Il 24 agosto 2026 TeamSystem ha rilevato un accesso non autorizzato al software Contabilità in Cloud: gli attaccanti hanno esfiltrato dati anagrafici, dati di contatto e coordinate bancarie delle imprese clienti. Non è un incidente che riguarda solo chi usa quel gestionale: è l'ennesima dimostrazione che, quando i dati aziendali vivono nel cloud di un fornitore, il perimetro da difendere non finisce alla porta dell'ufficio.
Che cosa è successo
Secondo quanto comunicato dalla stessa TeamSystem ai propri clienti, dal pomeriggio del 24 agosto 2026 è stato rilevato un accesso non autorizzato al software Contabilità in Cloud, con conseguente sottrazione dei dati personali presenti nell'applicativo. La comunicazione ai clienti è arrivata nei giorni immediatamente successivi, il 26 e 27 agosto.
L'Agenzia per la Cybersicurezza Nazionale ha circoscritto le categorie di informazioni coinvolte: dati anagrafici, dati di contatto (email e numeri di telefono) e coordinate bancarie, cioè gli IBAN. Alcune ricostruzioni giornalistiche riferiscono che l'esfiltrazione avrebbe riguardato anche movimenti contabili con causali, importi e controparti. L'Agenzia ha inoltre precisato che l'incidente non ha avuto impatto diretto sui singoli cittadini, ma sulle imprese clienti dell'azienda.
Restano al momento senza risposta pubblica tre domande importanti: qual è stato il vettore iniziale dell'intrusione, quale vulnerabilità sia stata sfruttata e quanti profili siano effettivamente interessati dalla violazione. È un dettaglio non secondario, perché senza il numero di soggetti coinvolti è difficile per ogni singola azienda capire se e quanto sia esposta.
Perché un IBAN rubato vale più di una password
Quando si parla di violazione di dati si pensa quasi sempre alle credenziali. Qui la partita è diversa: un IBAN, associato alla ragione sociale, all'indirizzo email e al numero di telefono di chi lo utilizza, è la materia prima ideale per la frode più redditizia degli ultimi anni, il cosiddetto IBAN swapping.
Il meccanismo è semplice e per questo funziona. L'azienda riceve una comunicazione — via email, a volte accompagnata da una telefonata — che annuncia il cambio delle coordinate bancarie di un fornitore conosciuto. Il messaggio è credibile perché contiene informazioni vere: il nome giusto, la fattura giusta, l'importo giusto, il vecchio IBAN corretto. Il bonifico parte verso il conto dei criminali e, nella maggior parte dei casi, quando ci si accorge dell'errore i soldi sono già stati prelevati.
Ranieri Razzante, docente e studioso di cybercrime, ha commentato l'accaduto invitando le imprese a prestare "veramente molto attenzione ai movimenti bancari di questi giorni" e a bloccare tempestivamente i pagamenti sospetti. È il consiglio giusto, ma va trasformato in procedura: nelle settimane successive a una fuga di dati di questo tipo le campagne di phishing mirato aumentano, e diventano molto più difficili da riconoscere proprio perché partono da informazioni autentiche.
Cosa fare adesso, in concreto
Che la vostra azienda usi o meno il gestionale coinvolto, questa è un'occasione per verificare alcune misure che dovrebbero essere già operative:
- Doppia verifica su ogni cambio di IBAN. Nessuna variazione di coordinate bancarie va accettata sulla base di una email, per quanto convincente. La conferma si chiede telefonicamente, chiamando un numero già in rubrica e mai quello indicato nel messaggio.
- Regola dei quattro occhi sui pagamenti. Sopra una certa soglia, ogni bonifico verso un IBAN nuovo o modificato deve essere autorizzato da due persone diverse.
- Monitoraggio dei movimenti e alert bancari. Attivare le notifiche sulle disposizioni e controllare l'estratto conto con più frequenza del solito nelle prossime settimane.
- Autenticazione a più fattori su tutti i gestionali cloud, non solo sulla posta elettronica. È la misura che, da sola, blocca la maggior parte degli accessi non autorizzati basati su credenziali rubate.
- Revisione degli accessi. Verificare chi ha davvero bisogno di entrare nei software contabili e gestionali, disattivare gli utenti non più in forza, controllare i log degli accessi recenti.
- Avvisare le persone giuste. Amministrazione, contabilità e chiunque gestisca pagamenti devono sapere che è in corso una situazione di rischio elevato: la consapevolezza è più efficace di qualunque filtro antispam.
Il vero tema: la sicurezza della catena di fornitura
TeamSystem è un'azienda strutturata, con competenze e risorse dedicate alla sicurezza informatica. Se un incidente del genere può colpire un fornitore di quelle dimensioni, la conclusione non è che il cloud sia insicuro: è che il rischio informatico di un'impresa comprende anche quello dei suoi fornitori.
È esattamente la direzione in cui spinge la direttiva NIS2, che chiede alle organizzazioni in perimetro di valutare e presidiare la sicurezza della propria catena di fornitura. Ma anche per le PMI che non rientrano formalmente negli obblighi, alcune domande andrebbero poste a ogni fornitore di software gestionale, prima della firma e non dopo un incidente: dove sono ospitati i dati, chi vi ha accesso, con quali tempi vengono comunicate le violazioni, quali garanzie contrattuali esistono sul recupero e sulla continuità del servizio, quali certificazioni sono in essere.
Va ricordato anche il quadro normativo sulla protezione dei dati: il titolare del trattamento è tenuto a notificare la violazione al Garante privacy senza ingiustificato ritardo e, quando possibile, entro 72 ore, informando gli interessati nei casi di rischio elevato. Le aziende clienti, dal canto loro, restano titolari dei dati dei propri clienti e fornitori presenti nel gestionale: la comunicazione ricevuta va conservata e la propria posizione va valutata con attenzione, meglio se con il supporto del consulente privacy.
Prepararsi, non rincorrere
Gli incidenti che coinvolgono i fornitori non si possono evitare, si possono solo assorbire. La differenza tra un'azienda che se la cava con qualche giorno di attenzione in più e una che perde decine di migliaia di euro in un bonifico sbagliato non sta negli strumenti tecnologici: sta nell'avere procedure chiare, persone informate e qualcuno che monitori davvero cosa succede sui sistemi.
Se non avete ancora definito una procedura per la verifica dei pagamenti, se l'autenticazione a più fattori non è attiva ovunque o se non sapete con precisione quali dati aziendali risiedono sui cloud dei vostri fornitori, questo è il momento giusto per farsi affiancare da un partner IT specializzato e mettere ordine, prima che sia un incidente a imporlo.