Responsabilità civile per truffa Man in the Middle nei pagamenti aziendali

1. Il fatto

   La vicenda, come riportata da testate quali Altalex, si inserisce in un contesto di contenzioso seriale che ha raggiunto una fase di consolidamento nei tribunali di merito. La dinamica tipica vede un'azienda che, in attesa di una fattura da un fornitore abituale, riceve una comunicazione via email apparentemente legittima in cui si comunica il cambio delle coordinate bancarie per il saldo. In realtà, un cybercriminale si è inserito nella catena di posta elettronica (Business Email Compromise), sostituendo l'IBAN originale con quello di un cosiddetto mulo finanziario. Il dipendente dell'azienda, senza effettuare ulteriori verifiche telefoniche, dispone il bonifico. La banca ordinante esegue l'operazione basandosi sull'IBAN, e la banca ricevente accredita le somme su un conto aperto spesso con procedure di identificazione superficiali, permettendo al truffatore di prelevare il denaro immediatamente. Lo stadio processuale di questi casi è prevalentemente quello del primo grado e dell'appello civile, nei quali le imprese citano in giudizio gli istituti di credito per non aver rilevato la palese discordanza tra il nome del beneficiario indicato nel bonifico e l'effettivo intestatario del conto corrente ricevente.

2. 

   Le norme in gioco

   1. L'art. 1176, comma 2, c.c. impone alla banca una diligenza professionale superiore a quella del buon padre di famiglia, obbligandola a utilizzare strumenti tecnici idonei a prevenire frodi rilevabili con l'ordinaria perizia del settore.
   2. L'art. 24 del D.Lgs. n. 11/2010 stabilisce che l'IBAN è l'identificativo unico per l'esecuzione del pagamento, ma la norma non esonera la banca da responsabilità se il danno deriva da dolo o colpa grave nella gestione del sistema di sicurezza.
   3. L'art. 1227 c.c. regola il concorso del fatto colposo del creditore, permettendo al giudice di ridurre l'ammontare del risarcimento se l'azienda truffata ha contribuito al danno non vigilando sulla sicurezza delle proprie comunicazioni informatiche.

3. Cosa dice la giurisprudenza

   La giurisprudenza di legittimità ha chiarito che il prestatore di servizi di pagamento deve agire come un banchiere accorto, il che implica un obbligo di protezione nei confronti del cliente che va oltre la semplice esecuzione meccanica degli ordini. In particolare, diversi tribunali di merito hanno stabilito che, qualora vi sia una macroscopica divergenza tra l'IBAN e il nome del beneficiario, la banca del ricevente non può restare inerte, poiché la tecnologia attuale consente agevolmente un controllo di congruenza (il cosiddetto cross-check). L'orientamento prevalente suggerisce che la banca sia responsabile se non dimostra di aver adottato tutte le misure di sicurezza conformi allo stato dell'arte tecnologico per intercettare operazioni anomale. Tuttavia, i giudici tendono a riconoscere quasi sempre un concorso di colpa dell'azienda vittima, variabile tra il 30% e il 50%, qualora la truffa sia stata agevolata da una gestione negligente delle password o dalla mancata verifica di anomalie evidenti nell'indirizzo email del mittente (come piccoli errori di ortografia nel dominio).

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. È fondamentale consigliare alle aziende clienti l'adozione di protocolli di doppia verifica (telefonica o tramite canali cifrati) per ogni variazione di coordinate bancarie ricevuta via email.
   2. In sede di contenzioso, l'avvocato deve puntare sulla prova della mancata attuazione del controllo di congruenza tra nome e IBAN come violazione della diligenza professionale del banchiere accorto.
   3. Occorre sempre valutare preventivamente l'incidenza del concorso di colpa del dipendente, preparando strategie difensive che dimostrino la sofisticatezza dell'attacco informatico per ridurre la quota di responsabilità dell'azienda.

Riferimenti: Art. 1176 c.c.Art. 1227 c.c.D.Lgs. n. 11/2010Direttiva UE 2015/2366 (PSD2)

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 5 settembre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica