Articolo a cura di: Redazione - Studio Legale Calvello

Un’impresa dispone un bonifico di centinaia di migliaia di euro per pagare un fornitore, ma il denaro finisce su un conto controllato da truffatori. L’ordine è stato impartito dopo aver ricevuto un’email apparentemente autentica, nella quale le coordinate bancarie erano state sostituite. È uno degli schemi più frequenti della Business Email Compromise (BEC), una frode informatica che può provocare perdite patrimoniali molto elevate. Il recupero delle somme richiede un intervento tempestivo e una verifica delle eventuali responsabilità della banca, del beneficiario del pagamento e degli altri soggetti coinvolti. Quando il bonifico è stato autorizzato dalla stessa vittima, il rimborso non è automatico: occorre ricostruire le modalità dell’inganno, i controlli effettuati dagli intermediari e le possibilità concrete di recuperare il denaro.

Business Email Compromise: come avviene la frode del cambio IBAN e perché le imprese perdono somme elevate

La Business Email Compromise è una frode nella quale il criminale sfrutta una comunicazione elettronica apparentemente proveniente da un interlocutore affidabile per ottenere un trasferimento di denaro. Nel contesto aziendale il caso più ricorrente riguarda la sostituzione fraudolenta dell’IBAN indicato in una fattura o in una richiesta di pagamento. L’impresa riceve un messaggio che sembra provenire dal proprio fornitore abituale, spesso inserito in una conversazione commerciale già esistente, e dispone il bonifico verso il conto indicato senza rendersi conto che le coordinate bancarie sono state modificate.

L’inganno può derivare dall’accesso abusivo alla casella email del fornitore, dalla compromissione della posta elettronica del cliente oppure dall’utilizzo di un indirizzo contraffatto, molto simile a quello autentico. In alcune situazioni i truffatori osservano per settimane gli scambi tra le aziende, individuano una fattura di importo rilevante e intervengono poco prima del pagamento. Il messaggio fraudolento può riprodurre firme, riferimenti contrattuali e precedenti comunicazioni, rendendo difficile riconoscere la sostituzione delle coordinate bancarie.

Una variante è la cosiddetta CEO fraud, o truffa del falso amministratore, nella quale un dipendente riceve una richiesta apparentemente proveniente dall’amministratore delegato o dal direttore finanziario. Il messaggio sollecita un bonifico urgente, spesso con l’indicazione di mantenere riservata l’operazione. In questi casi l’ordine può essere materialmente impartito da una persona autorizzata a operare sul conto aziendale, benché la decisione sia stata provocata da una falsa rappresentazione della realtà. La distinzione assume rilievo nella valutazione delle tutele applicabili, perché un pagamento autorizzato a seguito di un inganno non coincide necessariamente con un’operazione eseguita senza il consenso del pagatore. Per gli specifici profili della truffa del falso amministratore si può consultare anche il nostro approfondimento sulla frode del falso CEO e la responsabilità per il bonifico aziendale.

Le conseguenze sono particolarmente gravi quando la frode riguarda il pagamento di forniture industriali, macchinari, appalti, operazioni immobiliari o rapporti commerciali internazionali. Un bonifico fraudolento da 100.000, 500.000 euro o persino superiore al milione può compromettere la liquidità dell’impresa. Il problema si aggrava quando il fornitore effettivo, non avendo ricevuto il pagamento, pretende nuovamente l’importo della fattura. In questa situazione occorre esaminare anche se il pagamento al soggetto fraudolento abbia o meno efficacia liberatoria nei confronti del vero creditore, tenendo conto delle circostanze dell’inganno e delle regole applicabili al rapporto obbligatorio.

La presenza di un’email contraffatta non dimostra, da sola, una responsabilità della banca o del fornitore. È necessario individuare quale sistema sia stato compromesso, chi abbia comunicato le coordinate fraudolente, quali verifiche fossero ragionevolmente esigibili e se eventuali omissioni abbiano contribuito alla perdita. La frode del falso amministratore presenta, per esempio, caratteristiche differenti rispetto alla modifica di una fattura autentica attraverso la casella email del fornitore. La ricostruzione tecnica delle comunicazioni e della sequenza dei pagamenti è il punto di partenza per individuare i possibili responsabili.

