Bonifico intercettato ed email compromessa: chi paga se l’IBAN era del truffatore

In sintesi. Arriva la fattura di un fornitore che si conosce da anni, l’importo è quello atteso, la mail sembra la solita. Si paga con un bonifico e, giorni dopo, il fornitore telefona: quei soldi non sono mai arrivati. È la truffa dell’IBAN modificato, nota anche come frode della fattura, man in the middle o Business Email Compromise (BEC): un criminale si è inserito nello scambio di email tra le due parti, ha intercettato la fattura e ne ha cambiato l’IBAN, sostituendolo con quello di un conto a lui riferibile. Chi paga crede di saldare il fornitore, ma il denaro finisce al truffatore. La particolarità giuridica, che rende questa frode molto diversa da phishing, vishing o SIM swap, è una sola: qui il bonifico è stato disposto volontariamente dal pagatore. L’operazione è quindi autorizzata, e la disciplina protettiva dei pagamenti non autorizzati del D.Lgs. 11/2010 — quella che addossa alla banca l’onere della prova — non si applica. Il problema si sposta su tre piani distinti. Primo: nel rapporto debitore-creditore, chi paga a un soggetto non legittimato a ricevere, di regola, non estingue il debito (art. 1188 c.c.) e rischia di pagare due volte, salvo poi rivalersi sul truffatore; ma la legge prevede un correttivo, il pagamento al creditore apparente (art. 1189 c.c.), la cui applicazione dipende in larga parte da chi ha colposamente causato l’inganno (spesso, la compromissione dei sistemi del fornitore). Secondo: la banca del pagatore di norma non risponde, perché vale la regola dell’identificativo unico (art. 24), ma ha l’obbligo di adoperarsi per recuperare i fondi (art. 25) con la procedura di richiamo del bonifico. Terzo: la banca del truffatore, che ha aperto il conto e ricevuto l’accredito, risponde solo in casi limitati. Questa guida spiega, in modo ordinato, chi paga davvero, come tentare il recupero e come prevenire.

Che cos’è la truffa dell’IBAN modificato (man in the middle)

Risposta diretta. È una frode in cui un criminale si inserisce nella comunicazione tra chi deve pagare e chi deve incassare — tipicamente un cliente e un fornitore — e altera i dati di pagamento, sostituendo l’IBAN legittimo con il proprio. Il pagatore riceve una fattura all’apparenza autentica, con importo e mittente corretti, ma con coordinate bancarie del truffatore, e paga sul conto sbagliato. Per questo si parla di attacco man in the middle (“l’uomo nel mezzo”) o di Business Email Compromise.

Il bersaglio prediletto sono imprese, liberi professionisti e studi che gestiscono regolarmente pagamenti a fornitori, consulenti e collaboratori, ma la truffa colpisce anche i privati che devono versare somme importanti su indicazione ricevuta via email, ad esempio l’acconto per l’acquisto di una casa, la caparra a un’agenzia, la parcella di un professionista. L’elemento comune è che il pagamento parte da una comunicazione via posta elettronica di cui la vittima si fida.

Come avviene, in pratica

Il meccanismo si sviluppa in due momenti. Nel primo, il criminale ottiene l’accesso a una casella di posta: quella del fornitore, quella del cliente o quella di un intermediario. Vi riesce con una precedente campagna di phishing, con credenziali rubate in una violazione di dati oppure sfruttando password deboli. Da quel momento osserva in silenzio lo scambio di email, studia il tono, i tempi, gli importi, le abitudini delle parti. È la fase più insidiosa, perché del tutto invisibile.

Nel secondo momento, quando individua una fattura in scadenza o una richiesta di pagamento imminente, entra in azione: intercetta il messaggio con la fattura e lo modifica prima che arrivi a destinazione, cambiando l’IBAN; oppure invia lui stesso, da un indirizzo quasi identico all’originale (con una lettera diversa, un dominio simile), una comunicazione che annuncia un “cambio di coordinate bancarie” e chiede di pagare sul nuovo conto. La vittima, che aspetta proprio quella fattura da quel mittente, non ha motivo di sospettare e paga.

