TeamSystem, Polizia e Manchester: il perimetro cyber italiano ormai passa dai dati

🛡️ Executive Summary

• TeamSystem ha confermato l’esfiltrazione di dati contabili, IBAN, importi e controparti da Contabilità in Cloud, pur non rilevando compromissioni delle credenziali.
• Un listing underground offre un presunto accesso alla webmail della Polizia e a Kodex: l’annuncio esiste, ma il breach del Viminale non è confermato.
• Dopo il breach di Manchester Airports Group, ACN ha monitorato le possibili ricadute italiane: il perimetro cyber non coincide più con il territorio nazionale.

La settimana scorsa Matrice Digitale ha pubblicato in esclusiva il data breach di TeamSystem, società centrale nell’ecosistema italiano dei servizi gestionali, fiscali e contabili. La violazione di Contabilità in Cloud non ha semplicemente esposto informazioni anagrafiche: nel breach TeamSystem pubblicato da Matrice Digitale risultano coinvolti coordinate IBAN, causali, importi e controparti delle movimentazioni. La società ha comunicato che le verifiche non evidenziavano una compromissione delle credenziali e non ha indicato un cambio generalizzato delle password. Una scelta comprensibile dal punto di vista strettamente forense se le credenziali non risultano sottratte, ma sulla quale resta legittima una valutazione prudenziale diversa: dopo un accesso non autorizzato a una piattaforma critica la rotazione delle credenziali, soprattutto se riutilizzate, resta una misura di sicurezza elementare. Il punto più grave, però, non sono nemmeno le password. È ciò che i criminali possono fare con una fotografia dettagliata della vita economica di aziende e professionisti.

TeamSystem dimostra che il dato rubato può valere più della password

Una password permette di tentare un accesso. Una causale, un importo, un fornitore ricorrente e un IBAN permettono invece di costruire una storia credibile. È questa la frontiera che Matrice Digitale ha seguito negli ultimi mesi analizzando il passaggio dal phishing industriale alle frodi alimentate da informazioni autentiche. Nell’analisi sulla persistenza criminale e sul phishing costruito sui dati reali dei clienti emerge chiaramente che il valore di un archivio compromesso non dipende soltanto dalla presenza di password o carte di credito, ma dalla quantità di contesto che può essere restituita all’attaccante. Nel caso TeamSystem quel contesto è direttamente finanziario: chi conosce una fattura reale, una controparte abituale e l’importo normalmente pagato non deve più inventare una truffa. Deve soltanto inserirsi dentro una relazione economica già esistente.

Trenitalia aveva già mostrato lo stesso problema sui dati di viaggio

Lo stesso meccanismo era apparso con il data breach di Trenitalia sui dati dei passeggeri, dove password e carte non risultavano compromesse ma erano stati esposti nomi, recapiti e informazioni sui viaggi. Anche allora il problema più serio arrivava dopo l’intrusione: un criminale che conosce tratta, orario e dati del passeggero può costruire un falso rimborso o una modifica alla prenotazione quasi indistinguibile da una comunicazione autentica. TeamSystem porta questa logica su un piano ancora più delicato perché il contesto diventa economico e contabile. Non serve impossessarsi direttamente del conto corrente quando si possono convincere amministratori, dipendenti o professionisti a eseguire spontaneamente un pagamento verso coordinate modificate.

Leggi anche: Oltre il panico da data breach: perché i dati di viaggio alimentano il social engineering di nuova generazione

Dopo TeamSystem arriva il presunto accesso alla webmail della Polizia

Nelle ultime ore Matrice Digitale ha portato in evidenza un altro caso che deve essere trattato con una cautela ancora maggiore: una presunta webmail della Polizia italiana messa in vendita su un forum underground. Il venditore associa l’accesso al ministero dell’Interno, a Kodex, a documentazione e a presunti portali utilizzati dalle forze dell’ordine. Ma la differenza tra giornalismo e amplificazione di un annuncio criminale sta precisamente qui: il listing esiste, il breach del Viminale non è stato dimostrato. Account appena creati, archivi riciclati, credenziali scadute e dati provenienti da incidenti precedenti vengono continuamente rimessi in vendita nei mercati underground. Prima di parlare di compromissione dello Stato servono campioni, log, riscontri tecnici o una conferma istituzionale.

