TeamSystem, data breach su Contabilità in Cloud: esfiltrati IBAN e movimenti

🛡️ Executive Summary

• TeamSystem ha rilevato dal pomeriggio del 24 agosto un accesso non autorizzato al software Contabilità in Cloud con conseguente esfiltrazione di dati.
• La violazione coinvolge dati anagrafici, contatti, coordinate IBAN e informazioni sulle movimentazioni contabili, comprese causali, importi e controparti.
• Le credenziali non risultano compromesse, ma clienti e aziende devono prepararsi a phishing, frodi sui pagamenti e tentativi di impersonificazione molto credibili.

TeamSystem ha comunicato una violazione dei dati personali che ha coinvolto il software Contabilità in Cloud, utilizzato da imprese, professionisti e consulenti per registrare e amministrare informazioni finanziarie. L’incidente, rilevato dal pomeriggio del 24 agosto 2026, avrebbe comportato un accesso non autorizzato e la successiva esfiltrazione di dati anagrafici, recapiti, coordinate bancarie e contenuti delle movimentazioni contabili. Le verifiche non hanno finora rilevato un impatto sulle credenziali di accesso, ma la combinazione tra IBAN, importi, causali e controparti può alimentare campagne di phishing, frodi sui pagamenti e impersonificazioni aziendali molto più credibili delle normali comunicazioni criminali inviate su larga scala.

TeamSystem conferma accesso non autorizzato ed esfiltrazione dei dati

L’incidente è stato rilevato il 24 agosto

La comunicazione inviata ai clienti identifica con chiarezza la natura generale dell’evento: TeamSystem ha riscontrato un incidente di sicurezza informatica a partire dal pomeriggio del 24 agosto 2026 e, sulla base degli elementi raccolti fino al momento dell’avviso, ha accertato un accesso non autorizzato al software Contabilità in Cloud. L’intrusione avrebbe determinato anche una vera e propria esfiltrazione, vale a dire la copia o il trasferimento dei dati verso un ambiente controllato da soggetti non autorizzati. Non si tratta quindi della semplice indisponibilità temporanea di un servizio, di un errore di configurazione privo di accessi accertati o di una generica anomalia ancora da qualificare.

La società riconosce una perdita di riservatezza delle informazioni personali presenti nella piattaforma, pur precisando che le analisi restano in corso. Il riferimento a un “sofisticato incidente” appartiene alla formulazione utilizzata da TeamSystem, ma la comunicazione non contiene elementi tecnici sufficienti per stabilire in che cosa consista questa sofisticazione. Non vengono indicati il vettore iniziale, la vulnerabilità eventualmente sfruttata, la presenza di malware, l’abuso di credenziali privilegiate, la compromissione di un’integrazione o il coinvolgimento di un fornitore esterno. Allo stesso modo, non emergono riferimenti a cifratura dei sistemi, richieste di riscatto o rivendicazioni pubbliche. Parlare già di ransomware, supply chain attack o attore criminale specifico significherebbe quindi oltrepassare i fatti confermati.

Restano ignoti perimetro, durata e numero degli interessati

La prima comunicazione non quantifica il numero dei clienti, delle aziende o delle persone fisiche coinvolte e non chiarisce se l’attaccante abbia raggiunto l’intero ambiente di Contabilità in Cloud oppure un insieme circoscritto di account, database o tenant. Manca anche una finestra temporale completa: il pomeriggio del 24 agosto indica quando TeamSystem ha riscontrato l’incidente, non necessariamente quando è iniziato l’accesso illegittimo. La differenza è rilevante perché il tempo trascorso tra la compromissione iniziale e il rilevamento determina quante interrogazioni, esportazioni o copie dei dati possano essere state effettuate. Non è specificato neppure se le informazioni archiviate fossero cifrate a riposo, se l’attaccante abbia avuto accesso a dati già decifrati attraverso l’applicazione o se siano stati esfiltrati file strutturati, documenti e backup. Sono proprio questi elementi a permettere una valutazione completa della gravità. La differenza tra data breach, data leak e perdita di controllo sul dato conta sul piano investigativo, ma in questo caso TeamSystem indica esplicitamente sia l’accesso non autorizzato sia l’esfiltrazione. Resta invece aperta la ricostruzione della catena d’attacco, che dovrà chiarire identità utilizzate, privilegi acquisiti, risorse consultate, volume dei dati sottratti, persistenza dell’intruso e modalità con cui l’accesso è stato contenuto.

