N. R.G. 3040/2023
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE D'APPELLO DI MILANO
Sezione prima civile nelle persone dei seguenti magistrati:
Rossella Milone Presidente rel.
Beatrice Siccardi Consigliere
Elisa Fazzini Consigliere ha pronunciato la seguente
SENTENZA
nella causa iscritta al n. r.g. 3040/2023 promossa in grado d'appello
DA
C.F. ), elettivamente domiciliata in VIA FRATELLI GABBA, 7 Parte_1 P.IVA_1
20121 MILANO presso lo studio dell'avv. SALETTI ACHILLE, che lo rappresenta e difende come da delega in atti, unitamente all'avv. SALETTI FERRUCCIO ) C.F._1
APPELLANTE
CONTRO
(C.F. ), elettivamente domiciliata in PIAZZA ARMANDO Controparte_1 P.IVA_2
DIAZ, 7 20123 MILANO presso lo studio dell'avv. POZZI PAOLO, che la rappresenta e difende come da delega in atti, unitamente all'avv. GHISLETTI GIOVANNI ( C.F._2
APPELLATA/APPELLANTE INCIDENTALE
(C.F. ), elettivamente domiciliata in VIA Controparte_2 P.IVA_3
MONTEVERDI, 16 20131 MILANO presso lo studio dell'avv. BENATO BARBARA, che la rappresenta e difende come da delega in atti pagina 1 di 15 APPELLATA
Conclusioni
Per Parte_1
Piaccia alla Corte Ecc.ma, in riforma della sentenza pronunciata dal Tribunale ordinario di Milano in data 11 maggio 2023, n. 3844/2023, e non notificata: nel merito:
- respingere, in quanto infondate, le domande tutte proposte da e nei confronti CP_2 Controparte_2 della concludente, ai sensi, occorrendo, anche delle previsioni di cui all'art. 1227 c.c., con condanna di e in persona del suo legale rappresentante pro tempore, alla restituzione in CP_2 Controparte_2 favore della concludente della somma di € 58.841,47, oltre interessi dal 17 maggio 2023 al saldo;

- respingere, in quanto infondato, l'appello incidentale di limitatamente alle Controparte_1 domande proposte nei confronti di Parte_1 in via istruttoria, dichiarare inammissibili le istanze istruttorie avversarie già respinte, nel caso in cui venissero riproposte;
in ogni caso, con vittoria di spese e compenso di causa per entrambi i gradi di giudizio, oltre al rimborso forfetario delle (spese).
Per Controparte_1
Voglia l'Ill.ma Corte d'Appello adìta, previo ogni provvedimento del caso, disattesa e respinta ogni contraria domanda, eccezione, deduzione e conclusione, alla luce di tutte le censure illustrate in atti avverso la sentenza n. 3844/2023 del Tribunale di Milano, Dottor Antonio Stefano Stefani, R.G.
30109/2021, emessa il 10 maggio 2023, pubblicata l'11 maggio 2023 e non notificata, ed avverso l'appello principale notificato da il 30 ottobre 2023 Parte_1 nel merito e in via principale:
- respingere, perché infondato in fatto e in diritto, l'appello proposto da in Parte_1 persona del legale rappresentante pro tempore, avverso la sentenza n. 3844/2023 resa dal Tribunale di
Milano, Dottor Antonio Stefano Stefani, per i motivi in narrativa;
nel merito e in via incidentale:
- in riforma totale della impugnata sentenza, accogliere l'appello formulato in via incidentale da ut supra rappresentata e difesa e per l'effetto: Controparte_1 pagina 2 di 15 - 1) in riforma del capo 1 della sentenza impugnata, che ha erroneamente valutato le risultanze processuali ritenendo non accertata la causa della truffa ed escluso la colpa grave della correntista, valutare tutti i fatti provati e documentati da , oltre alle ulteriori evidenze processuali e tecniche CP_1 emerse in corso di causa e durante la CTU, nonché il contegno processuale e probatorio dell'attrice appellata, e per l'effetto accertare e dichiarare la grave negligenza che ha caratterizzato la condotta della in persona del legale rappresentante pro-tempore e, Controparte_3 conseguentemente, l'assenza di ogni onere risarcitorio in capo alla;
CP_4
- 2) in riforma del capo 2 della sentenza impugnata, considerata l'erronea valutazione delle risultanze processuali in relazione alle gravi omissioni dell'attrice appellata, in termini di mancata custodia delle credenziali e messa in sicurezza dei dispositivi di pagamento, accertare e dichiarare la colpa grave che ha caratterizzato la condotta della in persona del legale Controparte_3 rappresentante pro-tempore e, conseguentemente, l'assenza di ogni onere risarcitorio in capo alla
; CP_4
- 3) in riforma del capo 3 della sentenza impugnata, considerata l'omessa disamina delle risultanze processuali relative alla non tempestività segnalazione dell'attrice appellata in merito al bonifico disconosciuto, accertare e dichiarare la colpa grave che ha caratterizzato la condotta della in persona del legale rappresentante pro-tempore e, Controparte_3 conseguentemente, l'assenza di ogni onere risarcitorio in capo alla;
CP_4
- 4) in riforma del capo 4 della sentenza impugnata, che ha escluso la colpa grave della correntista, valutare, anche in via indiziaria, tutte le evidenze emerse, oltre che tutti i fatti accertati e le gravi, precise e concordanti risultanze processuali emerse nel giudizio di primo grado, e per l'effetto accertare e dichiarare la grave negligenza che ha caratterizzato la condotta della
[...]
in persona del legale rappresentante pro-tempore e, conseguentemente, l'assenza di Controparte_3 ogni onere risarcitorio in capo alla;
CP_4
- 5) in riforma del capo 5 della sentenza impugnata, che ha ritenuto non provata la sicurezza dei sistemi di accertare e dichiarare che la ha dimostrato come Controparte_1 CP_4 nessuna alterazione sia intervenuta all'interno dei propri sistemi ed abbia quindi assolto ogni onere a proprio carico, con esclusione di qualsiasi addebito a proprio carico, dovendosi invece rinvenire l'origine della truffa nei sistemi dell'attrice appellata;

