La truffa IBAN è una delle frodi più diffuse ai danni di imprese, professionisti e condomini. Lo schema è semplice. Arriva una email dal fornitore di sempre, con la fattura giusta e un messaggio in più: «abbiamo cambiato banca, ecco il nuovo IBAN». L’ufficio amministrativo paga. Qualche settimana dopo il fornitore sollecita il saldo, perché il denaro non gli è mai arrivato.
Chi sopporta la perdita? La banca, l’azienda che ha disposto il bonifico o il fornitore? Una sentenza del Tribunale di Milano del 21 ottobre 2026 offre risposte chiare, e non sempre favorevoli a chi ha pagato. In questa guida vediamo cosa dicono i giudici, cosa cambia con la verifica del beneficiario e, soprattutto, cosa fare nelle prime ore.
Aggiornato al 5 novembre 2026
In sintesi
- La banca che accredita il denaro sull’IBAN indicato, di regola, non risponde della frode.
- Dal 9 ottobre 2025 la banca deve verificare che nome e IBAN del beneficiario coincidano: se ignori l’avviso, il rischio resta a tuo carico.
- Il pagamento al truffatore può liberarti dal debito verso il fornitore solo a precise condizioni (art. 1189 c.c.).
- Le prime 24-48 ore sono decisive per tentare di recuperare il denaro.
- Contro la truffa IBAN servono procedure interne semplici e clausole contrattuali chiare.
Indice
- Come funziona la truffa IBAN
- Il caso deciso dal Tribunale di Milano
- Quando risponde la tua banca
- La verifica del beneficiario (VoP)
- Il fornitore può chiederti di pagare di nuovo?
- Cosa fare nelle prime 24-48 ore
- Come proteggere l’azienda
- Domande frequenti
Come funziona la truffa IBAN
Gli esperti la chiamano Business Email Compromise (BEC) o attacco «man in the middle». Prima di tutto i truffatori entrano nella casella email del fornitore oppure in quella del cliente. Poi leggono la corrispondenza in silenzio, anche per settimane. Quando si avvicina la scadenza di un pagamento, inseriscono nella conversazione un messaggio con un IBAN diverso.
Il messaggio spesso parte dallo stesso indirizzo, oppure da uno quasi identico. Inoltre le giustificazioni sembrano credibili: un cambio di banca, un controllo fiscale, un problema amministrativo. Spesso i truffatori creano anche urgenza, ad esempio minacciando il blocco di una consegna. Così l’azienda paga, convinta di saldare una fattura vera. Di solito ci si accorge della truffa IBAN solo al primo sollecito del fornitore, quando il denaro ormai è lontano.
I segnali d’allarme più comuni:
- cambio di coordinate comunicato solo per email;
- conto presso una banca estera o mai usata prima;
- richiesta di pagare in fretta o di non parlarne con nessuno;
- piccole differenze nell’indirizzo del mittente o nella grafica della fattura.
Il caso deciso dal Tribunale di Milano (sentenza n. 8060/2026)
Il 21 ottobre 2026 il Tribunale di Milano ha deciso un tipico caso di truffa IBAN. Una società aveva pagato una fattura di oltre 115.000 euro sulle coordinate che riteneva del proprio fornitore. In realtà l’IBAN apparteneva a un’altra persona. La società ha quindi fatto causa alla banca che aveva ricevuto il denaro, per due motivi. Primo: la banca avrebbe dovuto notare che il nome del beneficiario non coincideva con l’intestatario del conto. Secondo: avrebbe violato gli obblighi antiriciclaggio.
Il Tribunale ha respinto tutte le domande, per tre ragioni.
- Conta l’IBAN, non il nome. Per l’art. 24 del d.lgs. 11/2010, il bonifico che arriva sul conto indicato dall’IBAN è un bonifico eseguito correttamente. La differenza tra il nome indicato e l’intestatario reale, da sola, non basta.
- L’antiriciclaggio tutela un interesse pubblico. Le regole antiriciclaggio non danno al singolo cliente un diritto automatico al risarcimento. Inoltre il giudice valuta la condotta della banca con le informazioni che essa aveva prima della frode, non con il senno di poi.
- Manca la prova del nesso causale. L’azienda doveva dimostrare che, con un comportamento diverso della banca, il denaro si sarebbe salvato. Questa prova mancava: una segnalazione di operazione sospetta, ad esempio, non avrebbe garantito il blocco tempestivo delle somme.
In pratica, chi subisce una truffa IBAN non può contare su un rimborso automatico da parte della banca che ha accolto il denaro dei truffatori.
Quando risponde la tua banca
Anche la banca di chi paga, di regola, non risponde. Il bonifico, infatti, è un’operazione autorizzata: l’ha disposta il cliente con le proprie credenziali. Per questo non valgono le regole sul rimborso delle operazioni non autorizzate. L’Arbitro Bancario Finanziario lo ha confermato proprio in un caso di frode via email (Collegio di Milano, decisione n. 9601 del 4 novembre 2025).
