Phishing sul lavoro e licenziamento: quando la vittima è anche responsabile

Il caso

Una dipendente addetta alla contabilità riceve una comunicazione fraudolenta e, ingannata, dispone un pagamento a favore dei truffatori. L'azienda subisce un danno economico e procede al licenziamento. La vicenda arriva davanti alla Corte di Cassazione dopo pronunce di merito non allineate: da un lato la Corte d'appello dell'Aquila, dall'altro quella di Trieste avevano offerto letture differenti sul rapporto tra truffa subita e responsabilità disciplinare.

Il punto giuridico è netto: essere vittima di un reato non cancella automaticamente la colpa del lavoratore. Occorre verificare se il dipendente abbia rispettato lo standard di diligenza richiesto dalle sue mansioni.

Inquadramento normativo

Il riferimento è l'art. 2104 del Codice civile, che impone al lavoratore di usare la diligenza richiesta "dalla natura della prestazione dovuta" e dall'interesse dell'impresa. Non è la diligenza del "buon padre di famiglia" generica, ma quella qualificata dal ruolo ricoperto: chi gestisce pagamenti e movimenti contabili è tenuto a un livello di attenzione superiore rispetto a chi svolge mansioni prive di rilievo patrimoniale.

Si aggiunge l'art. 2105 c.c., sull'obbligo di fedeltà, che la giurisprudenza legge in senso ampio come dovere di tutelare gli interessi economici del datore di lavoro, anche astenendosi da condotte imprudenti.

La Cassazione, in sostanza, distingue tra due situazioni. Il phishing raffinato, tecnicamente difficile da riconoscere anche per un operatore attento, può escludere o attenuare la colpa. Al contrario, l'inganno grossolano - segnali di allarme evidenti, indirizzi sospetti, richieste anomale ignorate - configura una negligenza professionalmente rilevante. In questo secondo caso, il licenziamento può essere legittimo perché il danno non deriva solo dalla truffa, ma dall'omissione di cautele elementari.

Implicazioni pratiche

Per il lavoratore il messaggio è chiaro: la qualifica di vittima non è uno scudo automatico. Chi opera in ambito contabile, amministrativo o finanziario risponde di un livello di attenzione proporzionato al rischio che maneggia. Un bonifico disposto senza verificare l'autenticità della richiesta, quando esistevano procedure interne o segnali di sospetto, espone a conseguenze disciplinari fino al licenziamento.

Per il datore di lavoro la pronuncia offre uno strumento, ma non un lasciapassare. Il licenziamento resta soggetto al giudizio di proporzionalità: occorre dimostrare che il dipendente ha violato regole conoscibili e che la sua condotta è stata effettivamente negligente, non semplicemente sfortunata.

Un aspetto spesso trascurato riguarda le procedure aziendali. Se l'impresa non ha fornito formazione sulla sicurezza informatica, né protocolli chiari per la verifica dei pagamenti, la responsabilità del singolo si ridimensiona. La colpa del lavoratore va valutata alla luce degli strumenti che l'azienda gli ha - o non gli ha - messo a disposizione.

Cosa fare in concreto

• Verifica le richieste anomale prima di agire. Se un pagamento arriva per canali insoliti o con toni di urgenza, sospendi l'operazione e conferma per via indipendente (telefono, contatto diretto al referente).

• Rispetta e documenta le procedure interne. Segui i protocolli aziendali sulla validazione dei pagamenti; la loro osservanza è la prima difesa in caso di contestazione.

• Segnala subito l'episodio. Al primo sospetto di truffa avvisa il datore e l'IT: la tempestività può contenere il danno e incide sulla valutazione della tua condotta.

• Datori di lavoro: investite in formazione tracciabile. Corsi documentati sulla cybersicurezza e istruzioni scritte rafforzano la posizione aziendale e riducono i margini di contestazione del licenziamento.

• Conservate le evidenze. Email fraudolente, log di sistema e comunicazioni interne sono decisivi per ricostruire se l'inganno era riconoscibile o meno.

La lezione della Corte è duplice: la diligenza professionale si aggiorna con la tecnologia, e la valutazione della colpa passa sempre dal caso concreto. Consigliamo, tanto ai lavoratori quanto alle imprese, di ragionare in termini di prevenzione e prova, non di sola reazione al danno.

Disclaimer

Contributo informativo a cura di Tamburro & Partners - Avv. Giuseppe Tamburro. Non costituisce parere legale.