- 6) in riforma del capo 6 della sentenza impugnata, considerata l'omessa disamina dell'eccezione ex art. 1227, comma 2, c.c. sollevata da accertare e dichiarare che i danni Controparte_1
pagina 3 di 15 contestati sarebbero stati evitati dalla in persona del legale Controparte_3 rappresentante pro-tempore, semplicemente adottando una diligenza ordinaria e, conseguentemente, accertare e dichiarare l'assenza di qualsiasi onere risarcitorio in capo alla;
CP_4
- 7) in riforma del capo 7 della sentenza impugnata, nella denegata e non creduta ipotesi di integrale rigetto dei suesposti motivi di gravame, considerato il concorso colposo della
[...] in persona del legale rappresentante pro-tempore, nella causazione delle Controparte_3 distrazioni, accertare e dichiarare tale concorso della correntista appellata e, per l'effetto, ridurre ex art. 1227, comma 1, c.c. l'onere risarcitorio accertato in capo a secondo la Controparte_1 gravità della colpa dell'attrice appellata, nonché l'entità delle conseguenze che ne sono derivate, anche in termini di compensazione o differente riparto delle spese di lite e di CTU del giudizio di primo grado, con conseguente condanna della in persona del legale Controparte_3 rappresentante pro-tempore, alla restituzione della somma eccedente, già versata dalla , CP_4 come liquidata dalla decisione impugnata;

- 8) in riforma del capo 8 della sentenza impugnata, considerata la mancata ed erronea valutazione delle risultanze processuali in relazione alle verifiche omesse dal circa il conto Parte_1 beneficiario ed al proprio ruolo di BA Passiva nell'ambito della Normativa CBI, accertare e dichiarare le omissioni che hanno caratterizzato la condotta della in persona del Parte_1 legale rappresentate pro-tempore, e, quindi, l'incidenza della relativa condotta, anche in concorso, ex artt. 2056 c.c. e 1227, commi 1 e 2, c.c., con la nonché ex art. 2055 c.c.; Controparte_3
- 9) per l'effetto, accogliere le domande proposte da e formulate nella propria Controparte_1 comparsa di costituzione e risposta di cui al giudizio di primo grado, riportate nel paragrafo 1 della propria comparsa di risposta in appello e che abbiasi qui integralmente riportate e trascritte;

- 10) condannare la in persona del legale rappresentante pro- CP_3 Controparte_3 tempore, e la in persona del legale rappresentate pro-tempore, alla integrale o Parte_1 parziale restituzione secondo giustizia, in favore di della somma da questi corrisposta CP_1 alla pari a € 58.841,47 (doc. 3) per capitale e spese legali, oltre alle spese Controparte_3 ed ai compensi professionali del doppio grado di giudizio, nonché interessi dalla domanda al saldo ed ulteriori spese ed accessori;
in ogni caso:
- con vittoria di spese e compensi professionali e tecnici, relativi al presente ed al primo grado di giudizio, come per legge, oltre alle eventuali spese di CTU del precedente come del presente giudizio.
pagina 4 di 15 in via istruttoria:
- non ammettersi le istanze istruttorie avversarie già respinte, qualora riproposte, e in particolare le prove testimoniali invocate in primo grado dall'attrice appellata, per le motivazioni in narrativa;

