La Cassazione: è legittimo il licenziamento del dipendente vittima di phishing se la truffa era evitabile

26/03/2026 ECONOMIA Preferisci Informazione.News su Google

Redazione Economia   -   La Corte di Cassazione, con l’ordinanza n. 3263 depositata lo scorso 13 febbraio, ha tracciato una linea netta nella gestione della sicurezza informatica all’interno del rapporto di lavoro subordinato, stabilendo che l’essere vittima di una frode informatica – nello specifico di una tecnica di phishing o di ceo fraud – non costituisce automaticamente una scusante per il dipendente. Anzi, la Suprema Corte ha chiarito che quando il lavoratore, in particolare se addetto a mansioni contabili o amministrative, dispone un pagamento fraudolento senza osservare le minime accortezze richieste dalla sua qualifica, il datore di lavoro ha il diritto di procedere con il licenziamento per giusta causa, oltre a potersi rivalere economicamente per il danno subito.

Il caso esaminato dai giudici di legittimità, che ha portato al rigetto del ricorso presentato dalla lavoratrice, riguarda una vicenda ormai divenuta un classico nello scenario delle truffe aziendali. Un’impiegata con un’anzianità di servizio consolidata, addetta alla contabilità, aveva ricevuto una richiesta di bonifico internazionale apparentemente proveniente dal presidente della società per cui lavorava. L’importo, non trascurabile, ammontava a 15.812,46 euro. Solo dopo l’esecuzione del pagamento, e nonostante la mail presentasse elementi di anomalia – come la causale generica “spese estere” e l’assenza della documentazione contabile solitamente richiesta dalle procedure interne – la dipendente ha scoperto di essere caduta in una trappola, con il denaro finito nelle mani di cyber criminali.

La negligenza qualificata supera la mancata formazione

Un aspetto particolarmente rilevante della decisione della Cassazione, contenuta nell’ordinanza n. 3263/2026, riguarda la valutazione della diligenza esigibile. La lavoratrice aveva tentato di difendersi sostenendo, tra le altre cose, la mancanza di una formazione specifica da parte dell’azienda in materia di prevenzione delle truffe informatiche, un argomento che spesso viene portato a sostegno delle ragioni del lavoratore in contesti simili. I giudici, tuttavia, hanno ritenuto questo elemento non decisivo: a prescindere dall’esistenza o meno di un corso di aggiornamento sulla cybersecurity, era proprio il ruolo ricoperto dalla dipendente a imporle un livello di attenzione più elevato. L’articolo 2104 del codice civile, che disciplina l’obbligo di diligenza del prestatore di lavoro, viene così declinato in chiave moderna: chi opera nella gestione di flussi finanziari, si legge nella sostanza del verdetto, non può limitarsi a eseguire ordini ricevuti via posta elettronica senza sollevare alcun dubbio, soprattutto quando la richiesta presenta vistose discordanze rispetto alle prassi consolidate.

La sentenza ha inoltre valorizzato un secondo elemento di colpa, forse ancor più grave della prima disattenzione. Dopo aver disposto il bonifico, la dipendente ha ricevuto nella notte una comunicazione dal vero presidente della società, che la avvertiva del tentativo di frode in corso. Nonostante fosse a conoscenza dell’inganno e disponesse dell’intera giornata lavorativa per attivarsi, la lavoratrice non ha provveduto a bloccare tempestivamente l’operazione presso l’istituto di credito. Questo comportamento omissivo, secondo la Cassazione, ha reso evidente una significativa disattenzione agli interessi aziendali, idonea a compromettere irrimediabilmente quel vincolo fiduciario che costituisce il fondamento del rapporto di lavoro, specialmente in ruoli di responsabilità patrimoniale.

Responsabilità disciplinare e risarcimento del danno

La pronuncia della Sezione Lavoro non si è limitata a confermare la legittimità del licenziamento, ma ha affrontato anche il profilo patrimoniale della vicenda, accogliendo la richiesta dell’azienda di vedersi restituita la somma indebitamente versata. Si tratta di un passaggio giuridico di notevole importanza, perché chiarisce che la responsabilità del dipendente non si esaurisce con l’applicazione della sanzione espulsiva, ma può tradursi anche in un obbligo risarcitorio diretto. In questo caso, la Cassazione ha ricondotto la condotta della lavoratrice nell’alveo dell’inadempimento contrattuale di cui all’articolo 1218 del codice civile, rilevando come il danno subito dalla società fosse una conseguenza immediata e diretta della sua negligenza, che avrebbe potuto e dovuto essere evitata con un comportamento improntato a ordinaria prudenza.

L’impostazione adottata dai giudici di legittimità fa dunque cadere ogni possibile separazione tra l’errore umano, che potrebbe essere scusato come un incidente di percorso, e la colpa grave professionale. Per la Suprema Corte, il fatto che l’iniziativa illecita provenga da un terzo truffatore non costituisce di per sé un elemento in grado di escludere la responsabilità disciplinare del lavoratore, il quale risponde delle conseguenze delle proprie azioni sulla base del grado di diligenza richiesto dalle sue mansioni.

Il peso delle procedure aziendali e il ruolo dell’esperto

Dall’analisi della vicenda, così come ricostruita nelle decisioni di merito e confermata in Cassazione, emerge con chiarezza come il rispetto delle procedure aziendali costituisca un parametro decisivo per valutare la gravità della condotta. La dipendente, infatti, aveva agito in violazione delle regole interne che prevedevano verifiche aggiuntive per i bonifici esteri, ignorando anche le anomalie formali presenti nella comunicazione fraudolenta. La Cassazione ha quindi ribadito un principio di buon senso giuridico: laddove il lavoratore, specialmente se esperto, omette volontariamente o per negligenza di applicare le procedure di sicurezza e di controllo messe a disposizione dall’impresa, ne risponde in prima persona.

Il verdetto n. 3263 si inserisce in un contesto di crescente attenzione giurisprudenziale verso il cosiddetto “fattore umano” nella sicurezza informatica. La sentenza, infatti, sposta il baricentro della responsabilità dalla mera predisposizione di strumenti tecnici di difesa da parte del datore di lavoro (come i firewall o i software anti-phishing) alla condotta concreta di chi è chiamato a gestire le risorse economiche. L’orientamento sembra suggerire che, sebbene la governance aziendale e la formazione siano elementi importanti per prevenire i rischi, esse non possono sostituire la diligenza individuale che ci si attende da un professionista della contabilità. In questo senso, l’errore umano smette di essere considerato un mero rischio aziendale da ammortizzare, diventando piuttosto un comportamento censurabile sul piano disciplinare e risarcitorio.