N. R.G. 12704/2025
REPUBBLICA ITALIANA IN NOME DEL POPOLO ITALIANO TRIBUNALE ORDINARIO di MILANO SESTA CIVILE Il Tribunale di Milano in composizione monocratica, VI sezione civile, in persona del giudice Ada Favarolo, ha emesso la seguente SENTENZA nella causa civile iscritta al n. 12704 del Ruolo generale degli affari contenziosi dell'anno 2025, e vertente TRA
(C.F. ), in persona del Parte_1 P.IVA_1 rappresentante legale rag. , rappresentato e difeso dall'avvocato Maria Cristina Andreozzi, Parte_2 elettivamente domiciliato presso il suo studio in , Galleria Unione n. 1, in virtù di procura alle liti Pt_1 allegata al ricorso RICORRENTE E C.F. , in persona del suo procuratore dottor , Controparte_1 P.IVA_2 CP_2 rappresentata e difesa dall'avvocato, anche disgiuntamente tra loro, dagli avvocati Filippo Carimati e Stefano Cavallini, elettivamente domiciliata presso il loro studio in , via Beccaria n. 5, in virtù di Pt_1 procura alle liti in atti RESISTENTE
OGGETTO: contratti bancari
CONCLUSIONI Per parte ricorrente:
“Voglia l'Ill.mo Tribunale adito, previa ogni declaratoria del caso e di legge, ogni diversa e contraria istanza ed eccezione disattesa, anche in via istruttoria e incidentale: Nel merito Accertata e dichiarata la responsabilità di dei danni subiti dal Controparte_1 Parte_1 per non avere la stessa impedito a terzi, tra il 30 novembre 2020 e il 2 dicembre 2020, di introdursi illecitamente nel
[...] sistema telematico “Portale Internet Inbiz” e accertata e dichiarata la illegittimità dell'addebito della somma di euro 14.680,50 disposto da in data 1° aprile 2021 sul conto corrente n° 1000/5438 presso la filiale di Controparte_1 Pt_1 viale Romagna n° 20, ente, condannare al pagamento in favore di quest'ulti Controparte_1 somma di euro 14.680,50 e della somma di euro 1.935,60 pari alle spese sostenute per il procedimento dinnanzi all'Arbitro AN AR conclusosi con decisione n. 11224/2023 del 17 novembre 2023, oltre interessi dal dovuto al saldo e rivalutazione monetaria. In via istruttoria Pur ritenendo le domande di merito svolte fondate su prova documentale ed essendo i fatti di causa non controversi, la deducente difesa chiede di essere ammessa alla prova per testi sulle circostanze di cui alla narrativa del presente ricorso che, preceduti dalle parole “vero che”, devono intendersi separati capitoli di prova, nonché prova contraria, con gli stessi testi di seguito indicati, sui capitoli ex adverso articolati”. pagina 1 di 10
Per la Controparte_1
“Vogli dito, disattesa ogni diversa e/o contraria istanza, deduzione e/o eccezione in accoglimento di tutto quanto richiesto: nel merito
- in via principale, accertare e dichiarare la mancanza di qualsivoglia responsabilità in capo a per i Controparte_1 fatti di cui alla presente causa e, per l'effetto, rigettare le domande di parte attrice poichè infondate
- in subordine, previo accertamento dell'esclusiva e/o comunque prevalente responsabilità del Sig. e di Parte_2 [...] gestore telefonico dell'utenza telefonica di parte attrice e/o dei beneficiari dei bonifici del CP_3 invocato, escludere o limitare il quantum liquidato a parte attrice nella misura che risulterà provata ed accertata in corso di causa. Con vittoria di competenze e spese di lite. In via istruttoria:
- si eccepisce l'inadempimento dell'onere della prova gravante su parte avversa. Si chiede sin d'ora che venga ordinata, ex art. 210 c.p.c., l'esibizione in giudizio a di tutta la documentazione relativa al cambio Sim dell'utenza del Sig. Rag. CP_3
” e del contatto e dei documenti con i quali il Rag. ha attivato la linea telefonica a lui intestata.; Parte_2 Pt_2 ssione della prova per testi sui seguenti capitoli di ndica quale testimone il Sig. Testimone_1 c/o DC SIST TRASFOR DIGIT IMPRESE CORPORATE con sede in Corso Savona 58 - 10024 LI :
1) Vero che il sistema di sicurezza adottato dalla Banca convenuta per l'accesso al Portale Inbiz e l'operatività attraverso il medesimo è adeguato e pienamente conforme alle prescrizioni normative introdotte con il Decreto Legislativo n. 218/17 che ha modificato il Decreto Legislativo n. 11/10.
2) Vero che le soluzioni di Internet Banking del sono da anni certificate ISO/IEC 27001 (doc. Controparte_4
2), standard che costituisce il riferimento internaz le Informazioni.