- ordinare, ex artt. 210 e 211 c.p.c., a in persona del legale rappresentante pro- Parte_1 tempore, l'esibizione di un estratto conto aggiornato relativo al conto corrente identificato dal codice
IBAN [...], intestato a nonché ogni ulteriore CP_5 informazione utile ad identificare il soggetto titolare del medesimo conto beneficiario del bonifico disconosciuto da e disposto il 3 giugno 2020; Controparte_3
- disporre l'integrazione o, laddove necessario, la rinnovazione della CTU, al fine di sanare i vizi procedurali occorsi e rimediare alle divergenze tra evidenze processuali e conclusioni peritali
Per Controparte_2
“Voglia l'Ecc.ma Corte di Appello adita, ogni contraria istanza, eccezione e deduzione reietta, per le ragioni sopra esposte, o con qualsiasi altra motivazione:
• Nel merito:
-rigettare l'appello così come proposto da ed ogni correlata domanda svolta nei Parte_1 confronti di anche in via subordinata, formulata ex art. 1227 cc, per i motivi CP_2 CP_3 esposti in atti o con qualsiasi motivazione e per l'effetto confermare integralmente la sentenza n.
3844/2023 del Tribunale di Milano in ogni sua parte. Per l'ipotesi di accoglimento dell'appello proposto da , fermo il rigetto di ogni domanda svolta