Il contenuto delle scritture contabili aumenta il valore del data breach

Esposti dati anagrafici, contatti e coordinate IBAN

La comunicazione elenca quattro categorie principali di informazioni coinvolte: dati anagrafici, dati di contatto, coordinate bancarie IBAN e contenuto delle movimentazioni contabili registrate dagli utenti. Non viene fornita una granularità ulteriore sui primi due gruppi, che potrebbero includere, a seconda delle informazioni effettivamente inserite nel software, nomi, cognomi, denominazioni aziendali, indirizzi, email, numeri telefonici o altri identificativi. Il dato più immediatamente riconoscibile è l’IBAN, che da solo non equivale alla disponibilità di una password bancaria e normalmente non consente a un criminale di accedere al conto corrente. La sua combinazione con identità, recapiti e informazioni commerciali aumenta però la capacità di costruire frodi credibili. Un aggressore può conoscere la banca utilizzata, presentarsi come un addetto dell’istituto, fingere una verifica sul conto o inviare comunicazioni che contengono coordinate reali per superare la diffidenza iniziale della vittima. Il rischio non deve essere descritto come una sottrazione automatica di denaro, ma neppure ridotto sostenendo che un IBAN sia sempre innocuo. Nel contesto di un archivio contabile, la coordinata bancaria può essere collegata a clienti, fornitori, importi e causali, trasformandosi in un tassello utile per impersonificazioni, falsi controlli antifrode e manipolazioni delle procedure di pagamento.

Causali e controparti rivelano relazioni economiche sensibili

Il contenuto delle movimentazioni contabili rappresenta probabilmente l’elemento più delicato della violazione. TeamSystem cita espressamente, a titolo esemplificativo, causali, importi e controparti indicate. Queste informazioni possono descrivere la vita economica di un’attività con un livello di precisione superiore a quello offerto da un normale database di contatti. Le causali possono rivelare il motivo di un pagamento, la natura di un servizio, il riferimento a una fattura o la presenza di un rapporto professionale. Gli importi consentono di stimare il valore delle transazioni e individuare quelle più adatte a una frode. Le controparti mostrano invece chi paga chi, quali fornitori sono ricorrenti, quali clienti hanno rapporti continuativi e quali soggetti potrebbero essere impersonificati. La piattaforma viene presentata dalla stessa azienda come uno strumento destinato alla gestione complessiva della contabilità e della fatturazione: le funzionalità ufficiali di Contabilità in Cloud comprendono processi che possono concentrare informazioni amministrative rilevanti. Ciò non significa che ogni singolo utente abbia esposto tutte le categorie possibili, perché TeamSystem precisa che i dati interessati corrispondono a quelli effettivamente inseriti nel software. Significa però che il rischio deve essere valutato sul contenuto reale di ciascun ambiente e non soltanto sulla categoria astratta del servizio violato.

Le credenziali non risultano compromesse ma il rischio resta concreto

L’assenza delle password limita una parte dell’impatto

TeamSystem afferma che, alla data della comunicazione, le verifiche non hanno rilevato un impatto sulle credenziali di accesso. È un’informazione importante perché riduce, sulla base delle evidenze disponibili, il rischio di accesso diretto agli account attraverso username e password sottratti dal software. La precisazione deve tuttavia essere letta nella sua formulazione temporale: “ad oggi” e “le verifiche in corso” indicano un risultato provvisorio, suscettibile di aggiornamento con l’avanzare dell’indagine forense. L’assenza di credenziali nel materiale esfiltrato non elimina inoltre i rischi derivanti dalle altre informazioni. Un attaccante in possesso di nome, contatti, IBAN e movimenti può utilizzare questi dati per convincere la vittima a consegnare autonomamente password, codici temporanei o autorizzazioni.