3) Vero che l'accesso al portale Inbiz è assoggettato a forme di “autenticazione forte” e dunque all'utilizzo - congiuntamente alle credenziali di login (Codice Titolare e Codice PIN) - di Codice OTP (One Time Password) in possesso esclusivo del Cliente che, a seconda delle scelte da lui operate, è generata da un dispositivo O-Key fisico (chiavetta, fino a che era utilizzabile), dall'APP Intesa Sanpaolo Mobile (opzione O-Key Smart) oppure inviato via sms sull'utenza del Cliente (O- Key SMS).
4) Vero che il Rag. che, in qualità di amministratore del , operava con OTP Pt_2 Parte_3 virtuale (OTV), le modalità di autenticazione richiedono già per l'accesso al portale - la combinazione di password statiche e dinamiche e la disponibilità, oltre che del codice titolare e del PIN, anche del dispositivo mobile (smartphone) associato all'utenza.
5) Vero che il codice OTP, oltre che per l'operazione di login al portale, è poi utilizzato per l'autorizzazione delle singole operazioni di tipo dispositivo (bonifici, ricariche carte prepagate, ricariche telefoniche, generazioni carte virtuali, …).
6) Vero che per alcune operazioni dispositive, oltre all'inserimento di codice titolare, codice Pin ed autorizzazione tramite OTP virtuale, il sistema genera altresì un ulteriore codice OTS inviato via sms al numero certificato del Cliente, con specifico riferimento all'operazione da autorizzare utilizzando quel codice (cosa che è avvenuta in tutte le operazioni in discorso)
7) Vero che alle modalità di autenticazione e autorizzazione, vengono inoltre affiancati altri accorgimenti di sicurezza a protezione dell'infrastruttura tecnologica, volti anch'essi a minimizzare il verificarsi di comportamenti fraudolenti a danno dei Clienti dell'istituto e/o dell'istituto stesso. In particolare:
• Il canale di comunicazione dei servizi, per quanto concerne il transito di informazioni sensibili, è crittografato tramite protocollo TLS;

• Le infrastrutture sono protette da soluzioni IDS (Intrusion Detection System) per proteggere i servizi della Banca da minacce e attacchi informatici;

• Le infrastrutture sono altresì protette da cluster di firewall che consentono la comunicazione dei soli protocolli autorizzati;

• Le componenti web esposte su Internet risiedono in DMZ (zona demilitarizzata) secondo le policy e architetture standard di sicurezza del Controparte_4
• Le infrastrutture ICT sono regolarmente assoggettate a verifiche di sicurezza (Network Vulnerability Assessment e/o Web/Mobile Application Penetration Test); pagina 2 di 10 • La sessione di lavoro degli utenti è soggetta a timeout per inattività. Si chiede inoltre che venga disposta CTU tecnico informatica necessaria per verificare le caratteristiche del sistema in dotazione della . Pt_4

RAGIONI IN FATTO ED IN DIRITTO DELLA DECISIONE

1. Con ricorso ex art. 281-decies c.p.c. depositato in data 28 marzo 2025 il Parte_5
(di seguito, per brevità, il “ ”) ha chiesto, previo accertamento della responsabilità
[...] Parte_1 della banca per non aver impedito l'introduzione illecita da parte di terzi nel sistema telematico “Portale Internet Inbiz” tra il 30 novembre 2020 e il 2 dicembre 2020, nonché per aver illegittimamente riaddebitato la somma di € 14.680,50 in data 1 aprile 2021 sul conto corrente n. 1000/5438 intestato al MI, di condannare al pagamento della somma di € 14.680,50 e dell'importo di € 1.935,60, Controparte_1 quest'ultimo per le spese sostenute per il procedimento dinanzi all'Arbitro AN AR concluso con decisione n. 11224/2023 del 17 novembre 2023, oltre interessi dal dovuto al saldo e rivalutazione monetaria. 1.1. Con riferimento allo svolgimento dei fatti, il MI ha esposto che:
- il rag. aveva stipulato un contratto di utilizzo del Portale Internet Inbiz per la gestione Parte_2 di tutti i conti correnti intestati ai condomìni da lui amministrati, nonché per il conto corrente n. 1000/4121 utilizzato per la propria attività professionale (doc. 7 di parte ricorrente); Con
- in data 2 dicembre 2020 , leggendo uno sms ricevuto da sullo smartphone dedicato Parte_2 al Portale Internet Inbiz, aveva appreso che il 30 novembre 2020, per ragioni ignote, la SIM precedentemente associata al numero 3664871047 era stata bloccata (doc. 8 di parte ricorrente);
- si era così rivolto al referente di IM Gianfranco De Florio, il quale gli aveva Parte_2 comunicato che avrebbe provveduto a segnalare l'accaduto alla compagnia telefonica, procurando Con all'amministratore una nuova SIM e un nuovo numero telefonico, che erano stati poi attivati dalla in data 2 dicembre 2020 intorno alle ore 18:00;