Gli archivi criminali possono essere veri, vecchi oppure ricomposti

La prudenza non significa sottovalutare l’evento. Significa sapere come funziona il mercato. Un database sottratto anni prima può essere ripubblicato come nuovo; una singola casella compromessa può essere presentata come accesso all’intera infrastruttura; credenziali non più valide possono essere vendute insieme a screenshot autentici per aumentarne il valore percepito. Matrice Digitale ha già mostrato con il caso Spaggiari e la successiva scomparsa dei dati dal leak site quanto lo stato di una rivendicazione underground possa cambiare rapidamente senza offrire automaticamente una spiegazione certa. È per questo che, nel caso della Polizia, la prima regola è distinguere la disponibilità dichiarata dalla disponibilità realmente verificata.

Una casella della Polizia può diventare una credenziale verso altri sistemi

Il problema, se l’accesso fosse autentico, non sarebbe soltanto leggere la posta di un appartenente alle forze dell’ordine. Una mail istituzionale può servire per identificarsi verso piattaforme che gestiscono richieste investigative, reset di accessi e procedure riservate. L’Italia conosce già il rischio dell’impersonificazione delle autorità anche sul fronte opposto: nelle campagne di false email attribuite alla Polizia i criminali sfruttano nome, simboli e credibilità istituzionale per indurre le vittime a rispondere o consegnare informazioni. Con una vera identità governativa compromessa il livello cambia: l’impersonificazione non sarebbe più soltanto grafica, ma potrebbe partire da un’infrastruttura capace di superare alcuni controlli di fiducia.

Il precedente del Viminale era già dentro il problema del perimetro cibernetico

Non è quindi casuale che il dossier della webmail si inserisca in una questione che Matrice Digitale segue da anni. Nel febbraio 2026, nell’inchiesta su Digos, Sapienza, NIS2 e silenzi istituzionali, il punto era già la porosità di un sistema nel quale informazioni sensibili, amministrazioni e infrastrutture pubbliche non possono essere protette considerando separatamente ogni incidente. Il perimetro cibernetico non è un muro. È un insieme di identità, fornitori, cloud, caselle, endpoint e procedure autorizzative. Una webmail può sembrare un elemento periferico fino a quando non diventa il requisito necessario per accedere a un servizio più sensibile.

Manchester dimostra che il perimetro italiano può trovarsi fuori dall’Italia

E poi c’è Manchester Airports Group. Matrice Digitale ha pubblicato il caso quando l’incidente è emerso, ricostruendo nel data breach degli aeroporti di Manchester, Stansted ed East Midlands il furto di informazioni relative a parcheggi, lounge, Fast Track e registrazioni Wi-Fi. Il punto non era soltanto l’azienda britannica colpita. Dentro quegli archivi possono esserci cittadini di qualsiasi nazionalità, compresi italiani che hanno transitato negli aeroporti inglesi, lasciando email, numeri telefonici, targhe e informazioni collegate ai servizi acquistati. Il server è britannico. L’aeroporto è britannico. La vittima potenziale può essere italiana.

Matrice Digitale ha pubblicato il monitoraggio ACN sulle ricadute italiane

Ed è qui che arriva il passaggio che modifica la lettura dell’intero problema. Il 30 agosto Matrice Digitale ha pubblicato l’allerta con cui ACN e CSIRT Italia monitorano le possibili ricadute degli incidenti negli aeroporti inglesi sugli utenti italiani. L’Agenzia ha chiarito che non risultavano incidenti negli aeroporti italiani, ma ha contemporaneamente richiamato il rischio per chi fosse transitato nelle infrastrutture britanniche coinvolte e la possibilità che informazioni riferibili a cittadini italiani potessero finire nella disponibilità degli attaccanti. Questa è la notizia politica e strategica più importante: l’interesse della cybersicurezza nazionale non si ferma più al punto in cui termina fisicamente il territorio della Repubblica.

