Phishing in Azienda: Se l’Errore Costa il Posto (e il Risarcimento)
In un’era in cui il cyber-crimine è diventato sofisticato quanto un’operazione di ingegneria finanziaria, il confine tra “vittima di una truffa” e “dipendente negligente” si è fatto pericolosamente sottile. Una recente analisi pubblicata nella newsletter di Baker McKenzie di marzo 2026 accende i riflettori su un orientamento della Suprema Corte che scuote le fondamenta della responsabilità disciplinare: il lavoratore che cade nel tranello del phishing può essere legalmente licenziato, anche se l’azienda non lo ha specificamente addestrato a riconoscere le minacce informatiche.
Il Caso: L’Email del “Presidente” e il Bonifico Fantasma
La vicenda, culminata nell’ordinanza n. 3263 del 13 febbraio 2026 della Corte di Cassazione, riguarda una dipendente esperta dell’area contabile. La donna aveva ricevuto un’email, apparentemente inviata dal Presidente della società, che richiedeva con estrema urgenza un bonifico internazionale verso un conto nel Regno Unito per presunte “spese estere urgenti”.
Senza attivare le procedure di verifica interna e senza richiedere una conferma verbale, la dipendente ha eseguito l’operazione. Solo a danno avvenuto è emerso che si trattava di un attacco di Business Email Compromise (BEC).
Perché la “Mancanza di Formazione” non è più una scusa
Il punto di rottura legale in questa sentenza risiede nella difesa della lavoratrice. Quest’ultima sosteneva che, non avendo l’azienda fornito corsi specifici sulla cybersecurity, l’errore dovesse considerarsi una semplice distrazione incolpevole.
La Cassazione ha rigettato fermamente questa tesi, stabilendo tre principi cardine:
- Diligenza Qualificata: Per chi ricopre ruoli di responsabilità (amministrazione, contabilità, HR), non è richiesta la diligenza media, ma una diligenza professionale “elevata” (ex art. 2104 c.c.).
- Anomalie Evidenti: La Corte ha rilevato che il tono dell’email, l’assenza di documenti giustificativi e l’inusualità della richiesta erano “segnali d’allarme” che un professionista esperto avrebbe dovuto cogliere a prescindere dalla formazione ricevuta.
- Rottura del Vincolo Fiduciario: La gravità della negligenza, unita all’entità del danno economico, è stata ritenuta tale da rendere impossibile la prosecuzione del rapporto di lavoro, giustificando il licenziamento per giusta causa.
Oltre il Licenziamento: Il Risarcimento del Danno
La vera “stangata” di questo orientamento 2026 è la natura cumulativa della sanzione. Oltre a confermare la perdita del posto, i giudici hanno ritenuto fondata la richiesta dell’azienda di restituzione delle somme perdute.
“L’astuzia del truffatore non elimina il dovere minimo di prudenza del prestatore di lavoro.”
In sintesi, il dipendente non solo perde il reddito, ma può essere condannato a risarcire di tasca propria i danni derivanti dalla sua condotta imprudente.
Questa svolta giurisprudenziale invia un messaggio chiaro: la cybersecurity non è più un problema confinato al reparto IT, ma un obbligo contrattuale di diligenza per ogni dipendente. Per le aziende, sebbene la formazione resti un pilastro del GDPR (art. 32), la sua assenza non costituisce più un “passaporto per l’impunità” in caso di negligenza grave.