Diverso è il caso in cui il truffatore opera direttamente sul tuo conto, come spesso accade con phishing, spoofing o SIM swap. Ne abbiamo parlato nella guida su truffa bancaria e diritto al rimborso.
La tua banca, comunque, può rispondere in alcuni casi:
- se non compie sforzi ragionevoli per recuperare i fondi, come impone l’art. 24 del d.lgs. 11/2010;
- se non esegue correttamente la verifica del beneficiario o non ti comunica l’esito (vedi il paragrafo successivo);
- se il beneficiario indicato non ha alcun conto presso la banca che riceve il bonifico. In un caso simile la Cassazione (ord. n. 17415/2024) ha applicato le regole generali sulla responsabilità e ha confermato la condanna della banca che non aveva usato le cautele dovute per un pagamento di importo elevato.
La verifica del beneficiario (VoP): cosa cambia per le imprese
Fino al 2025 la Cassazione escludeva che la banca dovesse controllare la corrispondenza tra nome e IBAN (ord. n. 21105/2024). Oggi però il quadro è cambiato. Dal 9 ottobre 2025, infatti, la verifica del beneficiario (in inglese Verification of Payee, VoP) è obbligatoria per tutti i bonifici in euro, ordinari e istantanei.
Prima che tu autorizzi il pagamento, la banca confronta il nome inserito con l’intestatario dell’IBAN. Poi ti mostra uno di quattro esiti: corrispondenza, corrispondenza parziale, mancata corrispondenza oppure verifica non possibile. La Banca d’Italia ha pubblicato una nota informativa sul servizio.
La VoP è un’arma efficace contro la truffa IBAN. Tuttavia ha alcuni limiti che ogni azienda deve conoscere:
- Se confermi nonostante l’avviso, il rischio è tuo. Quando la banca segnala che i dati non coincidono e tu procedi lo stesso, la banca non risponde dell’errore.
- Se sbaglia la banca, paga la banca. Se invece la banca non esegue la verifica o non ti comunica correttamente l’esito, deve rimborsarti.
- Attenzione all’opt-out sulle distinte. Le imprese possono rinunciare alla verifica per i pagamenti multipli inviati con un’unica distinta. È comodo, ma toglie proprio il controllo che può fermare la frode.
- Vale solo per i bonifici in euro nell’Unione europea. Per pagamenti in altre valute o verso paesi extra UE il controllo può mancare. Lì serve ancora più prudenza.
Il fornitore può chiederti di pagare di nuovo?
È la domanda più frequente. In linea generale, chi paga a una persona diversa dal creditore non si libera dal debito. Tuttavia l’art. 1189 del codice civile tutela il debitore che paga in buona fede a chi appare legittimato a ricevere il pagamento in base a circostanze univoche.
Di recente il Tribunale di Ancona (sentenza n. 1646 del 12 ottobre 2026) ha applicato questa regola a un condominio. Il condominio aveva pagato una fattura con IBAN manomesso e l’impresa aveva poi ottenuto un decreto ingiuntivo. Il giudice ha revocato il decreto: il pagamento in buona fede aveva estinto il debito, anche se l’impresa non aveva incassato nulla.
Non si tratta però di una regola automatica. Il giudice valuta il caso concreto, e in particolare:
- da quale casella è partita la falsa richiesta e chi ha subito l’intrusione;
- se il messaggio presentava anomalie evidenti;
- se l’azienda ha fatto le verifiche ragionevoli, ad esempio una telefonata al fornitore;
- se il creditore ha contribuito a creare l’apparenza, ad esempio con una casella email poco protetta (in questo senso Trib. Milano, sent. n. 6055/2024).
Conta anche il tempo: il debitore deve sollevare questa difesa tempestivamente, nei primi atti del giudizio. Perciò, prima di pagare una seconda volta o di rifiutare il pagamento, conviene far valutare la posizione da un avvocato. Lo stesso vale per il fornitore che non ha ricevuto il denaro.
Truffa IBAN: cosa fare nelle prime 24-48 ore
Il tempo è decisivo. Nel caso esaminato dall’ABF, il cliente aveva chiesto il richiamo circa una settimana dopo il bonifico: sul conto del beneficiario non c’erano più fondi. Ecco quindi le azioni da compiere subito.
- Chiama subito la tua banca al numero ufficiale e chiedi il richiamo (recall) del bonifico, spiegando che si tratta di una frode. Se il bonifico ordinario non è ancora partito, chiedi la revoca. Il bonifico istantaneo, invece, non si può revocare: resta solo il richiamo.
- Conferma tutto per iscritto via PEC. Se il recupero fallisce, su richiesta scritta la banca deve darti le informazioni utili per agire contro chi ha ricevuto il denaro (art. 24 d.lgs. 11/2010).
- Presenta denuncia alla Polizia Postale o ai Carabinieri, con email, fattura e contabile del bonifico. Un intervento rapido a volte consente di bloccare le somme: la Polizia Postale di Bari, ad esempio, ha recuperato 120.000 euro pagati da un’impresa su un IBAN modificato.