- la sera del medesimo 2 dicembre 2020 il rag. aveva effettuato l'accesso all'app Intesa Parte_2
Sanpaolo Mobile sullo smartphone personale e si era accorto che sul conto corrente per l'attività professionale n. 1000/4121 risultava un ammanco di circa € 29.360,34, a seguito di due disposizioni di bonifico da lui mai disposte, ciascuna dell'importo di € 14.970,34, in favore del beneficiario sconosciuto
(doc. 9 di parte ricorrente); Persona_1
- la mattina del successivo 3 dicembre 2020 alle ore 8:30, dunque, aveva riferito Parte_2 dell'ammanco sul predetto conto corrente alla responsabile della filiale di di viale Gran Controparte_1
Sasso a , la quale aveva provveduto a bloccare i codici di accesso al Portale Pt_1 Persona_2
Internet Inbiz e ad associare la nuova SIM, consegnando a i nuovi codici di accesso;
Parte_2
- il medesimo 3 dicembre 2020 aveva effettuato l'accesso all'app Intesa Sanpaolo Inbiz Parte_2 dallo smartphone dedicato, con le nuove credenziali, alla presenza della responsabile ed Persona_2 era venuto a conoscenza del fatto che nel lasso di tempo in cui la precedente SIM associata al Portale Internet Inbiz era rimasta bloccata sui ventitré conti correnti collegati al predetto portale erano state disposte da ignoti ben quarantadue operazioni di bonifico per complessivi € 604.712,29 in favore di beneficiari sconosciuti, precisando che uno di questi bonifici, dell'importo di € 14.390,00, era stato disposto sul conto corrente n. 1000/5438 intestato al MI ricorrente e contabilizzato il 2 dicembre 2020 (doc. 10 di parte ricorrente);
pagina 3 di 10 - in data 4 dicembre 2020 aveva quindi presentato, in proprio e come amministratore dei Parte_2 condomìni coinvolti, denuncia-querela contro ignoti (doc. 11 di parte ricorrente), al fine di poter disconoscere le quarantadue disposizioni di modifico, mediante sottoscrizione dei moduli predisposti dalla responsabile (docc. 12-13 di parte ricorrente), evidenziando come dai controlli fosse Persona_2 emerso che la maggior parte dei bonifici era stata ordinata con causali pressoché identiche per importi simili, di poco inferiori a € 15.000,00 e che le somme erano state accreditate su conti in parte italiani e in parte esteri e indicavano come destinatari soggetti che, per la prima volta, risultavano beneficiari di pagamenti disposti da quei conti, senza che fosse stato trasmesso alcun alert o ricevuta alcuna telefonata da parte della banca;

- dopo aver ricevuto i moduli di disconoscimento delle operazioni non autorizzate, la banca aveva riaccreditato in data 10 dicembre 2020 le somme sia sul conto corrente di sia su quelli dei Parte_2 condomìni frodati;

- nei giorni successivi aveva appreso dalla responsabile che la banca Parte_2 Persona_2 era riuscita a revocare in uscita sette dei quarantadue bonifici disposti, recuperando un importo di € 104.772,00, poiché in alcuni casi i movimenti non erano andati a buon fine;

- alcuni mesi dopo, precisamente tra il 31 marzo 2021 e il 1° aprile 2021, la banca aveva proceduto in modo unilaterale e senza alcun preavviso allo storno di complessivi € 499.990,29, che lo stesso istituto di credito aveva riaccreditato sui conti correnti dopo il disconoscimento delle operazioni non autorizzate, ivi comprese, dunque, anche quelle inizialmente riaccreditate sul conto del ricorrente (doc. 14 di Parte_1 parte ricorrente);
- a fronte dello storno, , in proprio e per tutti i condomìni frodati, incluso il MI Parte_2 odierno ricorrente, aveva proposto reclamo alla banca, sia direttamente con propria missiva del 31 marzo 2021 (doc. 15 di parte ricorrente), sia tramite lettera inviata dai legali di fiducia in data 15 aprile 2021 (doc. 16 di parte ricorrente), ricevendo tuttavia risposta di diniego di qualsivoglia responsabilità da parte dell'istituto di credito (doc. 17 di parte ricorrente);
- in data 3 giugno 2021 il Pubblico Ministero, incaricato delle indagini preliminari, aveva chiesto e ottenuto dal GIP una proroga dei termini determinata proprio dalla loro complessità (doc. 18 di parte ricorrente); Con
- , dal canto suo, si era rivolto alla società , la quale con lettera del 4 ottobre 2021 gli Parte_2 aveva comunicato che la linea telefonica 3664871047 era stata bloccata in seguito a una segnalazione di smarrimento pervenuta al Servizio Assistenza Clienti da persona presentatasi come l'intestatario (doc. 19 di parte ricorrente);