Bonifico fraudolento già eseguito: richiamo delle somme, controlli bancari e possibilità di rimborso

Quando l’impresa scopre di aver effettuato un bonifico verso un IBAN fraudolento, il primo problema è impedire che le somme vengano ulteriormente trasferite o prelevate. Occorre contattare immediatamente la banca ordinante, segnalare formalmente la frode e chiedere l’attivazione delle procedure di richiamo del pagamento, comunemente indicate come recall del bonifico. La banca ordinante può rivolgersi all’intermediario del beneficiario per richiedere il recupero dei fondi. L’effettiva restituzione dipende però dallo stato dell’operazione, dalla disponibilità delle somme e dalle condizioni previste dalle procedure bancarie applicabili. Il recall non equivale a una revoca unilateralmente efficace di un bonifico già eseguito.

Nei pagamenti internazionali, compresi quelli effettuati tramite la rete SWIFT, la rapidità della segnalazione assume un peso particolare. I truffatori possono utilizzare conti di transito, trasferire il denaro verso ulteriori intermediari oppure disporre prelievi in tempi molto brevi. Per questo motivo è opportuno richiedere alla banca di documentare le iniziative intraprese, gli orari delle comunicazioni e le risposte ricevute dall’intermediario destinatario. Parallelamente, la denuncia all’autorità competente può consentire l’avvio di accertamenti e, quando ne ricorrano i presupposti, l’adozione di provvedimenti cautelari sulle somme individuate.

Il mancato recupero attraverso il recall non esclude necessariamente ulteriori iniziative. Occorre distinguere la possibilità materiale di recuperare il denaro dalla responsabilità giuridica degli intermediari coinvolti. La banca del pagatore deve eseguire correttamente l’ordine ricevuto e rispettare gli obblighi previsti dalla disciplina dei servizi di pagamento. Quando il cliente contesta un bonifico, è necessario verificare se l’operazione fosse effettivamente autorizzata, se siano state rispettate le procedure di autenticazione e se la banca abbia adempiuto agli obblighi applicabili alla specifica operazione.

La disciplina introdotta dal decreto legislativo n. 11 del 2010, che recepisce la normativa europea sui servizi di pagamento, prevede specifiche tutele per le operazioni non autorizzate. Diversa è la posizione dell’impresa che abbia consapevolmente disposto il trasferimento, pur essendo stata ingannata sull’identità del beneficiario. In quest’ultima ipotesi non è corretto presumere un diritto automatico al rimborso: la responsabilità bancaria deve essere accertata sulla base di un concreto inadempimento, del rapporto causale con il danno e delle caratteristiche del servizio prestato.

Un profilo da esaminare riguarda la verifica della corrispondenza tra l’IBAN e il nominativo del beneficiario. Il Regolamento (UE) 2024/886 ha introdotto, secondo le relative scadenze applicative, il servizio di verifica del beneficiario dei bonifici, noto come Verification of Payee. Per gli intermediari interessati nell’area dell’euro, tale disciplina è operativa dall’ottobre 2025. Il servizio permette al pagatore di ricevere informazioni sulla corrispondenza tra il nome indicato e il titolare del conto associato all’IBAN. In presenza di una truffa del cambio IBAN occorre quindi verificare la data del pagamento, l’intermediario coinvolto, l’esito della verifica, gli eventuali avvisi ricevuti e le decisioni assunte dal cliente. La mancata corrispondenza non comporta automaticamente la responsabilità della banca, così come la prosecuzione del pagamento dopo un avviso non esclude, in ogni circostanza, ulteriori profili da accertare.

