Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Luglio 2022: un'impiegata amministrativa con oltre trent'anni di servizio dispone un bonifico internazionale di 15.812,46 euro. L'ordine sembra arrivare dal presidente della società. È invece una truffa — una CEO fraud, variante del phishing in cui il truffatore si finge il vertice aziendale. Il denaro sparisce. Il presidente, avvertita la dipendente dell'inganno il giorno successivo, si aspetta una reazione immediata. Non arriva. A settembre 2022 arriva il licenziamento per giusta causa.
Con l'ordinanza n. 3263 del 13 febbraio 2026, la Corte di Cassazione, Sezione Lavoro, ha ritenuto legittimo il licenziamento per giusta causa di una dipendente amministrativa che, a seguito di una frode di tipo CEO fraud, aveva autorizzato un bonifico internazionale di circa 16.000 euro senza effettuare le verifiche minime richieste dalle procedure aziendali e dal ruolo ricoperto. La Cassazione si è pronunciata con questa sentenza del 13 febbraio 2026 n. 3263 (Pres. Pagetta, Rel. Panariello) in merito alla legittimità del licenziamento giusta causa phishing del dipendente di una società nei casi di disposizione di bonifici bancari a seguito di email di phishing.
La pronuncia non passa inosservata: l'ordinanza n. 3263, pubblicata il 13 febbraio 2026, stabilisce nuove responsabilità nella giurisprudenza del lavoro nell'era digitale e dell'intelligenza artificiale, usata per sferrare attacchi sempre più mirati e sofisticati.
Il fatto concreto e il ragionamento dei giudici
I fatti di causa riguardano una dipendente di 5° livello del CCNL Confapi PMI, impiegata amministrativa addetta alla contabilità con un'anzianità di servizio ultra-trentennale (assunta nel 1989). La lavoratrice ha impugnato il licenziamento davanti al Tribunale di Tivoli, sostenendo tre argomenti principali: di essere stata anch'essa vittima della truffa, avendo eseguito le verifiche che riteneva necessarie; che la sanzione fosse sproporzionata, in quanto il contratto collettivo prevedeva per situazioni simili soltanto una multa; di non aver mai ricevuto formazione specifica sui rischi di phishing.
Il Tribunale di Tivoli rigetta le domande. La Corte d'Appello di Roma conferma. La Cassazione, con l'ordinanza in esame, respinge il ricorso.
Il cuore della motivazione risiede nel testo dell'ordinanza stessa: la "disattenzione" della lavoratrice è stata particolarmente grave, poiché con un minimo di diligenza, soprattutto in chi era assegnataria di quelle funzioni, la frode sarebbe stata evitata; l'illecito denota scarsa attenzione per gli interessi aziendali, superficialità nel comportamento, imprudenza nell'espletamento della prestazione lavorativa, con grave esposizione della datrice di lavoro.
Sul punto cruciale della formazione, la Cassazione è esplicita: la lavoratrice ha rappresentato di non aver ricevuto alcuna formazione sulla prevenzione e sul contrasto alle operazioni di truffa informatica mediante azioni di phishing; ma tale dato è irrilevante, specie in considerazione del fatto che da chi svolge da tempo mansioni particolarmente qualificanti in tema di contabilità ci si attende quell'accortezza che, secondo i canoni dell'ordinaria diligenza nei rapporti commerciali, impone di effettuare le dovute verifiche ed i necessari approfondimenti prima di dare corso al pagamento.
Non solo: la Corte ha valorizzato il fatto che, una volta emerso l'inganno il giorno successivo, la lavoratrice non si fosse attivata con immediatezza per tentare il blocco dell'operazione. Anche l'inerzia post-truffa, dunque, pesa sulla valutazione della condotta.
Il cardine normativo: l'art. 2104 c.c. e la diligenza qualificata
L'intera architettura della pronuncia poggia sull'art. 2104 del codice civile, secondo cui "il prestatore di lavoro deve usare la diligenza richiesta dalla natura della prestazione dovuta, dall'interesse dell'impresa e da quello superiore della produzione nazionale". Non una diligenza generica, astratta, uniforme per ogni lavoratore: una diligenza calibrata sulla qualifica e sulle mansioni concrete.
La Cassazione ritiene tale elemento non decisivo: i giudici di merito hanno correttamente considerato che, a prescindere dalla formazione ricevuta, le anomalie dell'operazione imponevano, secondo i canoni dell'ordinaria diligenza nei rapporti commerciali, di sospendere il pagamento e svolgere accertamenti ulteriori. Per chi svolge da molti anni mansioni amministrativo-contabili, il livello di diligenza richiesto dall'art. 2104 c.c. assume una connotazione "qualificata": non basta eseguire meccanicamente le richieste ricevute, occorre valutarne coerenza, attendibilità e conformità alle procedure interne.
Il principio non è nuovo, ma con questa ordinanza riceve una declinazione digitale precisa. Già la Cassazione civile, Sez. Lavoro, sentenza n. 13149 del 24 giugno 2016 aveva stabilito, in un caso di bonifici disposti su ordini truffaldini del superiore gerarchico, che l'art. 2104 c.c., nel prescrivere l'impiego di una diligenza adeguata alla natura della prestazione dovuta, impone al lavoratore di avere capacità di discernimento nel valutare gli ordini ricevuti — escludendo che la condotta potesse essere giustificata dalla situazione ambientale o dal grado gerarchico del truffatore. L'ordinanza n. 3263/2026 aggiorna quel principio all'ambiente digitale: la capacità di discernimento include oggi il riconoscimento delle anomalie proprie delle comunicazioni informatiche.