Il dato italiano diventa parte del perimetro anche quando è custodito all’estero

Non è un’interpretazione nata oggi. Nel confronto pubblicato da Matrice Digitale con Luca Nicoletti di ACN, il nuovo perimetro della cybersicurezza viene esplicitamente descritto come qualcosa che non coincide più con i confini geografici dello Stato. Cloud, software, infrastrutture, hardware e supply chain sono distribuiti globalmente e un servizio utilizzato da cittadini italiani può dipendere integralmente da sistemi collocati in un altro Paese. Manchester traduce questa teoria in un caso molto semplice da comprendere: se il dato di un italiano viene raccolto da una società inglese e successivamente sottratto, quella sottrazione può produrre un rischio italiano pur non essendoci stato alcun attacco contro un’infrastruttura italiana.

Il perimetro cibernetico non è più una cartina geografica

Matrice Digitale aveva già posto questa domanda nel dossier sul perimetro cibernetico italiano tra Olimpiadi, Cloudflare, Alibaba e Qatar: cosa resta di un confine nazionale quando funzioni essenziali, piattaforme e dati dipendono da fornitori e infrastrutture extraterritoriali? Manchester offre una risposta concreta. Il perimetro segue il dato e la funzione che quel dato svolge, non soltanto il rack nel quale viene conservato. Un cittadino può essere fisicamente a Napoli, utilizzare una piattaforma statunitense, prenotare un servizio britannico e consegnare informazioni a un’infrastruttura cloud ospitata altrove. Per l’attaccante queste distinzioni amministrative non esistono.

La maturità di ACN si misura anche nel guardare oltre il territorio

Da questo punto di vista, il monitoraggio sulle ricadute degli aeroporti inglesi rappresenta anche un segnale di maturazione del sistema nazionale. Matrice Digitale ha criticato più volte i limiti dell’Agenzia, compresa la distanza tra compliance e vera capacità di sovranità, come nell’analisi sul dopo Frattasi e sulla cybersicurezza italiana. Proprio per questo va riconosciuto quando il perimetro viene letto correttamente. Non aspettare che un attacco arrivi fisicamente su un’infrastruttura italiana, ma valutare gli effetti che un incidente internazionale può avere sui cittadini del Paese, significa superare una visione amministrativa e territoriale della sicurezza.

Continua con:

• ACN, Frattasi lascia e Quacivi eredita la guerra interna della cybersicurezza italiana
• Trump, Meloni e la guerra segreta per ACN: il nodo della sovranità cibernetica italiana

I dati degli italiani saranno sempre più materia di guerra cibernetica

Il passaggio finale riguarda la geopolitica. I dati economici di TeamSystem sono appetibili per il cybercrime perché permettono di monetizzare. Una casella della Polizia, se realmente compromessa, avrebbe un valore differente perché appartiene alla sfera istituzionale. I dati di viaggio rubati all’estero possono invece descrivere movimenti, abitudini e relazioni di cittadini che non hanno mai avuto alcun rapporto diretto con l’infrastruttura cyber italiana. È precisamente questa sovrapposizione tra criminalità, intelligence e infrastrutture globali che Matrice Digitale ha indicato nella propria analisi sulla sovranità italiana dentro il nuovo equilibrio tra politica, ACN e dipendenze tecnologiche. In un momento nel quale l’Italia assume posizioni sempre più definite sul piano internazionale, anche dataset apparentemente ordinari possono acquisire un valore strategico molto maggiore di quello che il singolo cittadino attribuisce loro. TeamSystem, il presunto accesso alla Polizia e Manchester raccontano quindi tre livelli dello stesso problema. Il primo dimostra che un archivio economico può essere trasformato in una macchina per il social engineering. Il secondo ricorda che una credenziale istituzionale può valere più del singolo contenuto conservato nella casella. Il terzo dimostra che il dato italiano continua a essere italiano dal punto di vista del rischio anche quando si trova fuori dai confini nazionali. È questa la dimensione nella quale si giocherà una parte crescente della sovranità tecnologica italiana discussa nel confronto con ACN: non soltanto difendere server collocati sul territorio, ma conoscere, seguire e proteggere l’impronta digitale del Paese ovunque venga prodotta, conservata o utilizzata.