Un clic può costare il posto: la Cassazione e la "truffa del CEO"
Con l'ordinanza n. 3263 del 13 febbraio 2026, la Corte di Cassazione ha confermato il licenziamento per giusta causa di una dipendente caduta in una frode di tipo CEO fraud. Una decisione destinata a fare scuola — e a cambiare il modo in cui parliamo di formazione sulla sicurezza.
Lo schema è tra i più insidiosi del phishing aziendale, e ha un nome ormai noto: CEO fraud, o business email compromise. Arriva una mail apparentemente firmata dal vertice dell'azienda, con una richiesta urgente di pagamento verso l'estero. Chi la riceve, sotto la pressione dell'autorità e dell'urgenza, esegue. E i soldi finiscono agli hacker.
Fin qui, un classico. La novità sta in come è finita questa volta.
Il caso
Una dipendente addetta alla contabilità, in servizio da oltre trent'anni presso la stessa azienda, riceve nel luglio 2022 una mail apparentemente proveniente dal presidente della società, che le chiede di disporre un bonifico verso una società del Regno Unito per generiche "spese estere". Lei esegue: oltre 15.000 euro.
Il messaggio, a ben guardare, era pieno di campanelli d'allarme: causale vaga, nessuna fattura o documento a supporto, mancanza dei dati bancari normalmente richiesti dalle procedure interne per i pagamenti internazionali. E c'è di più: il giorno seguente il vero presidente invia una mail che segnala la frode — eppure la dipendente, pur avendo davanti a sé l'intera giornata lavorativa, non si attiva per bloccare l'operazione.
L'azienda la licenzia per giusta causa e le chiede la restituzione dell'intera somma. Lei impugna il licenziamento, sostenendo tra l'altro di non aver mai ricevuto una formazione specifica sul phishing. Tribunale e Corte d'Appello le danno torto. La vicenda arriva in Cassazione.
Cosa ha deciso la Corte - il precedente
La Cassazione conferma la legittimità del licenziamento. Il punto giuridicamente più rilevante — quello che rende questa ordinanza un precedente da citare — riguarda proprio la formazione.
La difesa aveva puntato sull'assenza di corsi aziendali sul phishing come attenuante. La Corte respinge l'argomento: l'assenza di formazione specifica non elimina il dovere di diligenza. Per chi svolge da anni mansioni amministrativo-contabili, il livello di diligenza richiesto dall'art. 2104 del Codice Civile assume una connotazione "qualificata". Non basta eseguire meccanicamente le richieste ricevute: occorre valutarne coerenza, attendibilità e conformità alle procedure. Di fronte a una richiesta di pagamento con anomalie evidenti, il buon senso professionale impone di fermarsi e verificare — un contatto telefonico diretto con il presunto mittente sarebbe bastato — a prescindere da qualsiasi corso.
In altre parole, la Corte sposta parte del baricentro dalla mera compliance organizzativa alla responsabilità individuale del lavoratore qualificato. La truffa è opera di terzi, certo, ma questo non esclude di per sé la responsabilità disciplinare: ciò che conta è se la condotta, valutata alla luce del ruolo e del contesto, riveli o meno una grave negligenza.
Cosa cambia per la formazione aziendale
Questo è un caso che, d'ora in poi, citerò nei corsi di formazione cyber.
Fino a ieri, la formazione sulla sicurezza si poteva "subire" distrattamente, ascoltando a metà mentre si fa altro, con la sensazione che tanto la responsabilità fosse di qualcun altro — l'IT, l'azienda, i sistemi. Questa ordinanza chiude quella comoda via di fuga: è in gioco il posto di lavoro, e potenzialmente il patrimonio personale, visto che alla dipendente è stata chiesta la restituzione della somma.
Ma attenzione a non leggere la sentenza a senso unico. Vale anche — e forse soprattutto — per i datori di lavoro, e in due direzioni.
La prima: la decisione conferma che il miglior modo per un'azienda di tutelarsi è un serio programma di formazione e awareness continua, non una tantum. Non un corso all'anno da archiviare, ma addestramento costante e test di phishing simulato che mettano davvero alla prova le persone. È esattamente ciò che richiedono, ciascuna a suo modo, la ISO/IEC 27001, la NIS2 e DORA. Una formazione senza verifiche reali non risolve il problema: la gente continuerà a cliccare.
La seconda, più scomoda: un'organizzazione che affida la sicurezza di bonifici internazionali esclusivamente all'accortezza di un singolo impiegato ha un problema di processo, non solo di persone. Se una singola mail può generare un bonifico estero non autorizzato, quel processo resta vulnerabile anche dopo il licenziamento del dipendente. La contromisura strutturale è il principio del doppio controllo (four-eyes principle): per i pagamenti verso l'estero, una seconda approvazione o una verifica su un canale indipendente. La responsabilità individuale, insomma, non assolve l'azienda dal dovere di costruire processi robusti.
Perché la sicurezza, alla fine, è sempre un intreccio delle due cose: persone consapevoli e processi ben progettati. La Cassazione ha ricordato alle prime le loro responsabilità. Sta alle aziende non dimenticare le proprie.
Riferimento: Corte di Cassazione, sez. lavoro, ordinanza n. 3263 dell'8 gennaio – 13 febbraio 2026. L'articolo ha finalità divulgative e non costituisce parere legale.
Commenti
Posta un commento