Sul piano della proporzionalità, la sanzione espulsiva è stata ritenuta adeguata in forza di un ragionamento fondato sull'art. 2119 c.c.: la Cassazione ha rilevato come sia irrilevante l'assenza di una specifica formazione sulla prevenzione e contrasto al phishing, poiché l'ordinaria diligenza avrebbe dovuto indurre la dipendente ad adottare gli opportuni controlli. La sanzione pecuniaria prevista nel CCNL di riferimento si riferiva alle irregolarità non gravi e che non comportino danni all'azienda, elemento non riscontrabile nel caso di specie, in quanto la condotta aveva determinato indubbiamente un danno alla società.
Vale qui il brocardo vigilantibus iura subveniunt: il diritto protegge chi è vigile. Il lavoratore che, per la natura delle proprie funzioni, gestisce risorse economiche altrui non può invocare la propria ingenuità come esimente quando l'attenzione richiesta era quella della diligenza ordinaria, non di un esperto di informatica.
«Solo i principi fondamentali del diritto possono resistere all'usura del tempo; le regole tecniche invecchiano, i principi si adattano» — questa riflessione di Luigi Ferrajoli sulla funzione adattativa dei principi giuridici trova qui una conferma concreta: il principio della diligenza qualificata, codificato nel 1942, si rivela perfettamente capace di governare scenari tecnologici che i suoi redattori non potevano immaginare.
Un dipendente può essere licenziato per aver eseguito un pagamento su email falsa?
La risposta non è automaticamente sì. La Cassazione non ha stabilito che ogni dipendente vittima di phishing possa essere automaticamente licenziato. Non esiste una regola generale in tal senso. Ciò che l'ordinanza n. 3263/2026 afferma è che la legittimità del licenziamento dipende da una valutazione concreta che il giudice compie tenendo conto di più fattori: la qualifica del lavoratore, la natura delle mansioni svolte, la durata del rapporto, la gravità del danno economico subito dall'azienda, la presenza di anomalie riconoscibili nell'email fraudolenta, il comportamento tenuto dopo la scoperta dell'inganno.
Per un'impiegata con esperienza consolidata nel settore contabile, la mancanza di una formazione formale sul phishing non esonera dall'obbligo di effettuare controlli minimi e ragionevoli prima di dare corso a un pagamento. Considerato il rapporto lavorativo trentennale e le mansioni particolarmente qualificanti attribuite alla dipendente, il parametro di giudizio non è solo la presenza di regole scritte o di corsi interni, ma l'ordinaria diligenza esigibile in relazione alle mansioni concretamente svolte.
Un operaio di produzione che non gestisce pagamenti si troverà in una posizione ben diversa rispetto a un contabile con decenni di esperienza nella gestione dei bonifici aziendali. La sentenza non punisce la vittima del phishing in quanto tale, ma sanziona la grave negligenza nell'esercizio di funzioni che impongono un controllo rafforzato.
Cosa si intende per diligenza professionale nel lavoro digitale?
La diligenza professionale nel contesto digitale non coincide con la conoscenza tecnica della cybersicurezza. La Suprema Corte muove da un dato di fondo: chi svolge da lungo tempo mansioni amministrativo-contabili è tenuto a un livello di attenzione particolarmente elevato, specie quando opera su operazioni finanziarie che comportano rischi per il patrimonio aziendale. La lavoratrice non si è limitata a commettere un errore materiale, ma ha dato credito a una comunicazione che, per il suo contenuto, presentava profili di evidente anomalia. In simili circostanze, non è sufficiente invocare l'assenza di dolo o la mancata formazione specifica, perché ciò che rileva è la violazione dei canoni di diligenza professionale richiesti dalla funzione svolta.
Tradotto in pratica, per un dipendente che gestisce pagamenti, la diligenza professionale digitale comprende oggi: la verifica dell'indirizzo email del mittente (non solo del nome visualizzato), la conferma telefonica o in presenza di qualsiasi ordine di pagamento urgente verso l'estero, il rispetto delle procedure aziendali di doppia autorizzazione, la segnalazione immediata ai superiori di ogni anomalia, e — aspetto spesso trascurato — l'attivazione tempestiva per bloccare un'operazione sospetta anche dopo che questa è stata eseguita.
La verifica dell'identità del mittente e il rigoroso rispetto delle procedure di doppia autorizzazione per i pagamenti rappresentano ormai obblighi contrattuali a tutti gli effetti, la cui violazione non ammette deroghe.
Come difendersi dal licenziamento per errore informatico?
Dal punto di vista difensivo, il lavoratore che intenda contestare un licenziamento per giusta causa conseguente a un episodio di phishing deve costruire la propria tesi su elementi concreti e non su argomentazioni generiche. L'assenza di formazione, come chiarito dalla Cassazione n. 3263/2026, non è di per sé sufficiente a escludere la responsabilità. Possono invece risultare rilevanti i seguenti profili: la sofisticazione tecnica dell'attacco (email con dominio identico a quello aziendale, uso dell'intelligenza artificiale per simulare lo stile comunicativo del mittente apparente); l'assenza di procedure aziendali scritte che disciplinino le autorizzazioni ai pagamenti; il fatto che il medesimo tipo di operazione fosse stato eseguito in precedenza con le stesse modalità senza contestazioni; la tempestività della reazione alla scoperta dell'inganno.
L'ordinanza n. 3263/2026 ribadisce che la buona fede non coincide con l'assenza di responsabilità, e che l'esperienza professionale comporta un dovere di attenzione proporzionato alla delicatezza delle mansioni. Ma questo ragionamento ha una conseguenza simmetrica che spesso sfugge:
Redazione - Staff Studio Legale MP