È il passaggio dal furto diretto delle credenziali alla loro acquisizione tramite social engineering informato. Per questo motivo non esiste una contraddizione tra l’affermazione di TeamSystem e la necessità di mantenere un livello elevato di attenzione. La password potrebbe non essere stata rubata, ma una falsa email capace di citare una transazione reale, una controparte conosciuta e un importo plausibile dispone di molte più probabilità di ingannare il destinatario.

I dati contabili possono alimentare phishing altamente personalizzato

Le campagne più pericolose non dovranno necessariamente riprodurre graficamente il portale TeamSystem. Potrebbero presentarsi come comunicazioni di un commercialista, di un cliente, di un fornitore, della banca o dello stesso servizio di assistenza. Un messaggio potrebbe sostenere che una registrazione deve essere corretta, che un pagamento è stato respinto, che una fattura contiene un errore o che l’IBAN richiede una nuova verifica. La presenza di riferimenti autentici riduce gli errori visibili che normalmente permettono di riconoscere il phishing. Gli aggressori potrebbero anche utilizzare telefonate e messaggi successivi all’email, costruendo una sequenza multicanale nella quale ogni contatto conferma apparentemente il precedente. Il valore dei dati di viaggio rubati nel social engineering aveva già mostrato come informazioni contestuali possano diventare più pericolose di una password isolata; nel caso di Contabilità in Cloud, il contesto è direttamente economico. Occorre quindi diffidare delle richieste che citano il data breach come motivo per accedere a un link, installare software di assistenza remota, comunicare codici ricevuti via SMS o confermare dati bancari. Una vera procedura di messa in sicurezza non dovrebbe chiedere alla vittima di consegnare credenziali, OTP o autorizzazioni dispositive attraverso email, telefonate o moduli raggiunti da collegamenti non verificati.

IBAN e controparti aprono il rischio di frodi sui pagamenti

La sostituzione delle coordinate bancarie diventa più credibile

Uno scenario particolarmente concreto riguarda la frode del falso cambio IBAN. Il criminale può impersonare un fornitore reale e comunicare che le coordinate di pagamento sono cambiate, allegando una fattura o citando un rapporto economico esistente. Se conosce nome della controparte, frequenza dei pagamenti e importi abituali, può scegliere il momento più credibile per intervenire. Non è necessario compromettere la casella email della vittima quando le informazioni sottratte permettono di produrre un messaggio sufficientemente preciso. L’attaccante può registrare un dominio simile a quello del fornitore, utilizzare un indirizzo visivamente compatibile o contattare telefonicamente l’ufficio amministrativo fingendo di voler confermare la variazione. Il bonifico viene quindi indirizzato verso un conto controllato direttamente o attraverso prestanome. La misura più efficace non consiste nell’affidarsi alla sola coerenza del documento ricevuto, ma nel verificare ogni variazione bancaria attraverso un canale indipendente e già conosciuto. Il numero telefonico non deve essere quello riportato nell’email sospetta, mentre l’identità dell’interlocutore deve essere controllata secondo una procedura aziendale. L’esposizione dell’IBAN originale può essere utilizzata anche per rendere più credibile la falsa comunicazione: il truffatore mostra di conoscere le vecchie coordinate e presenta le nuove come un aggiornamento amministrativo.

Commercialisti e uffici amministrativi diventano bersagli privilegiati

Gli utenti di un software contabile non coincidono necessariamente con i soli titolari delle informazioni. Commercialisti, consulenti e personale amministrativo possono gestire più aziende e rappresentare quindi punti di accesso privilegiati alle relazioni economiche di numerosi soggetti. La comunicazione qualifica TeamSystem come licenziante del software e responsabile del trattamento ai sensi dell’articolo 28 del GDPR, lasciando intendere una filiera nella quale il cliente utilizza il servizio per trattare dati riferiti anche a dipendenti, fornitori, professionisti e altre controparti. La compromissione di una piattaforma condivisa può quindi produrre effetti che si estendono oltre il destinatario diretto dell’avviso. Il rischio di terza parte emerge anche negli incidenti in cui piattaforme utilizzate da consulenti e grandi aziende concentrano documenti personali e finanziari. Per gli studi professionali diventa essenziale identificare quali clienti siano presenti nell’ambiente coinvolto, quali categorie di persone compaiano nelle registrazioni e quali controparti possano essere raggiunte attraverso i dati esfiltrati. La risposta non può limitarsi alla protezione dell’account TeamSystem: deve includere le procedure con cui vengono autorizzati bonifici, modificati i dati dei fornitori, gestite le richieste urgenti e comunicate le anomalie ai clienti.

