L’aumento delle frodi informatiche, spesso realizzate mediante i noti schemi di phishing, spoofing, business e-mail compromise e money muling, ha progressivamente spostato l’attenzione degli operatori bancari dal solo tema della sicurezza dei pagamenti a quello dell’effettiva efficacia dei presìdi antiriciclaggio (AML).
Del tema se ne discuterà ampiamente nel corso della seconda relazione del webinar organizzato dalla nostra rivista per il giorno 14 luglio 2026 “Violazioni antiriciclaggio e responsabilità verso il cliente – Tra presidi di controllo e obblighi di correttezza e protezione“.
Il fenomeno trova conferma anche nel Rapporto UIF 2025, che evidenzia una crescita delle segnalazioni riconducibili a truffe e frodi informatiche, nonché alcune criticità nell’adempimento degli obblighi di collaborazione attiva da parte di alcuni soggetti obbligati.
In questo contesto, l’Arbitro Bancario Finanziario ha iniziato a valorizzare la disciplina contenuta nel D. Lgs. n. 231/2007 (il c.d. decreto antiriciclaggio) non soltanto quale normativa pubblicistica di prevenzione del riciclaggio, ma anche come parametro di diligenza professionale rilevante nei rapporti tra banca e clienti.
Particolarmente significativa è la recente decisione del Collegio di Bologna n. 9702 del 6 novembre 2025, relativa a una frode di tipo man in the mail, nella quale il pagamento era stato dirottato su un conto corrente aperto dal truffatore: in questo caso, l’ABF ha ritenuto che la banca destinataria del bonifico non avesse adempiuto correttamente agli obblighi di adeguata verifica previsti dagli artt. 17, 18 e 19 del D. Lgs. n. 231/2007, riconoscendo una responsabilità concorrente dell’intermediario e liquidando il danno in via equitativa.
Secondo il Collegio infatti, la disciplina antiriciclaggio svolge anche una funzione di tutela privatistica, costituendo un indice della condotta diligente che il bonus argentarius è tenuto ad osservare nei confronti degli utilizzatori dei servizi bancari.
L’orientamento si inserisce in un filone giurisprudenziale sviluppatosi progressivamente nel corso del 2025.
In particolare, la decisione ABF n. 2660 del 13 marzo 2025 ha infatti ribadito che gli obblighi di identificazione e verifica dell’identità del cliente, previsti dalla normativa AML, non perseguono esclusivamente finalità pubblicistiche, ma sono idonei anche a proteggere i soggetti che possono subire conseguenze pregiudizievoli dall’apertura irregolare di rapporti bancari intestati a terzi o mediante furto d’identità.
In tale prospettiva, la violazione degli obblighi di adeguata verifica può integrare un inadempimento fonte di responsabilità risarcitoria.
Analoga impostazione emerge dalla decisione del Collegio di Roma n. 3913 del 18 aprile 2025, concernente l’apertura a distanza di un conto corrente utilizzato per ricevere somme provenienti da una frode.
L’ABF ha ritenuto insufficiente la procedura di identificazione adottata dall’intermediario, osservando che la mera acquisizione di documenti e selfie non dimostra, di per sé, il corretto assolvimento degli obblighi di verifica previsti dal D. Lgs. n. 231/2007 e dalle disposizioni di Banca d’Italia: anche in questo caso il Collegio ha riconosciuto la responsabilità dell’intermediario, valorizzando il nesso causale tra l’inadeguata verifica iniziale e il danno subito dalla vittima della frode.
Le pronunce richiamate evidenziano come la fase di onboardingassuma oggi un rilievo decisivo: un’identificazione incompleta del cliente, una verifica non adeguatamente documentata o procedure digitali prive di controlli effettivi possono consentire l’apertura di conti destinati ad essere utilizzati come conti di appoggio (mule accounts) per il trasferimento delle somme sottratte alle vittime delle frodi.
Diverso è invece il tema del mancato blocco delle operazioni caratterizzate da indici di anomalia.
Sul punto l’ABF ha adottato un approccio più prudente, distinguendo tra operazioni non autorizzate e operazioni volontariamente disposte dal cliente, ancorché indotto in errore dai truffatori.
In particolare, il Collegio di Milano (decisione n. 6732/2025) ha escluso che la mera anomalia dell’operatività imponga automaticamente all’intermediario di bloccare l’esecuzione di bonifici regolarmente autorizzati, osservando che operazioni inconsuete possono comunque rientrare nella libera autonomia dispositiva del cliente.
Ciò non significa, tuttavia, che gli indicatori di anomalia siano irrilevanti.
La recente Comunicazione UIF dell’8 giugno 2026 richiama espressamente gli intermediari a rafforzare il monitoraggio delle operazioni caratterizzate da elementi sintomatici di frode, quali frequenti modifiche dei dati identificativi, utilizzo condiviso di dispositivi o indirizzi IP, incoerenze nelle informazioni fornite dal cliente, impiego di identità sintetiche o ricorso a money mule.
Tali indicatori non determinano automaticamente l’obbligo di rifiutare l’operazione, ma impongono l’attivazione di adeguati approfondimenti, del controllo costante e, ove ricorrano i presupposti, della segnalazione di operazione sospetta (SOS).
La responsabilità degli intermediari verso i clienti vittime di frodi informatiche pare sia sempre più strettamente collegata alla qualità dei processi AML: l’adeguata verifica della clientela non rappresenta soltanto un adempimento regolamentare, ma costituisce uno strumento essenziale di prevenzione delle frodi informatiche.
Parallelamente, il monitoraggio continuo dell’operatività deve consentire di intercettare tempestivamente gli elementi di anomalia e di documentare le valutazioni svolte, poiché proprio la tracciabilità delle verifiche effettuate rappresenta uno degli elementi maggiormente scrutinati tanto dalle Autorità quanto dall’ABF nell’accertamento della responsabilità dell’intermediario.