- aveva quindi incaricato l'ingegner esperto del settore informatico, di Parte_2 Persona_3 svolgere ogni accertamento tecnico sulla frode (doc. 20 di parte ricorrente);
- le indagini della Procura di , trasferite poi per ragioni di competenza territoriale alla Procura di Pt_1
Napoli, si erano concluse con la richiesta di rinvio a giudizio in data 30 dicembre 2024 e con la conseguente fissazione dell'udienza preliminare per il 18 marzo 2025 a carico di nove soggetti (docc. 21-22 di parte ricorrente);
- nella predetta richiesta di rinvio a giudizio il non risultava essere parte Controparte_5 offesa, in quanto con provvedimento del 25 luglio 2024 il Pubblico Ministero aveva chiesto l'archiviazione del procedimento RGNR 18085/2024 nei confronti di quegli indagati che avevano ricevuto i bonifici fraudolenti sui conti correnti accesi presso banche con sede all'estero, tra cui AR EL, beneficiario del bonifico disposto sul conto corrente intestato al odierno ricorrente (doc. 23 di parte Parte_1 ricorrente);
pagina 4 di 10 - a seguito del riaddebito e del riscontro negativo dell'istituto di credito rispetto alla richiesta di restituzione delle medesime, con pec del 6 aprile 2023, il MI aveva presentato autonomo reclamo, a mezzo dell'odierno difensore (doc. 2 di parte ricorrente);
- non avendo ricevuto riscontro, il aveva quindi avviato un procedimento dinnanzi all'Arbitro Parte_1
AN di Milano, conclusosi con la decisione n. 11224/2023 del 17 novembre 2023, con cui era stato disposto a carico della banca il pagamento di € 14.681,00 in favore del MI (docc. 25-26-27-1 di parte ricorrente);
- la banca, tuttavia, non aveva adempiuto al pagamento di tale importo in favore del ricorrente (doc. 4 di parte ricorrente), il quale per la proposizione del ricorso e per l'assistenza legale aveva sostenuto spese pari a complessivi € 1.935,60 (docc. 28-29 di parte ricorrente);
- con sentenze del 24 ottobre 2024 e del 14 marzo 2025 il Tribunale di Milano aveva già condannato la al pagamento delle somme richieste dai due dei condomìni coinvolti nell'ambito Controparte_1 medesima frode informatica, ritenendo che non fossero emersi elementi sui quali fondare una colpa grave dei ricorrenti (docc.

5-6 di parte ricorrente) Per quanto concerne i profili di diritto, parte ricorrente:
- ha dedotto la violazione, da parte della della disciplina prevista dalla Direttiva UE Controparte_1
n. 2015/2366 (c.d. PSD2), come integrata dal Regolamento UE n. 2018/389 emanato dalla Commissione il 27 novembre 2017, cui nel nostro ordinamento ha dato attuazione il d.lgs. n. 11/2010, rilevando che i passaggi di autenticazione, i sistemi di monitoraggio degli accessi e gli strumenti di informazione al cliente non erano sufficientemente sicuri, adeguati e completi per impedire attacchi sussumibili nella fattispecie del c.d. SIM swap fraud;
- ha dedotto che in base all'art. 10, comma 2, del citato d.lgs. n. 11/2010 la responsabilità della banca è esclusa soltanto laddove la stessa sia in grado di provare la colpa grave del cliente, aggiungendo in proposito che secondo la giurisprudenza il rischio della causa ignota rimane sempre a carico dell'istituto di credito, poiché tale rischio è insito nella sua attività professionale e d'impresa e, di conseguenza, amministrabile con un costo sostenibile. 1.2. Si è costituita in giudizio la chiedendo il rigetto integrale del ricorso, Controparte_1 siccome infondato in fatto e in diritto. Preliminarmente la società resistente ha chiesto la conversione del rito semplificato in ordinario, evidenziando, tra gli altri motivi, la necessità di chiamare in causa la società rilevando come la CP_3 sua condotta colposa avesse reso possibile l'illecito perpetratosi ai danni del MI ricorrente, come Con del resto emerso dalla lettera della prodotta da parte ricorrente (doc. 19), avente natura confessoria. La banca ha quindi eccepito che:
- il sistema adottato per prevenire frodi informatiche era ed è adeguato e all'avanguardia, in quanto le soluzioni di Internet banking e di gestione per la sicurezza delle informazioni del Controparte_4 sono da anni certificate ISO/IEC 27001, standard che costituisce il riferimento internazionale per sicurezza nelle informazioni (doc. 2 di parte resistente), osservando inoltre come sul sito richiamabile dal link
“SICUREZZA” nella home page del servizio InBiz, siano presenti informazioni e documenti che forniscono al cliente indicazioni a tutela della propria sicurezza, quali quelle relative al corretto uso e gestione dei codici di protezione, alle truffe online e alla minaccia Phishing (docc.

