. L’intermediario ha dedotto di aver operato nel pieno rispetto della normativa KYC, con identificazione mediante documento di identità e codice fiscale, onboarding digitale e interrogazione della banca dati con meccanismi di alert bloccanti, senza alcuna anomalia conoscibile. Il Collegio ritiene che la normativa di riferimento non imponga un obbligo di accertamento materiale della veridicità dell’indirizzo di residenza o delle condizioni personali del cliente, non emergendo elementi che potessero far presumere la falsità dei dati dichiarati.

Il Collegio esclude pertanto la negligenza del PSP del beneficiario. Anche ove si ammettesse una negligenza negli obblighi AML, non sarebbe comunque sussistente il nesso causale tra tale eventuale violazione e la truffa perpetrata ai danni della ricorrente. Il ricorso è quindi respinto.