La comunicazione richiama gli obblighi previsti dal GDPR

TeamSystem scrive come responsabile del trattamento

Nel testo TeamSystem dichiara di operare come responsabile del trattamento ai sensi dell’articolo 28 del Regolamento europeo 2016/679 e informa il cliente richiamando l’articolo 33, paragrafo 2. Questa disposizione stabilisce che il responsabile, dopo essere venuto a conoscenza di una violazione dei dati personali, debba informare il titolare del trattamento senza ingiustificato ritardo. La comunicazione ricevuta non rappresenta quindi soltanto un avviso commerciale: attiva la circolazione delle informazioni necessarie affinché i soggetti coinvolti possano valutare i rispettivi obblighi. Nel modello tipico di un servizio cloud, il fornitore tratta le informazioni per conto del cliente, mentre quest’ultimo determina finalità e modalità essenziali del trattamento. La qualificazione concreta può dipendere dai contratti e dalle singole attività, ma il richiamo normativo contenuto nell’avviso attribuisce chiaramente alla comunicazione una funzione prevista dal GDPR. La disciplina europea su titolari, responsabili e sicurezza dei dati richiede che la gestione dell’incidente segua la filiera effettiva del trattamento. Un’azienda che riceve l’avviso deve quindi coinvolgere tempestivamente il responsabile privacy o il DPO, quando nominato, conservare la comunicazione e verificare quali trattamenti propri siano interessati.

La comunicazione agli interessati non coincide con la notifica al Garante

Il messaggio cita l’articolo 33, paragrafo 2, ma la gestione complessiva può coinvolgere anche gli altri obblighi previsti dal Regolamento. Il Garante per la protezione dei dati personali chiarisce le regole sui data breach distinguendo la notifica all’Autorità dalla comunicazione alle persone interessate. Il titolare deve notificare una violazione al Garante senza ingiustificato ritardo e, quando possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone fisiche. Quando il rischio è elevato, può diventare necessaria anche una comunicazione diretta agli interessati. Non è possibile stabilire dal solo screenshot quali adempimenti siano già stati completati da TeamSystem, quali spettino ai clienti o quale valutazione sia stata condivisa con l’Autorità. La presenza di IBAN e movimentazioni contabili rende comunque necessaria un’analisi sostanziale, fondata su volume, granularità, cifratura, possibilità di identificazione e concrete modalità di abuso. Il precedente della sanzione a Wind Tre per il data breach e le carenze nella gestione delle informazioni conferma che la conformità non si esaurisce nell’invio di un avviso: contano l’adeguatezza delle misure, la tempestività, la completezza della valutazione e la capacità di documentare le decisioni adottate.

Cosa devono fare clienti, aziende e professionisti coinvolti

Verificare comunicazioni, pagamenti e accessi senza reagire al panico

I destinatari dell’avviso devono innanzitutto conservare la comunicazione originale e verificare eventuali aggiornamenti attraverso i canali ufficiali già conosciuti, evitando numeri telefonici o collegamenti ricevuti in messaggi successivi non sollecitati. Anche se le credenziali non risultano compromesse, è opportuno controllare gli accessi recenti, abilitare l’autenticazione a più fattori quando disponibile e sostituire eventuali password riutilizzate su altri servizi. La misura più urgente riguarda però i processi finanziari. Ogni richiesta di modifica dell’IBAN, pagamento urgente, storno, rimborso o verifica bancaria deve essere confermata attraverso una procedura separata. Gli uffici amministrativi dovrebbero essere informati che un interlocutore criminale potrebbe conoscere nomi reali, rapporti commerciali, causali e importi, rendendo insufficiente il semplice controllo di questi dettagli. Le aziende possono introdurre temporaneamente una doppia autorizzazione per le modifiche alle anagrafiche dei fornitori e per i bonifici anomali. È utile monitorare anche messaggi che sembrano provenire da TeamSystem, commercialisti o banche e che utilizzano il breach per creare urgenza. Nessun operatore legittimo dovrebbe chiedere password, codici OTP, token o installazioni di strumenti remoti per “mettere in sicurezza” i dati già esfiltrati.