Quando l’operazione presenta elementi anomali, come un trasferimento di importo particolarmente elevato verso un beneficiario mai utilizzato, può essere necessario esaminare anche i sistemi di sicurezza e i controlli antifrode concretamente applicabili. Non esiste però un obbligo generalizzato della banca di verificare la causa commerciale di ogni bonifico o di impedire qualsiasi pagamento economicamente rischioso. Per individuare un’eventuale responsabilità dobbiamo ricostruire gli obblighi effettivamente esigibili dall’intermediario e verificare se la loro violazione abbia inciso sulla realizzazione della frode. Il tema assume particolare rilievo nelle controversie relative a bonifici fraudolenti di centinaia di migliaia di euro.

Queste verifiche assumono particolare rilievo quando il denaro è stato accreditato su un conto utilizzato da un prestanome o da un soggetto coinvolto nel trasferimento di fondi illeciti. La posizione della banca destinataria deve essere valutata autonomamente rispetto a quella della banca ordinante. L’apertura e la gestione del conto, le segnalazioni ricevute e le operazioni successive all’accredito possono costituire elementi utili per ricostruire i fatti, senza che la semplice ricezione del bonifico fraudolento determini automaticamente un obbligo risarcitorio.

Responsabilità della banca e recupero delle somme: prove, azioni legali e quantificazione del danno

Quando il richiamo del bonifico non consente di recuperare il denaro, occorre verificare se esistano i presupposti per un’azione nei confronti della banca ordinante, dell’intermediario beneficiario o degli altri soggetti coinvolti nella frode. Il fatto che un’impresa abbia perso 100.000, 500.000 euro o una somma superiore al milione non dimostra automaticamente la responsabilità bancaria. Per ottenere un giusto risarcimento dobbiamo individuare una condotta giuridicamente rilevante, dimostrare il rapporto causale con la perdita e quantificare il danno effettivamente subito.

La prima verifica riguarda la natura dell’operazione. Se il bonifico è stato eseguito senza il consenso del titolare del conto, trovano applicazione le disposizioni sulle operazioni di pagamento non autorizzate, con specifiche regole in materia di rimborso e onere della prova. Se invece l’imprenditore o un dipendente autorizzato ha disposto il pagamento dopo aver ricevuto una falsa comunicazione del fornitore, siamo generalmente di fronte a un’operazione autorizzata mediante inganno. In questa seconda situazione dobbiamo accertare se la banca abbia violato obblighi contrattuali, normativi o di diligenza professionale concretamente applicabili. La semplice esistenza della frode non è sufficiente a dimostrare l’inadempimento dell’intermediario.

Un elemento particolarmente delicato riguarda la verifica del beneficiario e la gestione degli avvisi di mancata corrispondenza tra nominativo e IBAN. Esaminiamo la data del bonifico, le regole applicabili all’intermediario, le informazioni mostrate al cliente prima dell’autorizzazione e l’eventuale mancato funzionamento del servizio di verifica. Occorre anche stabilire se un corretto avviso avrebbe ragionevolmente impedito il pagamento. Nei trasferimenti di grande importo, la documentazione delle schermate di autorizzazione e delle comunicazioni bancarie può assumere particolare valore probatorio.

La posizione della banca destinataria richiede un accertamento distinto. L’utilizzo di un conto corrente per ricevere denaro proveniente da una Business Email Compromise non rende automaticamente responsabile l’intermediario che lo gestisce. Possiamo però verificare le circostanze dell’apertura del rapporto, le informazioni disponibili, le eventuali segnalazioni di frode, i tempi di ricezione del recall e la successiva movimentazione delle somme. Gli obblighi antiriciclaggio e di identificazione della clientela devono essere considerati secondo la loro effettiva funzione e portata: una loro eventuale violazione non attribuisce necessariamente al soggetto truffato un autonomo diritto al risarcimento, che richiede comunque un fondamento giuridico e la dimostrazione del nesso causale.

Per ricostruire la vicenda acquisiremo, secondo le modalità consentite, contabili dei bonifici, estratti conto, disposizioni di pagamento, comunicazioni con le banche, richieste di recall, fatture, contratti commerciali ed email originali. Quando necessario, una consulenza informatica può individuare l’origine della comunicazione fraudolenta, verificare l’eventuale compromissione delle caselle di posta e ricostruire le modifiche apportate alle coordinate bancarie. La conservazione dei messaggi nel loro formato originale, comprensivo delle intestazioni tecniche, è preferibile alla sola produzione di schermate o copie stampate.