Perché è così difficile da riconoscere

La forza della frode sta nella sua coerenza. Non c’è un link palesemente falso, non c’è una richiesta di codici o password: c’è solo una fattura attesa, di un importo atteso, da un mittente conosciuto. L’unico dato cambiato — l’IBAN — è proprio quello che quasi nessuno verifica, perché è una sequenza di caratteri che non si conosce a memoria e che si cambia senza clamore. Spesso il truffatore accompagna la richiesta con una motivazione plausibile (“abbiamo cambiato banca”, “il conto abituale è temporaneamente bloccato”) e con un tono di normale urgenza, sufficiente a spingere al pagamento ma non tanto da destare allarme.

La differenza cruciale: qui il bonifico è autorizzato

Risposta diretta. In questa frode il pagatore dispone lui stesso il bonifico: nessuno ha operato di nascosto sul suo conto. L’operazione è perciò autorizzata ai sensi del D.Lgs. 11/2010, e non trova applicazione la tutela prevista per i pagamenti non autorizzati (artt. 10 e 11), quella che pone sulla banca l’onere di provare che il cliente ha agito con dolo o colpa grave. È una differenza che cambia tutta l’impostazione della difesa.

Vale la pena fermarsi su questo punto, perché è il più frainteso. Nelle frodi come il phishing, il vishing o la SIM swap, il denaro esce dal conto senza un ordine genuino del titolare: è il truffatore che, carpiti i codici o dirottato il numero, autorizza i pagamenti. Lì l’operazione è non autorizzata e scatta il regime protettivo del D.Lgs. 11/2010, con l’onere della prova a carico della banca. Il tema è trattato per esteso nella guida alle truffe bancarie e ai pagamenti non autorizzati.

Nella truffa dell’IBAN modificato, invece, il bonifico lo fa la vittima. C’è un ordine di pagamento reale, voluto, sottoscritto con i propri strumenti di autenticazione. Il vizio non sta nell’autorizzazione, ma nel fine del pagamento: la somma è stata inviata a un beneficiario sbagliato a causa di un inganno. Per questo la partita non si gioca sul terreno del “pagamento non autorizzato”, ma su quello, di diritto civile comune, del destinatario del pagamento e dell’estinzione dell’obbligazione.

Chi paga davvero: il rapporto tra debitore e creditore

Risposta diretta. È il nodo centrale. Il principio generale è severo: il pagamento eseguito a favore di un soggetto non legittimato a riceverlo non libera il debitore (art. 1188 c.c.), che in linea di massima resta tenuto a pagare di nuovo il vero creditore, potendo poi agire per recuperare quanto versato al truffatore. Esiste però un correttivo: il pagamento al creditore apparente (art. 1189 c.c.), che libera il debitore in buona fede se ha pagato a chi appariva legittimato a ricevere in base a circostanze univoche.

Detto altrimenti: chi ha pagato al truffatore rischia di scoprire che, per la legge, non ha ancora pagato il proprio fornitore. Il debito non si è estinto, perché il denaro è andato a un estraneo. È una conseguenza dura ma coerente con un principio antico: il debitore ha l’onere di pagare alla persona giusta. La domanda decisiva, allora, diventa se e quando il debitore possa comunque considerarsi liberato nonostante l’errore.

Il pagamento al creditore apparente (art. 1189 c.c.)

Risposta diretta. L’art. 1189 c.c. libera il debitore che paga a chi, in base a circostanze univoche, appariva legittimato a ricevere, purché il debitore provi di aver agito in buona fede. La buona fede rilevante non è la semplice ignoranza: deve essere un affidamento incolpevole, esente da negligenza, fondato su elementi oggettivi e non equivoci.