contro

Parte_1 Controparte_3 conseguentemente confermare l'obbligo di , in persona del legale rapp.te pt, di Controparte_6 pagare in favore di e l'importo di € 83.462,84 oltre interessi spese di giudizio, CP_2 CP_3 spese di CTU e CTP
-rigettare l'appello incidentale proposto da relativamente ad ogni domanda Controparte_6 svolta nei confronti di e per l'effetto confermare integralmente la sentenza n. Controparte_3
3844/2023 del Tribunale di Milano in ogni sua parte. in via istruttoria rigettare le istanze istruttorie spiegate da e Parte_1 Controparte_6
In ogni caso, senza inversione dell'onere della prova e solo occorrendo, nel caso in cui la causa dovesse essere rimessa in istruttoria, si chiede di essere ammessi alla prova per interrogatorio formale e per testi sui capitoli di prova articolati, nel giudizio di primo grado, con la memoria ex art. 183, 6° comma, n. 2 c.p.c. del 14.01.22 depositata nell'interesse di e che qui devono CP_2 CP_2
pagina 5 di 15 intendersi integralmente ritrascritti, oltre alla prova contraria su quelli articolati da nel CP_7 denegato caso di loro ammissione.
In ogni caso, con vittoria di spese, competenze e onorari di lite, oltre la rifusione degli oneri fiscali, relativamente anche al presente grado di giudizio.
Ragioni in fatto e in diritto della decisione
(di seguito anche solo agiva giudizialmente davanti al Tribunale Controparte_3 CP_2 di Milano chiedendo di accertare la responsabilità di (di seguito anche solo Controparte_6
) e/o di (di seguito anche solo ) per il mancato pagamento di un CP_1 Parte_1 Parte_1 fornitore, in favore del quale essa attrice aveva disposto un bonifico, effettuato, però, dal sistema bancario a beneficio di un terzo estraneo, che si era appropriato della somma;
chiedeva, CP_2 quindi, di condannare le banche convenute al pagamento di euro 83.462,64, somma corrispondente al bonifico effettuato, oltre interessi dal 10.06.2020.
Le banche convenute si costituivano per resistere alle domande.
Il Tribunale, dopo aver disposto una ctu informatica sui sistemi della società attrice e su quelli delle banche convenute, definiva il giudizio con la sentenza n. 3844/23, con la quale accoglieva le domande attoree e condannava e al pagamento in solido di euro 83.462,84 oltre interessi, CP_1 Parte_1 nonché al pagamento delle spese di giudizio.
Il Tribunale, in sintesi, ricostruiva la vicenda nei termini che seguono.
In data 3.06.2020 l'amministratore di disponeva un bonifico di euro 83.462,84 da eseguire in CP_2 data 10.6.2020 in favore di Pipex Italia S.p.A., sua creditrice, con addebito su un c/c della società aperto presso BA LA di DI (dante causa di ). Parte_1
Il bonifico veniva disposto on line tramite una piattaforma informatica (Inbiz) gestita da . CP_1
L'operazione, tuttavia, non giungeva a buon fine, poiché il pagamento veniva effettuato in favore di un altro soggetto, tale con accredito su un c/c in essere presso la filiale di Lovere di CP_5
. Parte_1 veniva a conoscenza del fatto solo dopo aver ricevuto un sollecito da parte della propria CP_2 creditrice in data 26.06.2020, e, quindi, presentava una denuncia alla polizia postale e inviava una diffida ad entrambe le banche in data 1.07.2020.
Così ricostruiti i fatti, il Tribunale accoglieva le domande attoree, richiamando le conclusioni della ctu informatica disposta in fase istruttoria, e, in punto di diritto, le norme del D. Lgs. 11/10.
pagina 6 di 15 Secondo il Tribunale, infatti, la parte attrice aveva diritto al rimborso, non avendo le convenute assolto all'onere probatorio di cui all'art.10 co. 2 D. Lgs. cit., e cioè non avendo provato che i fatti si erano verificati per frode, dolo o colpa grave dell'utente.
Il Tribunale escludeva, altresì, un concorso di colpa da parte di per non aver controllato CP_2
l'esito del bonifico nell'immediatezza ma solo quando aveva appreso dal proprio fornitore che il bonifico non era andato a buon fine.
Il Tribunale rilevava, infatti, che dai documenti prodotti emergeva l'immediato trasferimento, nella stessa data del 10.6.2020, dal conto della terza beneficiaria di una parte della somma CP_5
(euro 49.800,00) in favore di tale Kraken Payward ltd, nonché il trasferimento nel giorno seguente, sempre allo stesso soggetto, della residua somma di euro 33.520,00.
Secondo il Tribunale, quindi, il danno subito dall'attrice non avrebbe potuto essere evitato o ridotto e in ogni caso non era imputabile a negligenza il mancato controllo dell'esito della transazione, poiché
l'attrice aveva ricevuto, subito dopo aver impartito l'ordine di bonifico, una contabile che documentava l'apparente corretta esecuzione dell'operazione.
Il Tribunale estendeva poi la responsabilità a , in ragione della qualifica di prestatore di Parte_1 servizi di pagamento ai sensi dell'art. 1, comma 1, lett. g), d. lgs. n. 11/2010.
La sentenza è stata appellata davanti a questa Corte da , che ne chiede la riforma con Parte_1 condanna di alla restituzione di quanto versato in esecuzione della sentenza medesima, sulla CP_2 base dei seguenti motivi.
I. Assenza di responsabilità di Parte_1
L'appellante, sostenendo di aver effettuato il bonifico secondo le indicazioni ricevute e di non essere stata vittima di malfunzionamenti dei propri sistemi, come sarebbe stato accertato anche dal ctu, ritiene che la propria posizione non possa essere assimilata a quella di , in applicazione delle norme del CP_1
D. Lgs. n. 11/10, secondo cui la banca passiva (nel caso di specie ) non è responsabile in Parte_1 caso di pagamento conforme alle istruzioni ricevute.
II. Responsabilità ex art. 1227 c.c.
