Phishing aziendale: quando una truffa informatica può portare al licenziamento

Il phishing aziendale rappresenta oggi una delle minacce più diffuse per imprese e professionisti. Le truffe informatiche continuano a crescere sia per numero sia per sofisticazione, colpendo in particolare le piccole e medie aziende che spesso non dispongono di risorse sufficienti da destinare alla sicurezza informatica. In questo contesto assume particolare rilevanza una recente pronuncia della Corte di Cassazione che ha affrontato un tema delicato: la responsabilità del dipendente vittima di una truffa online e le possibili conseguenze disciplinari derivanti da un errore che provoca un danno economico all’azienda.

Il caso esaminato dalla Cassazione

Le truffe informatiche sono, purtroppo, un fenomeno dilagante. E spesso sono le aziende, specie quelle di piccole dimensioni, che non si possono permettere di spendere molto in sicurezza, a essere vittime. Va però registrata una recente sentenza della Cassazione (ordinanza 3263), che ha considerato legittimo il licenziamento di un dipendente che ha disposto un pagamento con danno patrimoniale all’azienda.

Danno è stato, perché il pagamento è avvenuto a causa di una truffa informatica. E questo perché, secondo i giudici, c’è truffa e truffa. E la Cassazione con questa sentenza ha anche stabilito i confini entro cui l’errore di un dipendente vittima di phishing possa essere giustificato.

Nel caso specifico, la vittima era una contabile dell’azienda, licenziata per aver effettuato un pagamento sulla base di una richiesta contenuta in una e-mail apparentemente riconducibile al presidente della società. Ovviamente si trattava di una e-mail falsa, la classica truffa sotto forma di phishing, uno dei sistemi più diffusi.

truffe-informatiche Uno dei classici sistemi di phishing prevede che i truffatori spediscano una e-mail che sembra arrivare da un mittente noto (amico, parente, collega di lavoro, superiore) con cui sono richieste informazioni o, peggio, come nel caso esaminato, si induce la vittima a disporre pagamenti non dovuti.

In Italia, per esempio, il phishing e le truffe online colpiscono milioni di persone: nel 2025 oltre 1,2 milioni sono state le vittime di truffe finanziarie, con perdite stimate superiori a 1,8 miliardi di euro. A cui si aggiungono le truffe per e-commerce, con circa 2,8-2,9 milioni vittime, e un aumento del 9%.

Nel caso specifico, però, i giudici hanno stabilito che la dipendente avrebbe potuto evitare la truffa usando un livello di diligenza adeguato, con riferimento agli articoli 2104 e 2105 del Codice civile, che obbligano il dipendente a eseguire le proprie mansioni con l’attenzione richiesta dal ruolo e dall’ambiente in cui opera. E gli obblighi non sono evitabili quando il dipendente sia ingannato da una truffa informatica.

Essere vittima di phishing, insomma, non esonera automaticamente da responsabilità: occorre verificare se, in base all’esperienza, alle competenze e alla delicatezza dell’incarico svolto, il dipendente avrebbe potuto riconoscere l’anomalia e prevenire il danno con idonee cautele. In più, la mancanza di formazione specifica non è stata ritenuta sufficiente a giustificare la condotta del dipendente-vittima.

Resta il fatto che la truffa ai danni dell’azienda c’è stata e, forse, una formazione sulle procedure di sicurezza della dipendente l’avrebbe potuta evitare.