3-4 di parte resistente);
- le operazioni oggetto d'esame si erano verificate in quanto tutte e indistintamente erano state autorizzate dal disponente con il ripetuto corretto inserimento non solo di user id e password, bensì anche con l'autorizzazione di ogni singola operazione a mezzo di OTP virtuale sull'app Intesa Sanpaolo Mobile installata sul cellulare in possesso del cliente, nonché con il corretto inserimento di codici OTS, generati pagina 5 di 10 con specifico riguardo alle predette operazioni e inviati al numero di utenza telefonica certificata, come emergeva dalle schermate dei vari passaggi di validazione e autorizzazione svolti dal cliente tramite l'app installata sul proprio smartphone associato (cfr. docc. 5 “tracciature inbiz” e “tracciature setminder” di parte resistente);
- l'importo era stato correttamente riaddebitato sul conto del ricorrente, siccome il modulo di disconoscimento sottoscritto da espressamente prevedeva che qualora fosse stato Parte_2 successivamente dimostrato che le operazioni erano state autorizzate la banca aveva diritto di ottenere la restituzione dell'importo rimborsato in precedenza, dandone comunicazione all'intestatario del rapporto (docc.

9-10 di parte resistente);
- a , quale amministratore del MI, era addebitabile un rimprovero di colpa grave, Parte_2 poiché soltanto il 3 dicembre 2020 si era recato in banca per comprendere cosa fosse realmente successo, nonostante già in data 30 novembre 2020 avesse ricevuto il messaggio di blocco della sua linea telefonica, nonché messaggi da parte della stessa banca (cfr. doc. 10 bis di parte resistente);
- la responsabilità dell'istituto di credito doveva essere esclusa sia perché l'art. 6, comma 2, del contratto Inbiz stabiliva che, prima del momento in cui la segnalazione dell'uso non autorizzato delle credenziali era opponibile alla banca, le conseguenze derivanti dall'utilizzo indebito delle credenziali sarebbero state a carico del , sia perché la circostanza che tale mole di operazioni provenisse dalla medesima Parte_1 utenza risultava giustificata, trattandosi dell'utenza professionale dell'amministratore;
- era invece configurabile la responsabilità in capo al gestore telefonico per aver omesso un CP_3 adeguato controllo sull'identità del soggetto richiedente il duplicato della SIM e aver così consentito al truffatore di accedere allo spazio riservato all'effettivo titolare e ad effettuare le operazioni sui conti allo stesso intestati, evidenziando, peraltro, come queste ultime risultassero avvenute presso il punto vendita Albytel S.r.l. sito in località Chiatano a San Giugliano in Campania (NA), ossia a centinaia di chilometri di distanza da , luogo di residenza di , mediante presentazione di documenti falsi (cfr. Pt_1 Parte_2 doc. 19 di parte ricorrente e docc. 17-18 di parte resistente);
- in ogni caso, l'istituto di credito non era tenuto al rimborso delle spese relative al procedimento svoltosi dinnanzi all'Arbitro AN di , rilevando come il MI avesse scelto di esercitare tale Pt_1 opzione, alternativa alla giustizia civile, ed evidenziando che parte ricorrente non aveva nemmeno dimostrato di aver effettivamente sostenuto tali spese, avendo prodotto un mero conteggio.
1.3. All'esito della prima udienza, ritenuti insussistenti i presupposti per la conversione del rito da semplificato in ordinario e per la chiamata in causa della sono stati concessi i termini ai sensi CP_3 dell'art. 281-duodecies, comma 4, c.p.c.. Successivamente, ritenuta la causa matura per la decisione, è stata fissata l'udienza del 25 settembre 2025 per la precisazione delle conclusioni.