L'appellante, ritenendo che dalla ctu espletata sia emersa la presenza di un malware sul computer di sostiene che il danno sarebbe stato evitato se avesse adottato sistemi di sicurezza CP_2 CP_2 informatici idonei ad evitare le frodi.
pagina 7 di 15 L'appellante insiste poi nel sostenere che, se avesse agito diligentemente, non limitandosi ad CP_2 attendere il sollecito della propria creditrice, ma controllando giornalmente l'esecuzione del bonifico, avrebbe quantomeno potuto ridurre il danno.
Sì è costituita in appello ed ha chiesto il rigetto del gravame di . CP_2 Parte_1
Con riferimento al primo motivo di appello, l'appellata ha osservato che il Tribunale ha CP_2 equiparato le posizioni di in ragione della qualifica di prestatori di servizi di Controparte_8 pagamento, sui quali graverebbe una responsabilità oggettiva.
Con riferimento al secondo motivo di gravame, l'appellata ha ribadito la correttezza della motivazione della sentenza del Tribunale, contestando la prospettazione dell'appellante, secondo cui sarebbe stata accertata la presenza di un malware nel proprio sistema informatico.
Sì è costituita in giudizio anche , proponendo appello incidentale sulla base dei seguenti motivi. CP_1
Capo 1 della sentenza impugnata. Contraddittorietà, incongruità e illogicità della motivazione della sentenza impugnata per mancata ed erronea valutazione delle risultanze processuali, in particolare in merito alle cause della truffa
L'appellante contesta l'operato del CTU, le cui conclusioni il Tribunale ha recepito, e censura la decisione appellata per non avere osservato la regola del più probabile che non in relazione all'individuazione del sistema informatico in cui i dati sono stati alterati, sistema che, secondo , CP_1 sarebbe quello di CP_2
Capo 2 della sentenza impugnata. Incongruità e illogicità della motivazione della sentenza impugnata per mancata ed erronea valutazione delle risultanze processuali, soprattutto in relazione all'incidenza della condotta dell'attrice appellata.
Anche con questo motivo l'appellante insiste nell'evidenziare l'inidoneità dei sistemi informatici di che dovrebbe essere considerata unica responsabile della vicenda. CP_2
Capo 3 della sentenza impugnata. Incongruità e logicità della motivazione della sentenza impugnata per mancata ed erronea valutazione delle risultanze processuali in relazione alla non tempestività della segnalazione della CP_2
Anche , come , sottolinea che il danno non si sarebbe verificato se solo CP_1 Parte_1 CP_2 avesse controllato nei giorni seguenti i movimenti inerenti all'operazione effettuata, circostanza non opportunamente valutata, ai fini di un concorso di colpa, da parte del Tribunale.
pagina 8 di 15 Capo 4 della sentenza impugnata. Congruità di infondatezza della motivazione della sentenza impugnata per erronea valutazione delle risultanze processuali, non essendo stata ammessa alla prova indiziaria.
L'appellante censura la decisione del Tribunale per non avere utilizzato, ai fini della prova della colpa grave dell'utente, gli indizi gravi, precisi e concordanti, sintomatici della negligenza di CP_2
Capo 5 della sentenza impugnata. Erroneità nella valutazione delle risultanze istruttorie in relazione alla sicurezza dei sistemi di intesa.
Secondo l'appellante, l'istruttoria avrebbe dimostrato l'idoneità dei livelli di sicurezza dei propri sistemi informatici e, quindi, anche sotto questo profilo sarebbe erronea la decisione che le ha attribuito la responsabilità dell'accaduto.
Capo 6 della sentenza impugnata. Violazione dell'art. 112 c.p.c. per omessa disamina dell'eccezione ex art. 1227, comma due, c.c. sollevata dalla banca.
censura nuovamente la decisione del Tribunale per aver omesso di considerare la condotta CP_1 negligente posta in essere da che avrebbe potuto evitare il danno se avesse controllato CP_2 giornalmente la transazione.
Capo 7 della sentenza impugnata. Contraddittoria ed illogica motivazione per mancata disamina delle risultanze processuali ex art. 1227, comma uno, c.c.
Anche con tale motivo, l'appellante ribadisce l'erroneità del mancato accertamento del concorso colposo di CP_2
Capo 8 della sentenza impugnata. Incongruità ed infondatezza della motivazione della sentenza impugnata per mancata ed erronea valutazione delle risultanze processuali in relazione alle verifiche omesse dal in relazione al conto beneficiario Parte_1
L'appellante sostiene che nessuna responsabilità potrà essere riconosciuta a carico di e nessuna CP_1 condanna potrà essere pronunciata se non per il danno residuale derivato dalla differenza tra la somma oggetto del bonifico disconosciuto e l'importo trattenuto presso il Fondo Unico di Giustizia ed a disposizione dell'attrice.
ritiene che unica responsabile, al più, possa essere . CP_1 Parte_1
La causa è stata posta in decisione, dopo il deposito degli scritti conclusivi, sulle conclusioni come in epigrafe precisate.
pagina 9 di 15 Ritiene la Corte, all'esito della camera di consiglio, che entrambi gli appelli, principale e incidentale, i cui motivi possono essere esaminati congiuntamente, siano infondati, per le ragioni di seguito esposte.
In via preliminare deve essere precisato che, ai fini della decisione, non vengono in rilievo i principi, enunciati dalla giurisprudenza e richiamati dalle banche appellanti, sulla responsabilità dell'utente che invia un ordine di bonifico con Iban errato, poiché nella presente fattispecie non viene dedotto (nessuna parte, infatti, lo sostiene) un errore iniziale commesso dall'utente nell'indicazione dell'Iban.
