Il Collegio di Milano dell’Arbitro Bancario Finanziario, con decisione n. 9601 del 04 novembre 2025 (Pres. A. Tina, Rel. A.M. Felicetti), si è pronunciato su un ricorso che vedeva la mancata corrispondenza fra IBAN e beneficiario del pagamento, in conseguenza di una business e-mail compromised, ovvero una particolare truffa in cui un malvivente si inserisce nella conversazione e-mail tra due parti, fingendosi una di esse per indirizzare un pagamento a proprio favore.
Nel caso di specie, uno studio legale associato riceveva una e-mail dal proprio commercialista in cui quest’ultimo chiedeva il pagamento del proprio compenso. Il malvivente, allora, si inseriva nella conversazione e indicava allo studio il proprio IBAN ai fini del pagamento.
Lo studio legale ed il commercialista, quindi, agivano contro le due banche coinvolte nell’operazione (ossia quella dell’ordinante e quella del beneficiario) per ottenere il rimborso del pagamento effettuato al truffatore.
L’Arbitro, tuttavia, ha negato che potesse sussistere una qualche responsabilità delle due banche ai sensi del D. Lgs. n. 11/2010: infatti, risultava pacifico che l’operazione fosse stata correttamente disposta ed autorizzata dallo studio legale.
I ricorrenti, peraltro, contestavano alle due banche di non aver verificato la non corrispondenza tra il beneficiario indicato nell’ordine del pagamento ed il titolare dell’IBAN.
Nell’ordine di bonifico, infatti, lo studio aveva inserito quale beneficiario il proprio commercialista ma l’IBAN di cui era titolare il malvivente.
Secondo i ricorrenti le due banche avrebbero dovuto verificare la non corrispondenza tra i due dati in ragione delle linee guida dell’European Payment Council del 10 ottobre 2024.
Tuttavia, come rilevato dall’Arbitro, tale obbligo di verifica, che è previsto dall’art. 5-quater del regolamento europeo 260/2012 per come modificato dal regolamento 886/2024, è entrato in vigore solo il 9 ottobre 2025, quindi ben dopo la data del pagamento contestato (effettuato il 28 febbraio 2024).