2. Orbene, la domanda proposta dal è fondata per le ragioni Parte_5 che seguono. 2.1. Richiamando le considerazioni già espresse da questo giudice in una recente pronuncia (sentenza del 14 marzo 2025, n. 2104) relativa ad una fattispecie analoga a quella oggetto di questo giudizio, si osserva che il ricorrente ha sostenuto l'illegittimità del riaddebito della somma di € 14.680,50, alla luce Parte_1 della disciplina prevista dal d.lgs. n. 11/2010, che ha dato attuazione nel nostro ordinamento alla Direttiva UE n. 2015/2366 (c.d. PSD2), come integrata dal Regolamento UE n. 2018/389 emanato dalla Commissione europea il 27 novembre 2017. Per quanto rileva ai fini della decisione, l'art. 10, comma 1, del decreto legislativo citato prevede che
“[q]ualora l'utente di servizi di pagamento neghi di aver autorizzato un'operazione di pagamento già eseguita o sostenga che questa non sia stata correttamente eseguita, è onere del prestatore di servizi di pagamento provare che l'operazione di pagina 6 di 10 pagamento è stata autenticata, correttamente registrata e contabilizzata e che non ha subito le conseguenze del malfunzionamento delle procedure necessarie per la sua esecuzione o di altri inconvenienti”. Il successivo comma 2, poi, aggiunge che “l'utilizzo di uno strumento di pagamento registrato dal prestatore di servizi di pagamento (…) non è di per sé necessariamente sufficiente a dimostrare che l'operazione sia stata autorizzata dall'utente medesimo né che questi abbia agito in modo fraudolento o non abbia adempiuto con dolo o colpa grave a uno o più obblighi di cui all'art. 7”, essendo onere del prestatore di servizi proprio “fornire la prova della frode, del dolo o della colpa grave dell'utente”. Coerentemente al dato normativo la prevalente giurisprudenza di legittimità e di merito ritiene che “la responsabilità della banca per operazioni effettuate a mezzo di strumenti elettronici, con particolare riguardo alla verifica della loro riconducibilità alla volontà del cliente mediante il controllo dell'utilizzazione illecita dei relativi codici da parte di terzi, ha natura contrattuale e, quindi, va esclusa solo se ricorre una situazione di colpa grave dell'utente” (così Cass. civ., sez. III, 12 febbraio 2024, n. 3780; cfr., tra le altre, Cass. civ., sez. VI, 26 novembre 2020, n. 26916; Tribunale di Benevento, sez. II, 11 ottobre 2023, n. 2012; Tribunale di Milano, sez. VI, 6 luglio 2018, n. 7644). Nel caso di specie, non è oggetto di contestazione tra le parti che un soggetto terzo abbia effettuato, tramite il blocco temporaneo della SIM associata a , un illecito accesso al portale Intesa Parte_2
Sanpaolo Inbiz utilizzando le credenziali dell'amministratore di condominio ed eseguendo, tra le altre, una disposizione di bonifico dal conto corrente del MI odierno ricorrente. Ciò, del resto, può ritenersi dimostrato documentalmente dalla pec del 4 ottobre 2021 inviata dal servizio clienti del gestore telefonico, con cui è stato comunicato a che la linea 3664871047 era stata bloccata in seguito ad una Parte_2 segnalazione pervenuta al Servizio Assistenza Clienti in data 30 novembre 2020, alle ore 14:11, da persona presentatasi come l'intestatario, fornendo i relativi dati anagrafici. Il MI ha osservato che i sistemi di sicurezza informatica della banca non si sono rivelati adeguati a prevenire e impedire la frode, evidenziando come la responsabilità della banca, in generale, possa essere esclusa, soltanto laddove risulti la colpa grave dell'utente. Dal canto suo, la società ha giustificato il riaddebito delle somme sul presupposto Controparte_1 che le operazioni oggetto d'esame sarebbero state apparentemente autorizzate dal disponente con il ripetuto corretto inserimento delle credenziali e dei codici di accesso al portale, rilevando come ciò sia stato reso possibile solo alla luce di condotte colpose, attive e omissive, di . Parte_2
Sotto il primo profilo, la banca ha sostenuto che l'amministratore del , verosimilmente, aveva Parte_1 incautamente fornito a terzi i codici e gli strumenti necessari per operare, facendo affidamento su messaggi truffaldini. Tuttavia, tale allegazione appare generica ed è rimasta priva di supporto probatorio. Sul punto, la banca ha prodotto le schermate dell'estratto delle registrazioni effettuate e dei file riportanti i log di validazione delle credenziali relative all'utenza. Tali documenti, però, di per sé non dimostrano che
[...]
abbia con colpa grave comunicato a terzi le proprie credenziali di accesso al portale da cui Pt_2 gestiva le movimentazioni dei conti correnti nè la banca non ha spiegato con sufficiente chiarezza e specificità la ragione per cui dalle schermate prodotte dovrebbe evincersi tale circostanza. Sotto il secondo profilo, parte resistente ha evidenziato come possa muoversi un rimprovero di colpa grave nei confronti dell'amministratore del MI per essersi lo stesso recato tardivamente presso la filiale della a seguito del blocco della linea telefonica. Segnatamente, a fronte di un Controparte_1 messaggio di blocco della SIM risalente al 30 novembre 2020, ad avviso della società resistente,
[...]
