Frodi “man in the middle” e pagamento al creditore apparente: il Tribunale di Torino fa il punto
Il caso
Una consumatrice, dopo aver ricevuto una fattura da un’impresa fornitrice, effettuava un bonifico su un IBAN comunicatole via e-mail in apparente continuità con la precedente corrispondenza. Poche ore dopo, una seconda e-mail – proveniente dallo stesso indirizzo del fornitore, ma con un testo anomalo e fortemente sgrammaticato – la informava che il conto indicato in fattura era stato chiuso e la invitava conseguentemente ad annullare il pagamento appena effettuato per poi ripeterlo su nuove coordinate bancarie, questa volta riferite a un conto estero.
La cliente, senza richiedere ulteriori informazioni o delucidazioni in via diretta al fornitore circa la bontà delle indicazioni ricevute, effettuava il bonifico sul conto estero. Dopo diverso tempo il fornitore, non avendo ricevuto il pagamento, agiva innanzi il Tribunale di Torino per il pagamento. La cliente, costituitasi in giudizio, eccepiva l’avvenuto pagamento con conseguente estinzione del debito.
Il meccanismo fraudolento oggetto del caso in analisi è quello della cosiddetta Business Email Compromise (BEC) o “man in the middle”: uno o più soggetti terzi si inseriscono nelle comunicazioni e-mail tra le parti, alterandole e/o sostituendole, al fine di dirottare le transazioni verso conti nella propria disponibilità. La CTU informatica forense espletata in giudizio, pur confermando la compatibilità della vicenda con tale schema ingannatorio, non ha potuto stabilire se la compromissione fosse avvenuta sull’account del venditore, su quello dell’acquirente o sul server di posta: entrambe le ipotesi risultavano, sulla base dei dati disponibili, tecnicamente plausibili.
Posta quindi l’impossibilità tecnica di verificare l’eventuale imputabilità della frode a carenze di sicurezza imputabili all’una o all’altra parte, il Tribunale ha analizzato gli ulteriori profili rilevanti nel caso di specie, come la sussistenza dell’ipotesi di affidamento incolpevole del debitore in relazione al creditore apparente, al fine di valutare se il debitore potesse beneficiare dell’effetto liberatorio sancito dall’art. 1189 c.c.
Il quadro normativo: art. 1189 c.c. e buona fede incolpevole
La norma di riferimento è l’art. 1189 comma 1 c.c.: il debitore che paga a chi appare legittimato a ricevere il pagamento, sulla base di circostanze univoche, è liberato se prova di aver agito in buona fede. Tale disposizione deroga al principio generale per cui l’estinzione del debito consegue solo al momento del pagamento nei confronti del soggetto effettivamente titolato a riceverlo, tutelando l’affidamento del debitore indotto in errore da una situazione non percepibile neppure ricorrendo all’ordinaria diligenza.
La giurisprudenza è tuttavia costante nel precisare che la buona fede rilevante ai fini dell’effetto liberatorio del debitore non è ravvisabile nella mera convinzione soggettiva di effettuare il pagamento nei confronti del creditore reale: l’affidamento indotto deve essere incolpevole, ossia esente da profili di negligenza o imprudenza a carico del creditore, e fondato su circostanze obiettive e “univoche” tali da indurre il debitore a credere di pagare nei confronti del creditore reale. In tali casi il giudice è chiamato a valutare quindi non solo lo stato soggettivo del debitore, ma anche la ragionevolezza del suo affidamento (Cass. n. 18345/2024; n. 12600/2023; n. 6563/2016).
Mancanza dei presupposti per l’effetto liberatorio: le tre ragioni
Il Tribunale esclude l’effetto liberatorio su tre distinti piani, tra loro autonomi e concorrenti.
- Assenza di circostanze univoche. Sul piano oggettivo, le e-mail fraudolente erano sgrammaticate e stilisticamente discontinue rispetto alla corrispondenza autentica, che aveva utilizzato toni formali e la terza persona; il nuovo IBAN era riferibile a un conto estero, privo di qualsiasi collegamento logico con il fornitore italiano; la richiesta di rinnovare un pagamento di importo rilevante giungeva in modo estemporaneo e sulla base di giustificazioni generiche e fortemente sospette. Il complesso di questi elementi – immediatamente percepibili – ha escluso che ricorressero quelle “circostanze univoche” tali da giustificare l’affidamento incolpevole che la norma richiede come presupposto oggettivo.
- Difetto dell’ordinaria diligenza. Sul piano soggettivo, il Tribunale ha ritenuto che la condotta della debitrice non fosse stata sufficientemente prudente. La consapevolezza del rischio di intrusioni informatiche nelle comunicazioni e-mail è ormai, secondo il giudice, patrimonio di normale conoscenza di chi utilizza abitualmente strumenti digitali. Di fronte alle anomalie evidenti e a un pagamento di importo significativo, era esigibile una verifica diretta con il fornitore: una semplice telefonata avrebbe chiarito immediatamente la situazione. La sua omissione integra un errore non scusabile che preclude l’effetto liberatorio.
- Mancata prova della colpa del creditore. Il Tribunale affronta poi un terzo requisito, elaborato da un orientamento consolidato della Suprema Corte: nelle ipotesi in cui l’apparenza è artificiosamente generata da terzi, l’effetto liberatorio opera solo se il debitore dimostra anche che il creditore abbia colposamente contribuito a creare quella situazione apparente (Cass. n. 12600/2023; n. 9758/2018; n. 20847/2013).
Il fondamento è chiaro: quando entrambe le parti sono vittime della frode, occorre stabilire chi debba sopportarne le conseguenze economiche, e la risposta non può prescindere dalla valutazione della condotta delle parti stesse. Nel caso di specie, come detto, la Consulenza Tecnica d’Ufficio non ha consentito di evidenziare elementi tecnici univoci per imputare la compromissione all’infrastruttura del venditore né la creditrice è riuscita ad assolvere l’onere probatorio fornendo alcun ulteriore elemento di prova in tal senso.
La decisione
Visti tutti gli elementi sopra considerati, il Tribunale ha condannato la debitrice al pagamento dell’intero importo della fornitura, escludendo l’applicabilità dell’effetto liberatorio previsto dall’art. 1189 c.c.