Dalla truffa “Man-in-the-Middle” ai requisiti di diligenza imposti dalla Cassazione: il vademecum operativo per evitare il doppio pagamento e tutelare lo studio professionale.
Il meccanismo è tanto lineare quanto devastante: un pirata informatico si insinua nelle comunicazioni e-mail tra l’amministratore e l’impresa incaricata dei lavori nello stabile, intercetta la fattura e modifica una sola riga di testo,ovvero il codice IBAN. Tutto il resto — intestazione, importi, descrizione dei SAL, timbri e firme — rimane identico. Il documento appare autentico, il bonifico parte verso un conto estero o una carta usa-e-getta, e dopo pochi giorni il fornitore bussa alla porta del condominio sollecitando il saldo mai pervenuto.
Di fronte a questo scenario sempre più frequente, la giustificazione dell’amministratore di «essere stato ingannato» non regge più in tribunale.
Il rigore della Cassazione: la diligenza professionale va provata
Il perno normativo della vicenda ruota attorno all’articolo 1189 del Codice Civile, che disciplina il pagamento al creditore apparente. Con l’ordinanza n. 4589 del 14 febbraio 2023, la Prima Sezione Civile della Suprema Corte ha chiarito che chi invoca la liberazione dal debito non può limitarsi a una generica dichiarazione di buona fede.L’amministratore ha l’onere preciso di dimostrare quali controlli ha svolto e quali circostanze oggettive e univoche lo abbiano indotto a ritenere il beneficiario legittimato a riscuotere.
Vi è poi un fattore processuale decisivo: la tutela del creditore apparente non viene applicata d’ufficio dal giudice, ma deve essere eccepita tempestivamente dalla parte interessata fin dal primo atto difensivo utile. Se la difesa non è immediata e supportata da prove documentali, il condominio rischia di dover pagare due volte la stessa prestazione,aprendo la strada a una pesante azione di rivalsa economica nei confronti dell’amministratore stesso.
Il protocollo operativo: dalla tracciabilità contrattuale al doppio controllo
La protezione del patrimonio condominiale passa quindi per una revisione radicale delle abitudini di studio. Le coordinate bancarie ufficiali del fornitore devono essere blindate all’origine, inserendole direttamente nel contratto d’appalto insieme alla visura camerale, ai dati del legale rappresentante, alla PEC e ai recapiti ufficiali dell’impresa.
Qualsiasi successiva richiesta di modifica dell’IBAN non deve mai essere trattata come una comunicazione ordinaria,bensì come una potenziale anomalia informatica. In questi casi scatta la cosiddetta verifica su un secondo canale (out-of-band): l’amministratore non deve mai rispondere alla mail sospetta o chiamare i numeri riportati nel testo dell’avviso,ma deve contattare il legale rappresentante o il direttore dei lavori attraverso i numeri telefonici storici e depositati a contratto. La variazione va poi formalizzata con una PEC sottoscritta digitalmente e corredata da un’attestazione bancaria di titolarità del conto.
Accanto alle verifiche formali, serve rigore tecnico e contabile. È indispensabile ispezionare l’intestazione completa dell’e-mail per smascherare eventuali domini specchio e incrociare la fattura con lo stato di avanzamento lavori, la delibera assembleare e le certificazioni tecniche. Grande attenzione va riservata anche agli avvisi bancari automatici di mancata corrispondenza tra IBAN e intestatario (Name Check): ignorare un warning dell’istituto di credito distrugge qualsiasi possibilità di provare la buona fede in giudizio. Negli studi strutturati, inoltre, l’inserimento e l’autorizzazione delle distinte devono essere affidati a due persone distinte, impostando contestualmente massimali giornalieri proporzionati e notifiche push immediate per ogni movimento.
Segnali d’allarme e gestione dell’emergenza
La casistica insegna che le comunicazioni fraudolente fanno quasi sempre leva sull’urgenza, su presunti blocchi tecnici del conto originario o sull’invito a non contattare la sede aziendale «per motivi di riservatezza». Quando compaiono questi elementi, l’operazione va immediatamente congelata.
Se invece il bonifico è già stato autorizzato, il fattore tempo diventa cruciale. La prima mossa consiste nel contattare la banca per richiedere il richiamo urgente del pagamento per frode (recall), allertando contestualmente l’impresa fornitrice. Subito dopo occorre sporgere querela presso la Polizia Postale — allegando i file di posta originali in formato .eml con gli header tecnici intatti —, denunciare il sinistro alla propria assicurazione di Responsabilità Civile Professionale e affidare il fascicolo a un legale prima che il fornitore notifichi un decreto ingiuntivo.
Per l’amministratore diligente, la linea guida conclusiva deve tradursi in una regola interna inderogabile: nessun pagamento verso un IBAN modificato può essere disposto senza una conferma formale via PEC, un riscontro a voce su canale indipendente e un secondo controllo documentale archiviato a fascicolo.