avrebbe atteso troppo tempo per comprendere cosa fosse realmente successo sui conti correnti Pt_2 di cui poteva disporre, recandosi in banca soltanto il 3 dicembre 2020, ossia tre giorni dopo la comunicazione del gestore telefonico. La stessa parte ricorrente ha ammesso che ha letto Parte_2 in data 2 dicembre 2020 il messaggio di blocco della SIM ricevuto il 30 novembre 2020. Tuttavia, non appena letto il messaggio, l'amministratore del MI lo stesso 2 dicembre 2020 ha prontamente pagina 7 di 10 contattato il referente della IM S.p.A. Gianfranco , segnalando l'accaduto. Inoltre, dopo aver Parte_6 effettuato l'accesso sull'app Intesa Sanpaolo Mobile dal proprio smartphone personale la sera dello stesso 2 dicembre 2020 ed essere venuto a conoscenza che sul proprio conto corrente - utilizzato per lo svolgimento dell'attività professionale n. 1000/4121 - risultava un consistente ammanco, già il giorno successivo si è recato in banca per comprenderne la motivazione, apprendendo delle disposizioni di bonifico anche dal conto corrente intestato al MI ricorrente. Pertanto, anche ad attribuire rilievo alla circostanza che abbia letto il messaggio di blocco della SIM due giorni dopo la sua Parte_2 ricezione, non si ritengono sussistenti gli estremi per qualificare la colpa dell'amministratore del come grave. A tale riguardo, occorre considerare che dalla notizia del blocco della SIM non è Parte_1 immediatamente immaginabile un'illecita introduzione da parte di terzi nel portale di gestione dei conti correnti. In ogni caso, due giorni costituiscono un lasso di tempo piuttosto esiguo per configurare una condotta gravemente negligente da parte di . Parte_2
Posto che sulla base delle allegazioni, deduzioni e documenti prodotti in giudizio non risulta provata la colpa grave di , quale rappresentate legale del MI ricorrente, la responsabilità Parte_2 dell'istituto di credito non può parimenti ritenersi esclusa alla luce della clausola contenuta dall'art. 6, comma 2, del contratto, richiamato dalla difesa della La norma contrattuale citata Controparte_1 stabilisce che “[p]rima del momento in cui la segnalazione è opponibile alla Banca, le conseguenze derivanti dall'utilizzo indebito delle Credenziali sono integralmente a carico della Società” e deve essere letta insieme alla parte del comma
1, ove è previsto che “la segnalazione è opponibile alla Banca dal momento in cui essa comunica l'apposizione del blocco all'Utente”. La difesa di parte resistente ne deduce la validità sul presupposto che l'art. 2, comma 4, del d.lgs. n. 11/2010, qualora l'utente dei servizi di pagamento non sia consumatore, consente alle parti di convenire che gli artt. 3, commi 1, 4 e 5, 10, commi 1 e 2, 12, 12 bis, 13, 14, 17 e 25 non siano in tutto o in parte applicati. Tuttavia, in disparte la questione relativa alla possibilità di qualificare il MI come consumatore, la norma contrattuale invocata da parte resistente non contiene una deroga specifica alle suddette disposizioni del decreto legislativo. Invero, essa si presenta come una clausola che limita e che, di fatto, addirittura esclude la responsabilità della banca, rimettendo a una scelta arbitraria di quest'ultima il momento dell'opponibilità della segnalazione e quindi il momento in cui far gravare le conseguenze derivanti dall'utilizzo indebito delle credenziali. Pertanto, il combinato disposto del comma 1 e del comma
2 dell'art. 6 del contratto prevede clausole nulle. In ogni caso, preme evidenziare che soltanto l'art. 6, comma 1, del contratto risulta specificamente approvato per iscritto ai sensi dell'art. 1341, comma 2, c.c., mentre il comma 2, privo di specifica approvazione, sarebbe comunque improduttivo di effetti nei confronti della banca. È del tutto irrilevante, poi, che i sistemi di informatici della banca fossero o meno sufficientemente sicuri per impedire l'accesso illecito da parte di terzi sul portale Inbiz e le successive disposizioni di bonifico. Facendo applicazione del dato normativo e dei principi espressi da una parte della giurisprudenza precedentemente richiamata, infatti, in assenza della prova della colpa grave dell'amministratore del MI la banca è responsabile per le autorizzazioni di pagamento da lui negate e disconosciute, a prescindere dall'adeguatezza dei sistemi nelle fasi di autenticazione dell'utente e di monitoraggio delle operazioni. Del resto, come è stato osservato anche dalla recente giurisprudenza di questo Tribunale, nel rapporto contrattuale che si configura in questi casi la posizione della banca non è ricostruibile tanto nei termini di un soggetto obbligato alla prestazione;
è piuttosto da considerare che nell'ambito del modello organizzativo dell'home banking l'esecuzione di operazioni formalmente autorizzate dal sedicente titolare del conto pagina 8 di 10 corrente ma in realtà non consentite dal vero intestatario costituisce il rischio professionale tipico del prestatore di servizi di pagamento (cfr. Tribunale di Milano, sez. VI, 25 ottobre 2024, n. 9257). In definitiva, la banca è tenuta al pagamento della somma di € 14.680,50, illegittimamente riaddebitata a carico del in data 1 aprile 2021, oltre rivalutazione e interessi. Parte_1