È proprio su questo terreno che si gioca l’esito della vicenda. La giurisprudenza ha ricondotto i pagamenti eseguiti per effetto di un attacco man in the middle allo schema del creditore apparente, ma con un’avvertenza importante: l’apparenza deve essere oggettiva e univoca, e la buona fede del debitore deve essere senza colpa. Non basta essere stati ingannati; occorre che l’inganno fosse tale da trarre in errore anche una persona diligente.

Va inoltre tenuto presente un limite segnalato da parte della giurisprudenza: l’art. 1189 c.c. presuppone un errore sull’identità del soggetto legittimato a ricevere. Quando invece il debitore individua correttamente il proprio creditore e l’errore riguarda soltanto le coordinate su cui il denaro viene materialmente incassato da un terzo criminale, alcune pronunce hanno escluso l’automatica applicazione della norma. È una lettura che spinge a valutare con attenzione la fisionomia concreta di ogni caso.

Il fattore decisivo: chi ha causato l’apparenza ingannevole

Risposta diretta. Nella pratica, l’ago della bilancia è spesso chi ha reso possibile l’inganno. Se la falsa apparenza (la fattura con l’IBAN cambiato) è nata dalla negligenza del creditore — tipicamente perché è stata compromessa la casella di posta o i sistemi informatici del fornitore — la posizione del debitore che ha pagato in buona fede migliora, fino alla sua liberazione. Se invece nessuna colpa del creditore emerge, o se è il debitore a essere stato negligente, il debitore resta obbligato.

Questa impostazione trova riscontro nella giurisprudenza di merito. Il Tribunale di Milano, con la sentenza n. 18950 del 7 maggio 2021, ha ritenuto liberato un debitore che aveva pagato su coordinate bancarie ricevute via email poi rivelatesi frutto di un attacco man in the middle, valorizzando la colpa del creditore-fornitore che non aveva adeguatamente protetto i propri sistemi informatici: una culpa in vigilando misurata sul metro della diligenza professionale richiesta all’impresa (art. 1176, comma 2, c.c.). Il ragionamento richiama i principi generali sul creditore apparente affermati anche dalla Corte di cassazione (Cass., Sez. II, 25 gennaio 2018, n. 1869).

In direzione opposta si collocano altre pronunce che, in assenza di una colpa dimostrata del creditore, hanno negato la liberazione del debitore, imponendogli di pagare di nuovo il fornitore e di agire separatamente contro il truffatore (in questo senso, tra le altre, Tribunale di Milano, 13 giugno 2024, e Tribunale di Treviso, 26 giugno 2024). Sono decisioni da leggere per il principio che esprimono: non esiste una risposta automatica valida per tutti i casi, ma una valutazione delle rispettive negligenze delle parti.

Il possibile concorso di colpa (art. 1227 c.c.)

Risposta diretta. Anche quando una parte risulta prevalentemente responsabile, il danno può essere ripartito se emerge un concorso di colpa dell’altra (art. 1227 c.c.). Il giudice può così distribuire le conseguenze economiche della frode tra debitore e creditore in proporzione alle rispettive mancanze di diligenza.

È l’esito più frequente nei casi meno netti. Può accadere, ad esempio, che risultino negligenze da entrambe le parti: il fornitore che ha lasciato violare la propria posta e il cliente che ha ignorato segnali di allarme evidenti — un IBAN improvvisamente diverso, un dominio email leggermente alterato, una richiesta di cambio conto non verificata. In queste situazioni la perdita non ricade per intero su nessuno dei due, ma viene suddivisa. La diligenza attesa è, comunque, più alta per chi opera professionalmente: a un’impresa o a un professionista si chiede un livello di attenzione (art. 1176, comma 2, c.c.) superiore a quello del semplice privato.