Se il denaro risulta ancora individuabile, possiamo valutare le iniziative giudiziarie compatibili con la situazione concreta, comprese eventuali misure cautelari civili e la sollecitazione degli accertamenti penali attraverso gli strumenti previsti dalla legge. La denuncia della frode non comporta automaticamente il recupero delle somme e non sostituisce l’esame delle possibili azioni restitutorie o risarcitorie. Quando il destinatario del pagamento è identificabile, occorre valutare anche un’azione nei suoi confronti, tenendo conto della sua effettiva partecipazione alla frode e della possibilità di recuperare utilmente il credito.

Un ulteriore profilo riguarda il rapporto tra l’impresa pagatrice e il fornitore effettivo. Se quest’ultimo non ha ricevuto il denaro, potrebbe pretendere un secondo pagamento. La questione deve essere esaminata considerando le regole sull’adempimento, l’eventuale pagamento al creditore apparente ai sensi dell’art. 1189 del codice civile, la buona fede del debitore e le circostanze che hanno reso credibile la falsa indicazione bancaria. Non possiamo presumere che il pagamento al truffatore estingua sempre il debito, né che l’impresa debba necessariamente pagare due volte.

Prima di avviare una controversia valutiamo anche il reclamo bancario, l’eventuale ricorso all’Arbitro Bancario Finanziario nei limiti della sua competenza e le procedure di mediazione applicabili. Per le controversie bancarie che richiedono un giudizio civile, occorre considerare la mediazione obbligatoria quando prevista dall’art. 5 del decreto legislativo n. 28 del 2010. La scelta dipende dalla natura della domanda, dal valore economico della controversia e dall’urgenza di eventuali iniziative cautelari.

Il danno risarcibile deve essere determinato sulla base delle conseguenze patrimoniali effettivamente riconducibili alla condotta contestata. Oltre alle somme definitivamente perdute, possono assumere rilievo ulteriori pregiudizi economici dimostrabili, come costi finanziari direttamente provocati dalla sottrazione della liquidità o utili perduti in conseguenza della frode. Non è però possibile sommare automaticamente ogni voce di danno all’importo del bonifico. Per richiedere un congruo risarcimento occorre evitare duplicazioni, considerare eventuali recuperi parziali e dimostrare concretamente le conseguenze economiche dell’inadempimento. Devono essere verificati anche i termini di prescrizione e le eventuali decadenze applicabili alle diverse azioni.

Un bonifico aziendale di 480.000 euro dirottato su un IBAN fraudolento: esempio pratico di recupero

Consideriamo il caso, costruito a titolo esemplificativo, della società Alfa S.r.l., impegnata nell’acquisto di macchinari industriali da un fornitore europeo. Poco prima della scadenza di una fattura da 480.000 euro, l’ufficio amministrativo riceve un’email apparentemente proveniente dal fornitore, nella quale viene comunicato un nuovo IBAN. Il messaggio si inserisce in una conversazione commerciale autentica e riproduce correttamente i riferimenti dell’ordine. La società dispone il pagamento, ma alcuni giorni dopo il fornitore comunica di non aver ricevuto alcuna somma.

Nell’esempio, la ricostruzione delle comunicazioni permette di individuare una compromissione della casella email utilizzata per trasmettere le coordinate bancarie. L’esame della documentazione bancaria mostra inoltre che la segnalazione della frode era stata inviata quando parte delle somme risultava ancora disponibile sul conto destinatario. L’attività legale si concentra quindi sulla ricostruzione dei tempi delle comunicazioni, sull’acquisizione delle risposte degli intermediari e sulla verifica delle possibilità di recupero, senza presumere che il mancato blocco del denaro costituisca automaticamente una responsabilità risarcitoria.

