CEO Fraud: la sentenza del Tribunale di Torino sulla responsabilità della Banca

Il Tribunale di Torino, con la recentissima sentenza in oggetto, condanna un istituto di credito al risarcimento integrale di € 800.000,00 in favore di una società correntista, vittima di una frode di tipo CEO Fraud / Business Email Compromise.

Il principio che ne emerge è destinato a risuonare a lungo: la banca non è un terminale passivo di ordini formalmente corretti.

*****

La CEO Fraud è, ormai, un genere criminale codificato. Schema classico: un soggetto interno all’azienda — tipicamente un dirigente o un procuratore — viene indotto, tramite comunicazioni fraudolente che simulano istruzioni del vertice societario, ad autorizzare bonifici urgenti verso destinatari esteri.

Nel caso in esame, il direttore generale della società correntista — procuratore speciale con limiti operativi precisi — aveva autorizzato, tramite la piattaforma di corporate banking dell’istituto, quattro bonifici istantanei da € 200.000,00 ciascuno, per complessivi € 800.000,00, in favore di un beneficiario estero mai comparso nella ordinaria operatività societaria.

La procura del direttore generale prevedeva un limite operativo di € 300.000,00 per singola operazione.
La piattaforma dell’istituto imponeva, a sua volta, una soglia di € 200.000,00 per operazione telematica.

Nessun singolo bonifico superava formalmente tali limiti. Ma l’operazione complessiva li polverizzava entrambi.

Il punto dirimente: quattro bonifici, un’unica operazione

La difesa della Banca era, in apparenza, lineare: ordini separati, ciascuno formalmente nei limiti, ciascuno regolarmente autorizzato.

Il Tribunale non accoglie questa lettura.

Tre elementi convergono nella qualificazione unitaria:

• identità del beneficiario in tutti e quattro i bonifici;
• identità della causale in tutti e quattro i bonifici;
• contestualità temporale: esecuzione nell’arco di pochi secondi.

C’è un quarto elemento, ancora più dirompente: la Banca era stata preventivamente avvertita che stavano per essere eseguiti bonifici per complessivi € 800.000,00. Il preavviso proveniva direttamente dall’operatore che materialmente aveva inserito le disposizioni sulla piattaforma.

Queste la conclusione del Tribunale, nella sua durezza logica: se la Banca sa che l’operazione vale complessivamente € 800.000,00, non può “fingere di vedere” soltanto frammenti da € 200.000,00. Il frazionamento non trasforma la realtà economica dell’operazione. La trasforma soltanto sul piano tecnico e soltanto in apparenza. Accettare la tesi opposta — osserva la pronuncia — significherebbe rendere sempre eludibile qualsiasi limite operativo: basterebbe scomporre ogni trasferimento in micro-ordini per aggirare ogni cautela predisposta dal cliente. Un risultato incompatibile con la ratio della procura e con i canoni di buona fede ex artt. 1175 e 1375 c.c.¹².

L’alert antifrode: il presidio che non doveva essere spento

È qui che la sentenza acquista il suo rilievo più originale.

Il sistema automatico di sicurezza dell’istituto — identificato nella pronuncia come “FiltroKleis Imprese” — aveva rilevato l’anomalia, bloccato parte delle disposizioni.

La banca aveva due possibilità:

• elevare il livello di verifica, interloquire con il soggetto realmente titolare dei pieni poteri gestori della società — l’amministratore unico, rimasto completamente estraneo all’intera vicenda — e accertare se l’operazione corrispondesse all’effettiva volontà sociale.
• abbassare il livello di attenzione, acquisire conferma di operatività dagli stessi soggetti già coinvolti nell’esecuzione, e procedere.

Nel caso di specie, l’Istituto ha scelto la seconda.

Il Tribunale è netto: in tal modo la Banca ha neutralizzato il proprio presidio di sicurezza, privandolo di qualsiasi funzione reale. L’allarme era scattato; la risposta operativa lo aveva disinnescato senza che venisse raggiunto l’unico soggetto che avrebbe potuto — e avrebbe dovuto — essere interpellato.

La diligenza professionale: non è questione di forma, è questione di sostanza

Il ragionamento del Tribunale si muove sul terreno classico della responsabilità contrattuale, con una applicazione rigorosa dei principi consolidati in materia bancaria.

L’art. 1176, comma 2, c.c. impone all’intermediario bancario una diligenza qualificata, commisurata alla professionalità dell’attività esercitata. Gli artt. 1175 e 1375 c.c. esigono correttezza e buona fede nell’esecuzione del contratto.

Ora, la giurisprudenza di legittimità ha chiarito da tempo che non esiste un obbligo generale della banca di monitorare qualunque operazione del cliente[1]. Ha, altresì, precisato, in modo costante, che tale principio incontra un limite preciso: quando l’operazione presenta caratteri di anomalia oggettiva, immediatamente percepibile, e non risponde all’interesse del correntista, la banca deve quanto meno segnalare e, se necessario, rifiutare l’esecuzione[2].

Nel caso di specie, secondo il Tribunale, gli indici di anomalia erano molteplici e convergenti:

• importo complessivo di straordinaria rilevanza;
• utilizzo, per la prima volta, di bonifici istantanei per operazioni di questa dimensione;
• beneficiario estero estraneo alla consueta operatività della società;
• frazionamento in quattro disposizioni identiche eseguite in pochi secondi;
• superamento dei limiti operativi del procuratore, noti alla banca;
• intercettazione da parte dei sistemi interni antifrode.

Un quadro che non lasciava spazio all’esecuzione automatica, conseguendone la responsabilità dell’Istituto, a giudizio del Tribunale torinese. 

Il nesso causale: il danno che si poteva impedire

Sul piano della causalità, il Tribunale applica il criterio del “più probabile che non”.

Il ragionamento è rigoroso: se la Banca avesse interpellato direttamente l’organo gestorio della società, questi avrebbe immediatamente escluso qualsiasi riconducibilità dell’operazione alla volontà sociale, e i bonifici non sarebbero stati eseguiti.

L’inadempimento non è, quindi, una violazione procedurale astratta. È il comportamento che ha reso possibile la consumazione della frode. Il danno non sarebbe esistito senza l’omissione.

La posizione dei terzi: l’insussistenza del concorso causale.

Il Tribunale è chiaro sul punto: il concorso causale di terzi non neutralizza la responsabilità contrattuale propria della Banca, fondata sull’inadempimento dei suoi specifici obblighi di protezione[3].

Per affermare un diritto di regresso, manleva o rivalsa, occorre proporlo esplicitamente. Non è sufficiente evocare il coinvolgimento altrui per ottenere un’esenzione.

Principio lineare, ma spesso dimenticato nel contenzioso bancario: la responsabilità dell’intermediario non è sussidiaria rispetto a quella dei responsabili materiali della frode. È autonoma, propria, fondata su un inadempimento specifico e diverso.

______________________________________________________________________

[1] Il principio per cui non sussiste un obbligo generale e indiscriminato di monitoraggio è cristallizzato in Cass. Civ., Sez. I, 3 novembre 2023, n. 30588, che ne precisa i limiti: l’obbligo sorge in presenza cumulativa di operazione “ictu oculi” anomala e non rispondente all’interesse del correntista.

[2] Cfr. Cass. Civ., sez. III, 4 dicembre 2024, n. 31052; Cass. Civ., Sez. I, 10 novembre 2010, n. 22819.

[3] Cfr. Cass. Civ., Sez. Un., 30 ottobre 2001, n. 13533; Cass. Civ., Sez. III, ord. 2023, n. 30952.