La posizione delle banche

Risposta diretta. Sul fronte bancario le tutele sono più deboli, e per una ragione tecnica. Vale la regola dell’identificativo unico (art. 24 D.Lgs. 11/2010): se la banca esegue l’ordine conformemente all’IBAN indicato dal cliente, l’operazione si considera correttamente eseguita, anche se quell’IBAN non corrisponde al nome del beneficiario. La banca non è tenuta a verificare la coincidenza tra IBAN e intestatario del conto. Ha però un obbligo: adoperarsi con sforzi ragionevoli per recuperare i fondi (art. 25).

La banca del pagatore e la regola dell’identificativo unico

Il codice IBAN è l’identificativo unico dell’operazione. La legge stabilisce che, se l’ordine viene eseguito secondo quell’identificativo, la banca ha adempiuto correttamente, e non risponde delle conseguenze di un IBAN inesatto fornito dal cliente (art. 24, commi 1 e 2). È un principio ribadito anche a livello europeo dalla Corte di giustizia dell’Unione europea (sentenza del 21 marzo 2019, causa C-245/18), secondo cui la responsabilità limitata all’esecuzione conforme all’identificativo unico vale sia per la banca del pagatore sia per quella del beneficiario. In coerenza con questa impostazione, l’Arbitro Bancario Finanziario ha ripetutamente escluso la responsabilità della banca che ha eseguito un bonifico su un IBAN valido ma intestato a un soggetto diverso.

Ne discende che, di regola, non si può pretendere dalla propria banca il rimborso del bonifico finito al truffatore per il solo fatto di averlo eseguito: l’ordine era autorizzato e conforme all’IBAN indicato. La banca risponderebbe solo se avesse commesso un errore proprio nell’esecuzione (ad esempio eseguendo su un IBAN diverso da quello ordinato), ipotesi estranea a questa frode.

L’obbligo di recuperare i fondi (art. 25)

Risposta diretta. Pur non rispondendo dell’accaduto, la banca del pagatore ha un obbligo di attivarsi: deve compiere sforzi ragionevoli per recuperare le somme (art. 25, comma 3, D.Lgs. 11/2010), e la banca del beneficiario è tenuta a cooperare, anche fornendo le informazioni utili. In concreto, la banca inoltra una richiesta di richiamo del bonifico (recall) alla banca del truffatore.

È un obbligo di mezzi, non di risultato: la banca deve tentare il recupero, ma non garantisce la restituzione. Se pretende di ottenerla, il cliente può comunque esigere che la procedura venga attivata e che gli vengano forniti i dati necessari (ad esempio quelli utili a individuare il beneficiario e ad agire in giudizio). Un rifiuto ingiustificato di attivarsi, o la trasmissione tardiva delle informazioni, possono a loro volta essere fonte di responsabilità della banca.

La banca del truffatore: quando risponde

Risposta diretta. Chiamare in causa la banca che ha aperto il conto del truffatore e ricevuto l’accredito è possibile, ma non semplice. Anche per lei vale l’esenzione dell’identificativo unico: non è tenuta a verificare la corrispondenza tra IBAN e nominativo. E se ha rispettato l’iter ordinario di identificazione del cliente e di adeguata verifica antiriciclaggio all’apertura del conto, di regola va esente da responsabilità.

La giurisprudenza recente conferma questa cautela: la banca del beneficiario che documenti la corretta identificazione del correntista e il rispetto degli obblighi di adeguata verifica non risponde per il solo fatto di aver ospitato il conto usato per la frode (in questa direzione si è espressa anche la Corte di cassazione, tra le altre con Cass. n. 17415/2024). Un margine di responsabilità può però aprirsi quando emergano gravi anomalie trascurate: ad esempio un conto appena aperto e immediatamente usato come mero conto di transito, con accrediti sproporzionati rispetto al profilo del cliente subito girati altrove o prelevati, cioè movimentazioni che avrebbero dovuto attivare i presidi antiriciclaggio. Sono valutazioni di fatto, da svolgere caso per caso, che possono giustificare un’azione ma non offrono garanzie di esito.