- Conserva le prove senza alterarle. Non cancellare le email, salvale nel formato originale con le intestazioni tecniche e, per importi rilevanti, fai eseguire una copia forense. Una semplice stampa, infatti, perde valore se la controparte ne contesta la conformità (art. 2712 c.c.).
- Avvisa il fornitore per telefono e verificate insieme quale casella hanno violato i truffatori. Poi cambiate le password e attivate l’autenticazione a due fattori.
- Informa l’assicurazione, se hai una polizza contro i rischi informatici: spesso prevede termini brevi per denunciare il sinistro.
- Verifica gli obblighi privacy. Se l’intrusione ha esposto dati personali, valuta la notifica della violazione al Garante entro 72 ore (art. 33 GDPR).
- Presenta reclamo alla banca e, se la risposta non arriva o non ti soddisfa, valuta il ricorso all’Arbitro Bancario Finanziario.
Come proteggere l’azienda dalla truffa IBAN: 8 regole pratiche
- Nessun cambio IBAN per email. Verifica sempre con una telefonata a un numero già presente in anagrafica, mai a quello indicato nel messaggio.
- Una procedura scritta per modificare l’anagrafica fornitori, con l’approvazione di due persone diverse.
- Leggi l’esito della verifica del beneficiario e blocca il pagamento se i dati non coincidono, finché non hai chiarito.
- Evita l’opt-out sulle distinte, almeno per i beneficiari nuovi o con coordinate modificate. Parlane con la tua banca.
- Doppia firma e limiti di importo per i bonifici più rilevanti.
- Autenticazione a due fattori su tutte le caselle email e formazione periodica del personale amministrativo.
- Clausole contrattuali chiare. Nei contratti con fornitori e clienti, stabilisci che valgono solo le coordinate comunicate via PEC o con firma digitale. Inoltre chiarisci chi sopporta il rischio di una comunicazione fraudolenta.
- Una polizza adeguata che copra le frodi informatiche: verifica bene esclusioni e franchigie.
Queste misure non sono solo buone pratiche. Per le società, infatti, fanno parte degli assetti organizzativi adeguati che l’art. 2086 c.c. richiede all’imprenditore. Se l’azienda perde somme rilevanti senza alcun controllo minimo, soci e creditori potrebbero contestarlo agli amministratori. Approfondisci il tema nella nostra guida sulla responsabilità dell’amministratore di Srl senza adeguati assetti.
Domande frequenti sulla truffa IBAN
La banca mi rimborsa se sono vittima di una truffa IBAN?
Di regola no, perché il bonifico l’hai autorizzato tu. La banca però può rispondere se non si attiva per recuperare i fondi, se sbaglia la verifica del beneficiario o in casi particolari di negligenza.
Posso bloccare un bonifico già partito?
Puoi revocare un bonifico ordinario solo prima della sua esecuzione. Dopo, la banca può chiedere il richiamo alla banca del beneficiario. Il recupero però riesce solo se il denaro è ancora sul conto: per questo bisogna agire nelle prime ore.
Devo pagare di nuovo il fornitore?
Dipende dal caso. Se hai pagato in buona fede e la richiesta appariva credibile, puoi invocare l’art. 1189 c.c. e sostenere che il debito si è estinto. Il giudice però valuta tutte le circostanze, comprese le verifiche che hai fatto.
La verifica del beneficiario mi protegge sempre?
No. Ti avvisa se nome e IBAN non coincidono, ma se confermi comunque il pagamento il rischio resta a te. Inoltre non opera se rinunci alla verifica sulle distinte o se paghi in valute diverse dall’euro.
Sono il fornitore e non ho ricevuto il pagamento: cosa posso fare?
Puoi chiedere il pagamento al cliente. Il cliente però potrebbe sostenere di aver pagato in buona fede al creditore apparente. Molto dipende da quale casella hanno violato i truffatori e dalle cautele adottate da entrambe le parti.
Come può aiutarti lo Studio Legale Riccardi
Lo Studio Legale Riccardi si occupa di diritto bancario dal 2000. Assistiamo imprese, professionisti e condomini colpiti da frodi sui pagamenti, a partire dalla truffa IBAN:
- nelle prime ore dopo la frode: richieste alle banche, richiamo dei fondi, raccolta delle prove e denuncia;
- nel rapporto con il fornitore o con il cliente, per stabilire chi deve sopportare la perdita;
- nei reclami, nei ricorsi all’ABF e nelle cause contro gli intermediari;
- nella prevenzione: procedure interne di pagamento e clausole contrattuali sulle coordinate bancarie.
Hai subito una truffa IBAN o vuoi mettere in sicurezza i pagamenti della tua azienda? Contatta lo Studio, chiama lo 081 6063119 oppure scrivi a info@riccardilex.com.
Questo articolo ha carattere informativo generale e non sostituisce una consulenza legale sul caso concreto.