Mappare le persone presenti nelle registrazioni contabili

Sul piano organizzativo, il cliente deve capire quali dati abbia effettivamente inserito in Contabilità in Cloud e chi siano le persone fisiche identificabili attraverso quelle registrazioni. L’analisi dovrebbe distinguere titolari, dipendenti, collaboratori, clienti, fornitori, referenti e professionisti, evitando di considerare coinvolta automaticamente ogni voce presente nel gestionale. Occorre verificare se le causali contengano informazioni ulteriori, se alcune movimentazioni rivelino rapporti riservati e se le coordinate bancarie appartengano a persone fisiche o imprese individuali. Questa mappatura serve a valutare il rischio, decidere eventuali comunicazioni e predisporre indicazioni realmente utili agli interessati. È altrettanto importante registrare le decisioni assunte, mantenere i contatti con TeamSystem e richiedere gli aggiornamenti tecnici necessari: finestra temporale dell’accesso, quantità dei record, dati effettivamente copiati, misure di cifratura, modalità di contenimento e possibilità che le informazioni siano state pubblicate o offerte a terzi. La sicurezza del cloud dipende anche da identità, segmentazione e controllo degli accessi ai dati, ma dopo un’esfiltrazione la risposta deve estendersi alla protezione delle persone e delle relazioni economiche esposte.

L’indagine deve chiarire come sia stato violato Contabilità in Cloud

Mancano ancora gli elementi per attribuire l’attacco

Il prossimo passaggio decisivo sarà la pubblicazione di informazioni tecniche più precise. Dovrà essere chiarito se l’accesso sia avvenuto attraverso una vulnerabilità applicativa, un account privilegiato, una chiave, una sessione sottratta, un’integrazione o un’infrastruttura esterna. Sarà necessario comprendere se l’incidente abbia coinvolto un singolo ambiente o un numero più ampio di clienti, per quanto tempo l’attaccante sia rimasto all’interno e quali controlli abbiano rilevato l’esfiltrazione. La distinzione tra dati consultati, copiati e materialmente trasferiti deve essere documentata, così come l’eventuale presenza di log capaci di delimitare il perimetro. Fino a quel momento, non esistono basi sufficienti per collegare l’evento a un gruppo ransomware, a una campagna nota o a una rivendicazione criminale. La cautela è particolarmente importante perché gli attori malevoli possono sfruttare la notizia anche senza possedere i dati, fingendosi responsabili dell’incidente o inviando false prove alle vittime. Il solo uso del nome TeamSystem in una richiesta di riscatto, in un’email o in un messaggio Telegram non costituirebbe un’attribuzione attendibile.

Un gestionale contabile concentra dati utili al cybercrime

L’incidente mostra infine perché i software gestionali rappresentino obiettivi di alto valore. Non custodiscono soltanto dati identificativi, ma ricostruiscono rapporti di fiducia, abitudini di pagamento e flussi economici. Un database di questo tipo permette di comprendere come comunica un’azienda, con chi lavora, quanto paga e quali operazioni considera normali. Anche senza password, documenti d’identità o numeri di carta, queste informazioni possono ridurre drasticamente il lavoro necessario per preparare una frode. La conferma dell’esfiltrazione rende quindi insufficiente una risposta limitata al ripristino tecnico del servizio. TeamSystem dovrà circoscrivere il perimetro e fornire indicazioni aggiornate; i clienti dovranno valutare i propri obblighi e rafforzare le procedure; le persone coinvolte dovranno riconoscere comunicazioni costruite con dati reali. L’assenza di credenziali compromesse è una mitigazione importante, non la conclusione dell’incidente. Il rischio principale si sposta dall’accesso immediato all’account alla capacità degli aggressori di trasformare la contabilità sottratta in un manuale operativo per phishing, impersonificazione e frodi finanziarie.