Come recuperare i fondi e reagire alla frode

Risposta diretta. Il recupero dipende dalla velocità. La prima mossa è chiedere alla propria banca il richiamo del bonifico (recall): se i fondi sono ancora sul conto del truffatore e questi acconsente, possono tornare indietro. In parallelo vanno presentate la denuncia alla Polizia Postale e, se ricorrono i presupposti, la richiesta di blocco e sequestro delle somme. Se il richiamo fallisce, resta l’azione civile di ripetizione dell’indebito (art. 2033 c.c.) contro chi ha incassato.

I truffatori, va detto con chiarezza, svuotano il conto in poche ore, spesso trasferendo il denaro all’estero o su altri conti “prestanome”. Per questo ogni ora conta e le prime azioni vanno compiute immediatamente, non appena ci si accorge dell’anomalia.

Il richiamo del bonifico (recall)

È la via più rapida e va tentata subito. Su richiesta del cliente, la banca del pagatore invia alla banca del beneficiario un messaggio standardizzato di richiamo, chiedendo la restituzione delle somme. La banca del beneficiario interpella il proprio cliente: se il denaro è ancora disponibile e il beneficiario acconsente, il bonifico rientra. Ma il richiamo non è uno storno automatico: non esiste un potere di prelevare d’ufficio le somme dal conto altrui. Se il conto è già stato svuotato, o se il beneficiario (il truffatore) rifiuta, il richiamo resta senza esito.

Denuncia penale e sequestro delle somme

La condotta integra, a seconda dei casi, i reati di truffa (art. 640 c.p.), frode informatica (art. 640-ter c.p.), accesso abusivo a sistema informatico (art. 615-ter c.p.) e sostituzione di persona (art. 494 c.p.). La denuncia — alla Polizia Postale o ai Carabinieri — va presentata subito, allegando le email originali, la fattura alterata, la contabile del bonifico. Oltre a documentare l’estraneità e la diligenza della vittima, la denuncia consente all’autorità giudiziaria di richiedere il congelamento e il sequestro delle somme ancora rintracciabili, che è spesso l’unica via concreta per recuperare il denaro quando la restituzione volontaria non arriva.

L’azione civile di ripetizione dell’indebito

Chi ha incassato una somma non dovuta è tenuto a restituirla: è il principio della ripetizione dell’indebito (art. 2033 c.c.). La vittima può quindi agire in sede civile contro il beneficiario dell’accredito per ottenere la restituzione, oltre al risarcimento del danno verso i responsabili della frode. È una strada percorribile soprattutto quando il beneficiario è identificabile (il conto è pur sempre intestato a qualcuno) e vi sono somme aggredibili; meno efficace quando il conto è un “usa e getta” già azzerato. Va valutata insieme al percorso penale, con cui spesso si integra.

Conservare le prove giuste

In questa frode le prove decisive sono documentali. Vanno conservate: le email originali dello scambio, comprese le intestazioni tecniche che permettono di ricostruire mittente reale e manipolazioni; la fattura autentica e quella con l’IBAN alterato, per evidenziare la modifica; la contabile del bonifico; ogni comunicazione con la banca (richiesta di richiamo e risposte); la denuncia. Questo materiale serve sia a impostare il recupero, sia — nel rapporto con il fornitore — a dimostrare chi ha causato l’inganno, dato che, come si è visto, è proprio questo l’elemento intorno a cui ruota la ripartizione delle responsabilità.

Come prevenire: la verifica delle coordinate e la nuova tutela europea

Risposta diretta. La prevenzione è molto più efficace di qualsiasi rimedio successivo, perché una volta partito il denaro il recupero è incerto. La regola d’oro è una sola: prima di pagare, verificare le coordinate bancarie con un canale diverso dall’email, ad esempio una telefonata al numero già noto del fornitore. Va trattata con sospetto ogni comunicazione che annunci un cambio di IBAN, di banca o di conto.