Non viene in rilievo neppure la giurisprudenza sul phishing, poiché non è stato accertato un furto di credenziali a causa di una condotta negligente di custodia da parte dell'utente.
La fattispecie è da ricondurre, invece, all'attività “malevola” di un terzo, inseritosi nei sistemi informatici, senza che sia stato possibile accertare se il terzo si sia inserito nel sistema informatico dell'utente o in quello della BA.
La causa del “malfunzionamento” del sistema informatico, che ha determinato il pagamento in favore di un soggetto estraneo, è, infatti, rimasta ignota all'esito dell'attività istruttoria svolta in primo grado.
Ai fini della presente decisione e per una migliore comprensione delle ragioni, può, quindi, essere utile ricostruire brevemente la vicenda sulla base dei fatti non contestati e delle prove documentali offerte dalle parti, nonché delle risultanze tecniche, acquisite mediante la consulenza disposta.
per impartire l'ordine di bonifico contestato, ha utilizzato il portale Inbiz che, secondo CP_2 quanto riferito dalla stessa odierna appellante , è “…un servizio telematico che permette di CP_1 automatizzare il colloquio banca-cliente messo a disposizione di Tramite Inbiz Controparte_1 il cliente usufruisce di una infrastruttura telematica attraverso cui può scambiare flussi dispositivi e informativi con banche del Gruppo Intesa Sanpaolo o altre banche con le quali la Società intrattiene un rapporto bancario, sia in Italia che all'estero” (v. pag. 8 relazione di ctu).
L'ordine di bonifico impartito da attraverso il portale Inbiz ha generato, secondo quanto CP_2 dedotto da sin dal primo grado, una contabile, che ha prodotto in giudizio quale CP_2 CP_2 documento cartaceo (doc. 1) aveva, infatti, dismesso, nel momento in cui è stata effettuata la ctu nel giudizio di primo CP_2 grado, il computer utilizzato per impartire l'ordine di bonifico, e non è stato, quindi, possibile compiere accertamenti sullo stesso.
pagina 10 di 15 Il doc. 1 prodotto da (contabile bonifico) viene così descritto dal ctu “doc. 1) contabile CP_2 bonifico eseguito da il file è la stampa cartacea del bonifico del 03/06/2020 come Parte_2 generata da InBix al momento dell'esecuzione del bonifico” (pag. 6 relazione di ctu).
Questo documento contiene l'indicazione del beneficiario al quale voleva inviare il denaro CP_2
(Pipex) e dell'Iban di questo beneficiario, anche se a BA Intesa, che poi ha trasmesso l'ordine a
(con la quale intratteneva un conto corrente), è pervenuta una richiesta con Parte_1 CP_2 diversa indicazione del beneficiario e dell'Iban, relativi ad un altro soggetto, denunciato e sottoposto a procedimento penale per altri fatti analoghi.
Il ctu ha, infatti, accertato, con riferimento all'ordine di bonifico impartito da che “dai log di CP_2
, figura 13, il sistema BONSEPA-1 – attivato all'inizio alle 16:38:59 delle comunicazioni e nel CP_1 quale viene inserito l'IBAN del destinatario – già contiene l'IBAN contestato: se intervento malevolo c'è stato, è già avvenuto” (pag. 19 relazione di ctu).
Il ctu, al quale è stato poi richiesto di accertare se all'epoca del fatto i sistemi informatici delle parti avevano adeguate sicurezze, tenendo conto della qualità delle parti stesse (società commerciale e banche), ha così risposto (v. conclusioni relazione ctu):
“Tanto che BA Intesa hanno mostrato – a livello documentale – di avere misure di CP_2 sicurezza adeguate.
Ferrotubi, una realtà di medio/piccole dimensioni, aveva sistemi di protezione adeguati – firewall e antivirus sui PC, come da par. 3.1.
BA Intesa ha altresì prodotto documentazione adeguata per quanto riguarda le misure in essere – peraltro vincolate ai controlli di vigilanza di BA d'Italia – anche relativamente al riconoscimento dell'utente mediante autenticazione forte imposto dalla direttiva PSD2.
Non è stato possibile effettuare una verifica dell'efficacia dei sistemi di sicurezza su entrambi i sistemi: nel caso di per l'assenza del PC dal quale è stato effettuato il bonifico e nel caso di BA CP_2
Intesa per l'assenza di elementi di valutazione (sottolineatura aggiunta).
Può essere utile rilevare che il ctu, anche se non ha potuto esaminare il pc di dal quale è stato CP_2 effettuato il bonifico, ha comunque rilevato le seguenti circostanze:
-a pag. 14 “ ha effettuato 14 bonifici nelle giornate del 3 e 4 giugno 2020, come da figura 14 CP_2
e solo in un caso – quello relativo alla – si ha una discrepanza tra quanto disposto da CP_5
e quanto ricevuto dalla BA” CP_2
pagina 11 di 15 -a pag. 15 “i log forniti da BA Intesa indicano che l'indirizzo IP del browser del PC in uso da
(2.34.17.132, corrispondente a una linea ADSL Vodafone) era sempre il medesimo: non CP_2 siamo quindi nel caso di furto di credenziali”
-a pag. 21 “… non ha trovato evidenza agli atti che, alla conferma del bonifico, sullo smartphone del correntista compaia il nome del destinatario del bonifico e del suo IBAN. È elemento che BA Intesa può facilmente fornire”.
Sulla mancata verifica dell'efficacia dei sistemi di sicurezza di , il ctu si è così espresso (v. pagg. CP_1
14 e ss. relazione):
“BA Intesa – tramite il sistema InBiz – è il soggetto che ha gestito il bonifico immesso da CP_2
Non è stato possibile avere dalla banca gli elementi necessari per determinare la completezza e l'integrità dei log forniti: la banca non ha fornito gli elementi per determinare quanto segue:
• identificazione dei sistemi che vengono impiegati nel portale InBiz per erogare i servizi di autenticazione, immissione dati del bonifico, verifica e validazione dei dati (sistemi antifrode);
• identificazione dei processi di cui viene effettuata tracciatura tramite log;