Occorre considerare che l'obbligazione di risarcimento del danno costituisce debito di valore, come tale quantificabile tenendo conto della svalutazione monetaria sopravvenuta fino alla data della liquidazione (cfr., tra le altre, Cass., 25 febbraio 2009, n. 4587; Cass., 27 giugno 2016, n. 13225). Ne consegue che l'importo di € 14.680,50 va rivalutato all'attualità con decorrenza dal giorno dell'illecito (1 aprile 2021) e ammonta, applicando i corrispondenti indici ISTAT, a € 17.249,59. Sulla somma riconosciuta in favore del ricorrente sono inoltre dovuti gli interessi Parte_1 compensativi per la ritardata corresponsione dell'equivalente pecuniario del danno, in quanto nelle obbligazioni di valore il debitore è in mora dal momento della produzione dell'evento di danno;
peraltro, avuto riguardo ai principi enunciati dalla sentenza n. 1712/1995 delle Sezioni Unite della Corte di Cassazione, al fine di evitare un lucro ingiustificato per il creditore e per meglio rispettare la funzione compensativa dell'interesse legale riconosciuto sulla somma rivalutata, gli interessi devono essere calcolati non sulla somma rivalutata (o espresso in moneta attuale) al momento della liquidazione, né sulla somma originaria, ma debbono essere computati sulla somma originaria che via via si incrementa, a partire dal livello iniziale sino a quello finale, nei singoli periodi trascorsi. Recependo i principi di cui alla citata sentenza delle Sezioni Unite, dunque, appare congruo adottare, anche in applicazione del principio equitativo ex artt. 1226 e 2056 c.c., come criterio di risarcimento del pregiudizio da ritardato conseguimento della somma dovuta, tenuto conto della natura del danno, dell'arco temporale considerato e di tutte le circostanze accertate, quello degli interessi legali nella misura indicata dell'art. 1284, comma 1, c.c.. La banca deve essere quindi condannata al pagamento in favore del ricorrente della somma di Parte_1
€ 17.249,59, già rivalutata all'attualità, oltre interessi compensativi calcolati sulla somma devalutata alla data dell'illecito (1 aprile 2021), pari a € 14.680,50, via via rivalutata, anno per anno, secondo gli indici ISTAT e fino alla data odierna. Sull'importo come determinato all'attualità (€ 17.249,59) sono dovuti gli ulteriori interessi legali, ai sensi dell'art. 1284 comma 1 c.c., fino al saldo. 2.2. Anche con riferimento all'importo di € 1.935,60, richiesto per le spese sostenute per il procedimento dinnanzi all'Arbitro AN AR, il MI ha soddisfatto il proprio onere probatorio, producendo la contabile di bonifico dell'importo di € 20,00 relativa al pagamento dei diritti di segreteria, nonché la fattura emessa dall'avvocato Maria Cristina Andreozzi per l'importo di € 1.915,60 per l'assistenza legale prestata dal professionista durante il giudizio davanti all'Arbitro AN AR (docc. 28-29 di parte ricorrente).
2.3. Dalle considerazioni che precedono discende che la domanda proposta dal deve Parte_1 essere accolta e, di conseguenza, la deve essere condannata al pagamento della Controparte_1 somma di € 17.249,59, già rivalutata all'attualità, oltre interessi ex art. 1284, comma 1, c.c. con decorrenza dal 1° aprile 2021 al saldo secondo i criteri sopra esposti, nonché al pagamento della somma di € 1.935,60 quali spese di assistenza stragiudiziale I rilievi sin qui svolti sono tali da assorbire ogni ulteriore contestazione o domanda proposte, evidenziandosi che i profili non espressamente esaminati sono stati ritenuti non rilevanti ai fini della decisione e comunque inidonei a supportare una valutazione di tipo diverso.
3. Le spese di lite seguono la soccombenza di parte resistente e vengono liquidate in dispositivo secondo i parametri di cui al D.M. n. 55/2014, come da ultimo aggiornati dal D.M. n. 147/2022, tenuto conto del valore della causa determinato ai sensi dell'art. 5 del predetto decreto, dell'attività effettivamente pagina 9 di 10 svolta (tenuto conto, in particolare, della limitata attività svolta nella fase istruttoria – consistita nel deposito delle memorie - nonché della sostanziale assenza di attività svolta nella fase decisoria) e della complessità delle questioni esaminate.

P.Q.M.

Il Tribunale di Milano, in persona del giudice Ada Favarolo, definitivamente pronunciando sulla domanda proposta dal nei confronti di così Parte_5 Controparte_1 provvede: a. condanna la società al pagamento, in favore del Controparte_1 Parte_5
, dell'importo di € 17.249,59 a titolo di risarcimento del danno, oltre interessi secondo i criteri
[...] indicati in motivazione, ai sensi dell'art. 1284, comma 1, c.c., con decorrenza dal 1 aprile 2021 al saldo, nonché dell'ulteriore importo di € 1.935,60 a titolo di spese di assistenza stragiudiziale;
b. condanna la società al pagamento, in favore del Controparte_1 Parte_5
, delle spese di giudizio, che liquida in € 264,00 per spese vive e in € 2.536,00 per compensi, oltre al
[...]
15% per spese generali, CPA e IVA come per legge. Così deciso a Milano, in data 29 settembre 2025
Il giudice Ada Favarolo
pagina 10 di 10