Il controllo va fatto chiamando il numero abituale del fornitore, quello già in rubrica, non quello eventualmente riportato nella mail sospetta (che potrebbe essere del truffatore). Allo stesso modo, conviene diffidare dei toni di urgenza, verificare con attenzione l’indirizzo del mittente (i truffatori usano domini quasi identici a quelli veri) e, per le imprese, adottare procedure interne che impongano una doppia verifica per i pagamenti sopra una certa soglia e per ogni variazione di coordinate.

La verifica del beneficiario (Verification of Payee)

Un aiuto tecnico importante arriva dal diritto europeo. Il Regolamento (UE) 2024/886 ha introdotto, per le banche dell’area euro, il servizio di verifica del beneficiario (Verification of Payee): prima di autorizzare un bonifico, il sistema confronta il nome del beneficiario indicato con l’intestatario dell’IBAN e segnala al pagatore l’eventuale mancata corrispondenza. L’obbligo è operativo dal 9 ottobre 2025.

È uno strumento prezioso, perché intercetta proprio lo scarto tipico di questa frode: l’IBAN del truffatore non è intestato al fornitore che si intende pagare, e la verifica lo evidenzia prima dell’invio. Ha però un limite strutturale da conoscere: se il truffatore ha aperto un conto a proprio nome reale e induce la vittima a inserire quel nome, la corrispondenza risulta formalmente corretta e l’avviso non scatta. La verifica del beneficiario riduce il rischio, non lo azzera: non sostituisce il controllo diretto delle coordinate con il fornitore.

Domande frequenti (FAQ)

Ho pagato un fornitore all’IBAN sbagliato ricevuto via email: devo pagare di nuovo?

Dipende da chi ha causato l’inganno. Il principio di partenza è severo: chi paga a un soggetto non legittimato a ricevere non estingue il debito (art. 1188 c.c.) e in linea di massima resta tenuto a pagare di nuovo il vero creditore, salvo poi agire contro il truffatore. La legge prevede però un correttivo, il pagamento al creditore apparente (art. 1189 c.c.): il debitore in buona fede è liberato se ha pagato a chi appariva legittimato per circostanze univoche. La giurisprudenza lo applica soprattutto quando la falsa apparenza è stata generata dalla negligenza del creditore, ad esempio l’email o i sistemi del fornitore compromessi (tra le altre, Tribunale di Milano n. 18950 del 7 maggio 2021). In mancanza di una colpa del creditore, altre pronunce hanno escluso la liberazione (Tribunale di Milano, 13 giugno 2024; Tribunale di Treviso, 26 giugno 2024). L’esito dipende dalle circostanze concrete.

La mia banca risponde del bonifico finito al truffatore?

Di norma no. Qui il bonifico l’hai disposto tu: l’operazione è autorizzata e non si applica la disciplina protettiva dei pagamenti non autorizzati. Vale inoltre la regola dell’identificativo unico (art. 24 D.Lgs. 11/2010): se la banca esegue l’ordine conformemente all’IBAN indicato, l’operazione si considera correttamente eseguita, anche se l’IBAN non corrisponde al nome del beneficiario. La banca non è obbligata a controllare la coincidenza tra IBAN e intestatario (in linea con la Corte di giustizia UE, 21 marzo 2019, C-245/18, e con l’orientamento dell’ABF). Ha però l’obbligo di adoperarsi con sforzi ragionevoli per recuperare i fondi (art. 25).

Come si recuperano i soldi di un bonifico già partito verso il truffatore?

La via immediata è il richiamo del bonifico (recall): appena ci si accorge della frode si chiede alla propria banca di inoltrare una richiesta di richiamo alla banca del beneficiario. Se i fondi sono ancora sul conto e il beneficiario acconsente, possono tornare indietro; ma il richiamo non è uno storno automatico: se il conto è stato già svuotato o il beneficiario rifiuta, il recupero fallisce. In quel caso restano l’azione civile di ripetizione dell’indebito (art. 2033 c.c.) contro chi ha incassato e la denuncia penale, con l’eventuale sequestro delle somme. La tempestività è decisiva: i truffatori trasferiscono il denaro nel giro di poche ore.