Attraverso il coordinamento delle richieste bancarie e delle iniziative consentite dalla situazione, nell’ipotesi descritta viene recuperata una parte del capitale. Per la somma residua viene valutata una distinta azione nei confronti dei soggetti potenzialmente responsabili, sulla base delle prove raccolte e degli obblighi concretamente violati. L’esempio mostra perché, nelle frodi di importo elevato, la tempestività dell’intervento e la qualità della documentazione possono incidere sulle possibilità di recupero. L’esito dipende comunque dalle circostanze del singolo caso e non può essere esteso automaticamente a vicende analoghe.

Domande frequenti sul recupero di un bonifico fraudolento e sulla responsabilità bancaria

È possibile recuperare un bonifico fraudolento quando il denaro è già stato trasferito all’estero?

Sì, il recupero può essere possibile anche quando le somme sono state accreditate su un conto estero. Occorre verificare la tracciabilità del pagamento, la disponibilità residua dei fondi e la possibilità di attivare procedure di richiamo o iniziative giudiziarie nel Paese interessato. Le possibilità concrete dipendono anche dalla collaborazione degli intermediari e dalla tempestività della segnalazione.

La banca può essere responsabile anche se il bonifico è stato autorizzato dall’imprenditore?

Sì, ma l’autorizzazione ottenuta attraverso un inganno non determina automaticamente un diritto al rimborso. Occorre verificare se la banca abbia violato specifici obblighi contrattuali, normativi o di diligenza professionale e se tale violazione abbia contribuito alla perdita. Particolare attenzione merita l’eventuale mancato rispetto degli obblighi di verifica del beneficiario applicabili al momento del pagamento.

Se il fornitore non riceve il pagamento perché l’IBAN è stato modificato da un hacker, l’azienda deve pagare nuovamente?

Non esiste una risposta valida per ogni situazione. Occorre accertare se il pagamento al soggetto fraudolento possa avere efficacia liberatoria, considerando anche l’art. 1189 del codice civile, la buona fede del debitore e le circostanze che hanno generato l’apparenza della legittimazione a ricevere il pagamento. La responsabilità dell’eventuale compromissione della posta elettronica deve essere esaminata separatamente.

Quali documenti servono per chiedere il risarcimento di un bonifico fraudolento di grande importo?

Sono particolarmente utili le email originali, le fatture, i contratti commerciali, le contabili bancarie, gli estratti conto e le comunicazioni relative alla segnalazione della frode e al richiamo del bonifico. Quando necessario, una perizia informatica può contribuire a ricostruire la compromissione delle comunicazioni. La documentazione deve permettere di individuare la condotta contestata, il nesso causale e il danno effettivamente subito.

È preferibile rivolgersi all’Arbitro Bancario Finanziario oppure avviare una causa contro la banca?

La scelta dipende dalla natura della controversia, dall’importo richiesto e dalle prove disponibili. L’Arbitro Bancario Finanziario può rappresentare uno strumento di tutela nelle controversie che rientrano nella sua competenza, ma le domande risarcitorie di importo particolarmente elevato possono richiedere un giudizio ordinario. Nei casi più complessi dobbiamo valutare anche la necessità di accertamenti tecnici e di eventuali provvedimenti cautelari.

Business Email Compromise e perdita di somme elevate: richiedi una valutazione legale del caso

Se la tua impresa ha subito una Business Email Compromise, una truffa del cambio IBAN o un bonifico fraudolento di centinaia di migliaia di euro, è opportuno esaminare tempestivamente la documentazione bancaria e le comunicazioni che hanno preceduto il pagamento. Anche quando il recall non ha consentito la restituzione del denaro, possono esistere ulteriori possibilità di recupero o presupposti per accertare eventuali responsabilità.

Presso lo Studio Legale Calvello dell’Avvocato Claudio Calvello valutiamo le controversie bancarie di rilevante valore economico, ricostruendo le operazioni contestate, gli obblighi degli intermediari e le prove necessarie per individuare le iniziative concretamente praticabili. Per sottoporre il tuo caso al nostro esame, richiedi una valutazione compilando il modulo di contatto, indicando l’importo perduto, la data del bonifico e le iniziative già intraprese. Esamineremo la richiesta e ti ricontatteremo per valutare i successivi passaggi.