• dettaglio dei controlli effettuati dal modulo antifrode (servizio KLEISDIS-M), anche se il fatto che il modulo – intervenuto dopo l'immissione dell'IBAN (figura 12) contestato – è segno che tale IBAN non era in black list al momento del bonifico.
Il CTU ha ripetuto le richieste in due riunioni peritali ricevendo materiale insufficiente e soltanto in data successiva al termine indicato dal CTU BA Intesa ha fornito indicazioni sui log (ved. invio del
06/07/2022), fornendo indicazioni sui sistemi di tracciamento impiegati da InBiz (DB Oracle).
Anche il materiale fornito in data 06/07/2022 non risponde alle richieste del CTU, in quanto la query di estrazione prodotta non è fornita di elementi esplicativi Relativamente alle modalità di conservazione dei log, di cui la banca ha fornito le linee guida, l'impiego di un DB Oracle – comune per la tracciatura di eventi in sistemi complessi – necessariamente richiede dettagli sia sulle impostazioni (in particolare sull'impostazione degli aggiornamenti dei valori delle tabelle) che sulle permission che non sono state fornite e che avrebbe richiesto ulteriore tempo di analisi.
[…] Senza avere visibilità dei servizi, non è possibile determinare la completezza delle informazioni ricevute ed è necessario basarsi unicamente sulle affermazioni della BA […]
La figura 12 mostra che è il servizio BONSEPA-I che interagisce con l'utente per l'inserimento dei dettagli del bonifico e fin da subito è indicato l'IBAN contestato da Il punto è che BA CP_2
pagina 12 di 15 non ha fornito elementi relativamente agli eventuali processi all'interno del servizio BONSEPA- CP_1
I”.
Il ctu, poi, al quesito in quale fase e in quale sistema informatico sia stato alterato il bonifico disposto da parte attrice in data 3/6/2020 e oggetto di causa ha così risposto (v. pagg. 22 e ss. relazione):
“Non è possibile fornire una risposta certa al quesito sulla base dei documenti agli atti o da quelli forniti al CTU dalle parti …
Le possibilità sono due:

1. sul PC utilizzato da era presente un malware che ha operato in modalità man in the CP_2 middle, inserendosi cioè tra le disposizioni di e il sistema InBiz, oppure CP_2

2. sul sistema InBiz è stata effettuata attività malevola da terzo.
Agli atti sono presenti documenti che mostrano attività corrette da parte di (in particolare i CP_2 docc. 1 e 2 fasc. attrice), mentre i log forniti da BA Intesa mostrano come fin da subito i sistemi registrano l'indicazione dell'IBAN della sig.ra da parte di CP_5 CP_2
Sulla base di tale ricostruzione, risulta, pertanto, corretta, ad avviso della Corte, la decisione del primo giudice, che ha ritenuto assente nella fattispecie la colpa grave dell'utente ed ha concluso nel senso della responsabilità della BA per la causa del malfunzionamento rimasta ignota (v. testualmente nella sentenza appellata “…. al di fuori dell'ipotesi della colpa grave del cliente, assente nel caso di specie, rimane a carico della banca il rischio dell'esecuzione di un'operazione alterata a causa di una malevola interferenza informatica, della quale tuttavia non sia stato possibile individuare in modo preciso il momento e il luogo di azione”).
La decisione risulta corretta in punto di diritto poiché conforme alla normativa applicabile nel caso di specie, che è quella contenuta nella Direttiva 2007/64/C Payment Services Directive (PSD) attuata con il D. Lgs. 27 gennaio 2010 n. 11, successivamente modificato dal D. Lgs. 218/2017 in attuazione della seconda Direttiva 2015/2366/UE cd. PSD2.
La decisione del Tribunale risulta coerente, infatti, sotto il profilo della distribuzione dell'onere probatorio, con la previsione di cui all'art. 10 d. Lgs. 11/10, come modificato dal D. Lgs. 218/17, che, nell'ultimo inciso dell'ultimo comma, stabilisce che “È onere del prestatore di servizi di pagamento, compreso, se del caso, il prestatore di servizi di disposizione di ordine di pagamento, fornire la prova della frode, del dolo o della colpa grave dell'utente”.
pagina 13 di 15 La decisione del primo giudice risulta corretta anche alla luce dei principi enunciati in materia dalla
S.C., dai quali questa Corte non ritiene di discostarsi [v. Cass. 2950/17 “In tema di responsabilità della banca in caso di operazioni effettuate a mezzo di strumenti elettronici, anche al fine di garantire la fiducia degli utenti nella sicurezza del sistema (il che rappresenta interesse degli stessi operatori), è del tutto ragionevole ricondurre nell'area del rischio professionale del prestatore dei servizi di pagamento, prevedibile ed evitabile con appropriate misure destinate a verificare la riconducibilità delle operazioni alla volontà del cliente, la possibilità di una utilizzazione dei codici di accesso al sistema da parte dei terzi, non attribuibile al dolo del titolare o a comportamenti talmente incauti da non poter essere fronteggiati in anticipo. Ne consegue che, anche prima dell'entrata in vigore del d.lgs. n. 11 del 2010, attuativo della direttiva n. 2007/64/CE relativa ai servizi di pagamento nel mercato interno, la banca, cui è richiesta una diligenza di natura tecnica, da valutarsi con il parametro dell'accorto banchiere, è tenuta a fornire la prova della riconducibilità dell'operazione al cliente”; conf. Cass. 16417/22].
L'assenza di colpa del cliente rileva anche sotto il profilo dell'eccepito concorso ex art. 1227 c.c., essendo condivisibile e non adeguatamente contrastata con i motivi di appello la motivazione del
Tribunale che ha escluso, in concreto, la rilevanza causale di un eventuale controllo del buon fine del pagamento da effettuarsi prima del sollecito del creditore, alla luce dell'immediato trasferimento del denaro su un diverso conto da parte del terzo al quale la somma era stata accreditata.
Risulta infine condivisibile, poiché conforme alla disciplina normativa, l'accertamento della responsabilità solidale di . Parte_1
Come ha osservato il Tribunale, infatti, l'art. 11 D. Lgs. cit. estende la responsabilità del prestatore di servizi di pagamento per le operazioni di pagamento non autorizzate anche al prestatore di servizi di pagamento di radicamento del conto e, pertanto, anche per quest'ultimo valgono le osservazioni già svolte sul mancato assolvimento dell'onere di provare la colpa grave dell'utente.
Gli appelli, quindi, devono essere respinti, con la condanna di entrambe le banche al pagamento in solido delle spese di lite in favore dell'appellata CP_2
Le spese di lite sono liquidate in dispositivo, sulla base dei parametri previsti dal D.M. 55/14 e succ. mod. e secondo i valori medi delle Tabelle allegate, tenuto conto del valore della controversia, dell'assenza di attività istruttoria, delle questioni di diritto affrontate e dell'attività di difesa prestata.

P.Q.M.

La Corte d'Appello di Milano, definitivamente pronunciando, così dispone: pagina 14 di 15 1. respinge l'appello principale;

2. respinge l'appello incidentale;

3. condanna e al pagamento in solido delle spese di Controparte_6 Parte_1 lite liquidate in favore di in euro 9.991,00 per compensi oltre Controparte_3 rimborso forfetario nella misura del 15% e oltre Iva e Cpa;

4. dà atto che sussistono, sia per che per i presupposti Controparte_6 Parte_1 di cui all'art. 13 co. 1 quater D.P.R. 115/02 per il versamento dell'ulteriore importo a titolo di contributo unificato pari a quello dovuto a norma del comma 1 bis art. 13 cit.
Così deciso in Milano il 25.6.2025
Il Presidente est.
Rossella Milone
pagina 15 di 15