Phishing e licenziamento: quando l'errore del lavoratore costituisce giusta causa

Phishing e responsabilità disciplinare del lavoratore: cosa dice la giurisprudenza

Una recente ordinanza della Corte di Cassazione (n. 3263 del 7 febbraio 2026) affronta una questione di crescente rilevanza nelle moderne aziende: quando l'errore del lavoratore vittima di una truffa online può costituire giusta causa di licenziamento.

Il caso esaminato dalla Corte

La vicenda riguarda un'impiegata amministrativa che ha eseguito un bonifico bancario sulla base di una richiesta che appariva provenire da un fornitore abituale dell'azienda. La comunicazione era in realtà fraudolenta, conseguenza di un attacco di phishing. Il danno economico significativo subito dall'azienda ha portato al licenziamento per giusta causa della dipendente, che ha impugnato il provvedimento ritenendo di essere stata vittima di un raggiro.

Cos'è il phishing e il business e-mail compromise

Prima di analizzare le implicazioni legali, è utile chiarire questi fenomeni:

- Il phishing è una forma di truffa online attraverso cui i malintenzionati, fingendosi soggetti affidabili, cercano di ottenere informazioni sensibili (credenziali, dati bancari) o indurre il destinatario a compiere azioni dannose.

- Il business e-mail compromise (BEC) è una variante sofisticata in cui vengono compromessi account di posta elettronica aziendali o si falsificano indirizzi di dirigenti e fornitori per indurre pagamenti fraudolenti.

Il principio della responsabilità disciplinare

La decisione della Cassazione non si sofferma sulla truffa subita, ma sulla qualificazione giuridica della condotta del lavoratore. Un aspetto cruciale della sentenza è che la semplice condizione di vittima di un raggiro non esclude automaticamente la responsabilità disciplinare.

La Corte ha spostato l'attenzione sulla verifica della "diligenza esigibile" secondo l'articolo 2104 del Codice civile. Questa norma disciplina gli obblighi del prestatore di lavoro, prevedendo che il lavoratore debba svolgere la prestazione con la diligenza del buon padre di famiglia (diligenza ordinaria) o, se previsto dal contratto, con una diligenza professionale specifica.

Cosa significa "diligenza esigibile"

La valutazione della diligenza non è astratta, ma concreta. Per un impiegato amministrativo incaricato di gestire pagamenti, la diligenza esigibile comprende:

- Verificare l'autenticità della comunicazione attraverso canali alternativi (contatto telefonico, portale aziendale)

- Controllare coerenza tra mittente dichiarato e indirizzo di posta elettronica

- Identificare possibili anomalie nella richiesta (urgenza insolita, cambio di modalità di pagamento, destinatario diverso dal consueto)

- Applicare i protocolli di sicurezza aziendali per l'autorizzazione dei pagamenti

- Segnalare comunicazioni sospette al reparto IT o ai responsabili

Implicazioni pratiche per le aziende e i lavoratori

Questa sentenza stabilisce che:

1. Il licenziamento per phishing non è automatico: la responsabilità dipende dall'accertamento di una condotta negligente rispetto ai doveri di diligenza richiesti dalla mansione.

2. La formazione è essenziale: le aziende che investono in programmi di consapevolezza sulla sicurezza informatica e addestramento specifico per i dipendenti hanno maggiori probabilità di dimostrare che il lavoratore avrebbe dovuto riconoscere la frode.

3. I protocolli aziendali sono decisivi: l'esistenza e l'osservanza di procedure di autorizzazione, tracciamento e verifica dei pagamenti influisce significativamente sulla valutazione della diligenza.

4. La documentazione conta: se l'azienda non ha provveduto a comunicare chiare istruzioni di sicurezza, sarà più difficile addebitare al lavoratore una negligenza grave.

Consigli pratici per i datori di lavoro

- Implementare sistemi di autenticazione multi-fattore per gli accessi ai sistemi di pagamento

- Adottare protocolli di verifica per i pagamenti di importo rilevante (callback a numeri ufficiali)

- Fornire formazione regolare ai dipendenti sui rischi di phishing

- Mantenere documentazione delle comunicazioni di sicurezza inviate ai dipendenti

- Costituire un team di cybersecurity interno o esterno

- Implementare controlli preventivi e revisioni sulle operazioni di pagamento

Consigli pratici per i lavoratori

- Non cliccare su link in email sospette: accedi direttamente al sito ufficiale

- Verifica sempre le richieste di pagamento attraverso canali alternativi

- Segnala immediatamente comunicazioni anomale ai superiori o all'IT

- Partecipa ai corsi di formazione sulla sicurezza informatica

- Mantieni aggiornate le password e non condividerle

- Dubita di richieste urgenti o fuori dai normali canali

Conclusione

La giurisprudenza della Cassazione chiarisce che nel contesto della responsabilità disciplinare per phishing, non conta solo l'essere stati vittimi di una truffa, ma come il lavoratore ha rispettato gli obblighi di diligenza richiesti dalla sua mansione. Questo equilibrio protegge sia le aziende, legittimando azioni disciplinari quando vi è responsabilità accertata, sia i lavoratori, escludendo sanzioni quando hanno agito con la dovuta diligenza e correttezza.

Per aziende e dipendenti, il messaggio è chiaro: investire in cybersecurity, formazione e procedure di controllo è non solo una buona pratica, ma una protezione legale essenziale.

Il presente contenuto ha finalità informative generali e non costituisce consulenza legale personalizzata. Per una valutazione del tuo caso specifico contatta lo Studio Legale Avv. Giuseppe Cuomo — Tel. 081 921 1148 — cuomo.avv.giuseppe@tiscali.it

Fonti e riferimenti normativi

• · phishing
• · licenziamento
• · giusta causa
• · responsabilità del lavoratore
• · cybersecurity
• · diligenza
• · diritto del lavoro

Le informazioni contenute in questo articolo hanno finalità esclusivamente informativa. Non costituiscono consulenza legale personalizzata ai sensi della L. 247/2012 e non sostituiscono il parere di un professionista qualificato.

Hai bisogno di assistenza su Diritto del Lavoro?

L'Avv. Giuseppe Cuomo offre consulenza specializzata. Studio a Nocera Inferiore (SA), consulenze anche da remoto.