Il phishing non assolve il dipendente negligente
Negli ultimi anni le truffe informatiche ai danni delle aziende sono cresciute in modo esponenziale. La tecnica più diffusa rimane il phishing: un’email apparentemente legittima induce un dipendente a disporre pagamenti verso coordinate bancarie fraudolente, consegnando di fatto denaro aziendale nelle mani di criminali. Quello che molti non sanno — e che la giurisprudenza più recente ha confermato con chiarezza — è che cadere vittima di una truffa informatica non mette automaticamente al riparo da conseguenze disciplinari. Il dipendente che autorizza un pagamento fraudolento senza svolgere i controlli minimi richiesti dal suo ruolo rischia il licenziamento per giusta causa.
La Corte di Cassazione, con ordinanza n. 3263/2026, ha ribadito che gli obblighi di diligenza sanciti dagli articoli 2104 e 2105 del Codice Civile non vengono meno di fronte a un attacco informatico sofisticato. Il punto non è se il lavoratore sia stato ingannato, ma se avrebbe potuto evitare il danno applicando la normale prudenza professionale richiesta dalla sua mansione.
L’obbligo di diligenza: più responsabilità, più rischio disciplinare
Il Codice Civile impone al lavoratore subordinato di eseguire la propria prestazione con la diligenza richiesta dalla natura dell’attività e dall’interesse dell’azienda. Questo obbligo non è uniforme: cresce proporzionalmente alla delicatezza del ruolo ricoperto e all’entità delle risorse gestite.
Un addetto alla contabilità, un responsabile amministrativo o un direttore finanziario sono soggetti a uno standard di attenzione più elevato rispetto a chi non ha accesso diretto al patrimonio aziendale. Se queste figure autorizzano un bonifico verso coordinate bancarie modificate senza effettuare una semplice verifica telefonica con il fornitore, non possono invocare l’inganno subito come esimente completa. Il danno economico causato all’azienda, combinato alla violazione dell’obbligo di diligenza, integra una lesione del vincolo fiduciario sufficiente a giustificare il recesso.
I segnali d’allarme che nessun dipendente può ignorare
Le truffe informatiche, per quanto elaborate, lasciano quasi sempre tracce riconoscibili. La giurisprudenza di merito — tra cui la Corte d’Appello di Trieste con sentenza n. 346/2025 — ha individuato una serie di segnali che il lavoratore ha il dovere di cogliere e che, se ignorati, escludono qualsiasi attenuante:
- Modifica improvvisa e non concordata delle coordinate bancarie del fornitore
- Utilizzo di IBAN esteri per fornitori operanti sul territorio nazionale
- Stile linguistico dell’email incongruente con le comunicazioni abituali del mittente
- Senso di urgenza artificioso, finalizzato a scoraggiare la verifica
- Discrepanza tra il nome visualizzato e l’indirizzo email effettivo di provenienza
In presenza di uno qualsiasi di questi elementi, il dipendente ha l’obbligo di sospendere l’operazione, segnalare il sospetto ai superiori e attivare le procedure interne di verifica. Omettere questa segnalazione — come ha precisato la Corte d’Appello dell’Aquila con sentenza n. 286/2025 — esclude la buona fede e aggrava sensibilmente la posizione disciplinare del lavoratore.
Formazione assente: il dipendente è comunque responsabile?
Una questione frequente nelle controversie lavoristiche riguarda l’assenza di una formazione specifica sulla sicurezza informatica. L’orientamento giurisprudenziale prevalente è chiaro: la mancanza di corsi anti-phishing non costituisce una giustificazione sufficiente per chi svolge mansioni qualificate. Chi ha il potere di autorizzare movimenti di denaro è tenuto ad applicare i principi della normale diligenza professionale indipendentemente dall’addestramento ricevuto, perché la competenza nel gestire comunicazioni digitali in sicurezza è considerata implicita nel profilo di certe figure aziendali.
La proporzionalità della sanzione e l’onere della prova
Il licenziamento per giusta causa non è l’unico esito possibile. Il giudice è sempre chiamato a valutare la proporzionalità della sanzione rispetto alle circostanze concrete del caso. Fattori come un carico di lavoro eccessivo, condizioni di stress documentate o la sofisticazione tecnica dell’attacco possono ridurre il grado di colpevolezza e portare a una sanzione conservativa anziché espulsiva.
Tuttavia, rimane fermo un principio che le aziende devono conoscere: l’onere della prova ricade sul dipendente. Se un’operazione illecita parte da un dispositivo o da credenziali assegnate al lavoratore, spetta a lui dimostrare la propria estraneità ai fatti, provando l’uso abusivo degli strumenti da parte di terzi o l’impossibilità tecnica di rilevare l’attacco.
È qui che la raccolta delle prove diventa determinante — sia per il datore di lavoro che intende procedere disciplinarmente, sia per il lavoratore che intende difendersi.
Il ruolo dell’agenzia investigativa: raccogliere prove utilizzabili in giudizio
L’Agenzia Investigativa delle Alpi, operativa dal 1992 e titolare di licenza investigativa ex art. 134 T.U.L.P.S., affianca le aziende nella gestione di questi casi con un approccio strutturato:
- Analisi della condotta digitale: ricostruzione delle azioni compiute dal dipendente prima e dopo l’evento fraudolento, con documentazione conforme ai principi della digital forensics.
- Raccolta di prove documentali: acquisizione e conservazione di email, log di accesso, cronologia delle operazioni disposte, screenshot certificati e qualsiasi altro elemento utile a ricostruire la sequenza dei fatti.
- Supporto al procedimento disciplinare: redazione di relazioni investigative utilizzabili come base per la contestazione formale di addebiti, nel rispetto delle garanzie procedurali previste dallo Statuto dei Lavoratori.
- Indagini difensive: su incarico del lavoratore o del suo legale, verifica della reale dinamica dell’attacco e individuazione di eventuali corresponsabilità organizzative dell’azienda.
Tutte le prove acquisite vengono riportate all’interno del Rapporto Investigativo consegnato alla Committenza al termie dell’attività e producibile avanti il Giudice competente.
Domande frequenti su truffe informatiche e licenziamento
Sì. La Cassazione ha chiarito che l’essere stati ingannati non esclude automaticamente la responsabilità disciplinare. Ciò che conta è se il lavoratore ha omesso controlli minimi che avrebbero potuto sventare la truffa. Se la risposta è sì, il licenziamento per giusta causa può essere legittimo.
La mancanza di formazione specifica può attenuare la responsabilità, ma non la elimina. Per i ruoli qualificati — come chi gestisce pagamenti o coordina fornitori — la giurisprudenza ritiene implicita la capacità di riconoscere comunicazioni anomale. L’assenza di corsi anti-phishing non è quindi una giustificazione sufficiente.
Il prima possibile. Le prove digitali sono volatili e una raccolta non certificata rischia di essere inutilizzabile in sede disciplinare o giudiziaria. Un’agenzia investigativa autorizzata garantisce la corretta acquisizione e conservazione degli elementi probatori, a supporto del procedimento disciplinare.
Sì. Può incaricare un’agenzia investigativa di raccogliere prove a sua difesa, dimostrando ad esempio la sofisticazione tecnica dell’attacco, l’assenza di procedure aziendali adeguate o un carico di lavoro tale da giustificare una minore attenzione. Questi elementi possono portare il giudice a ridurre o escludere la sanzione espulsiva.