La banca del truffatore, che ha aperto il conto e incassato, è responsabile?

È una strada percorribile ma non semplice. La banca del beneficiario non è tenuta a verificare la corrispondenza tra IBAN e nominativo (l’esenzione dell’identificativo unico vale anche per lei) e, se ha rispettato l’iter ordinario di identificazione del cliente e di adeguata verifica antiriciclaggio all’apertura del conto, di regola va esente da responsabilità (in questo senso, tra l’altro, Cass. n. 17415/2024). Un margine di responsabilità può emergere quando risultino trascurate gravi anomalie, ad esempio movimentazioni palesemente sospette su un conto appena aperto e usato come conto di transito. Va valutato caso per caso.

Come si previene la truffa dell’IBAN modificato via email?

La regola d’oro è una sola: prima di pagare, verificare le coordinate bancarie con un canale diverso dall’email, ad esempio una telefonata al numero già noto del fornitore (non a quello eventualmente indicato nella mail sospetta). Diffidare di ogni comunicazione che annunci un cambio di IBAN, di banca o di conto, soprattutto se accompagnata da toni di urgenza. Aiuta anche il nuovo servizio europeo di verifica del beneficiario (Verification of Payee), previsto dal Regolamento UE 2024/886 e attivo dal 9 ottobre 2025, che segnala prima dell’invio se il nome del beneficiario non coincide con l’IBAN: uno strumento utile, che non annulla però la necessità del controllo diretto delle coordinate.

Se hanno compromesso la mia email, la mia posizione peggiora?

Può incidere. Nel rapporto tra debitore e creditore, il giudizio ruota attorno a chi ha colposamente reso possibile l’inganno. Se a essere violata è stata la casella o i sistemi del creditore-fornitore, questo depone a favore del debitore che ha pagato in buona fede. Se invece la compromissione riguarda i sistemi del debitore, o se il debitore ha ignorato segnali di allarme evidenti, la sua buona fede incolpevole viene meno e il rischio di dover pagare di nuovo aumenta. La diligenza professionale richiesta a imprese e professionisti (art. 1176, comma 2, c.c.) è più rigorosa di quella richiesta al privato.

Che differenza c’è con il phishing o la SIM swap?

La differenza sta nell’autorizzazione del pagamento. Nel phishing e nella SIM swap il denaro esce dal conto senza un ordine genuino del titolare: sono operazioni non autorizzate, e scatta la tutela del D.Lgs. 11/2010 con l’onere della prova a carico della banca. Nella truffa dell’IBAN modificato, invece, il bonifico lo dispone la vittima: l’operazione è autorizzata, e il problema non è l’autorizzazione ma il fatto che il denaro sia stato inviato, per inganno, a un beneficiario sbagliato. Per questo la difesa si sposta sul rapporto tra debitore e creditore e sul recupero dei fondi.

Letture consigliate

• Truffe bancarie e pagamenti non autorizzati: la guida completa al rimborso
• Spoofing e vishing: la truffa del finto operatore bancario e il diritto al rimborso
• SIM swap: il conto svuotato con il cambio della SIM, chi risponde
• Phishing e frodi bancarie: quando la banca deve rimborsare
• Contenzioso bancario: la guida completa per privati e imprese

---

Contenuto informativo, aggiornato a luglio 2026. Non costituisce parere legale: ogni situazione presenta specificità che vanno esaminate nel concreto. Per una valutazione del proprio caso è possibile richiedere un appuntamento con lo Studio Legale Mondello. Guida aggiornata a luglio 2026.

Questo articolo è stato redatto con l’ausilio di un sistema di intelligenza artificiale. Segnalazioni: info@studiolegalemondello.it