TeamSystem, dati contabili esfiltrati: perché il rischio non si ferma all’Iban

L’attacco che ha colpito la soluzione “Contabilità in Cloud” di TeamSystem merita attenzione per la natura delle informazioni che potrebbero essere finite nelle mani degli aggressori.

Non si parla infatti soltanto di un accesso non autorizzato a un servizio cloud, ma di dati che possono avere un valore significativo per aziende e professionisti.
Secondo la comunicazione inviata agli utenti coinvolti e circolata online, TeamSystem ha individuato l’incidente nel pomeriggio del 24 agosto 2026 e ha successivamente confermato l’esfiltrazione di dati presenti nel servizio.

Attacco a TeamSystem: i dati coinvolti

Tra le informazioni coinvolte figurano dati anagrafici e di contatto, coordinate bancarie IBAN e informazioni sulle movimentazioni contabili, comprese causali, importi e controparti.

TeamSystem ha precisato che, al momento della comunicazione, le verifiche
non avevano evidenziato un coinvolgimento delle credenziali di accesso.

È una distinzione importante, ma non significa che il rischio sia limitato. Username e password non sono l’unico patrimonio che interessa a un criminale informatico.

Sapere chi paga chi, con quale frequenza, per quali importi e utilizzando quali coordinate può essere sufficiente per costruire una frode molto più credibile di una normale email di phishing.
È questo, a mio avviso, l’aspetto più delicato dell’incidente. Anche se le credenziali restano al sicuro, i dati sottratti possono diventare uno strumento operativo per organizzare nuove frodi.

Il problema non è l’IBAN preso da solo

Un IBAN, da solo, difficilmente permette di prendere il controllo di un conto corrente. Il rischio cambia quando quel dato viene associato a nomi, indirizzi email, numeri di telefono, fornitori, importi, scadenze e movimenti contabili.
A quel punto non abbiamo più semplicemente una coordinata bancaria. Abbiamo una fotografia, almeno parziale, delle abitudini finanziarie di un’azienda.
Un aggressore potrebbe capire quali fornitori vengono pagati più spesso, quali importi sono abituali e in quali periodi vengono effettuati determinati pagamenti.

Non gli serve necessariamente conoscere tutta la contabilità. Può essere sufficiente avere alcune informazioni corrette per rendere molto più convincente una richiesta fraudolenta.
È uno scenario già noto nel mondo delle frodi finanziarie: la sostituzione delle coordinate bancarie.
Il criminale può fingersi un fornitore e comunicare un nuovo IBAN, oppure assumere l’identità di una persona dell’amministrazione e chiedere di effettuare un pagamento.

Se la richiesta arriva proprio nel momento in cui l’azienda sta aspettando una fattura o deve eseguire un bonifico, diventa ancora più difficile riconoscere l’anomalia.
Lo stesso meccanismo può essere utilizzato in altre direzioni. Un aggressore potrebbe impersonare un dirigente, un commercialista o un cliente e chiedere con urgenza un documento, una verifica o un trasferimento di denaro.
La forza di queste frodi non sta necessariamente nella sofisticazione tecnica. Sta nella quantità di informazioni autentiche che il criminale può inserire nella conversazione.

Come potrebbe essere utilizzato un dato contabile rubato

Il primo obiettivo potrebbe essere individuare i bersagli più interessanti. I dati contabili consentono, almeno in teoria, di identificare imprese con pagamenti frequenti, fornitori strategici, clienti ricorrenti o transazioni di importo elevato.
Sono interessanti anche i momenti in cui l’attività amministrativa è più intensa: chiusure mensili, scadenze fiscali, pagamenti di fine mese o periodi nei quali vengono normalmente saldate numerose fatture.
Poi arriva il contatto.

L’attaccante può utilizzare email, SMS, WhatsApp o una telefonata. Può presentarsi come un fornitore, un cliente, uno studio professionale, una banca o un dipendente dell’azienda.
La differenza rispetto a un phishing generico è evidente. Il messaggio non deve più limitarsi a dire “abbiamo bisogno di un pagamento”. Può citare una fattura reale, un importo plausibile, il nome di un interlocutore e una scadenza effettiva.
A quel punto l’obiettivo può essere il trasferimento di denaro, ma non necessariamente.
L’aggressore potrebbe cercare anche altre credenziali, documenti, codici OTP o accessi a sistemi aziendali.
Un messaggio potrebbe, per esempio, avere questo tono: “A seguito della migrazione bancaria, vi chiediamo di pagare la fattura n. 248 sul nuovo
conto. Per evitare il blocco della fornitura, confermate oggi”.
Preso da solo, è un messaggio sospetto. Se però contiene il numero corretto della fattura, il nome del fornitore, l’importo previsto e una scadenza reale, la situazione cambia. Una persona che conosce già quella transazione potrebbe considerarlo plausibile e saltare una verifica.
È proprio qui che il dato contabile assume un valore che va oltre il suo significato originario.

Anche la catena di fornitura può essere coinvolta

C’è poi un altro aspetto da non trascurare: la supply chain.
Un’azienda colpita non è necessariamente soltanto la vittima finale. Le informazioni sottratte possono essere utilizzate per raggiungere fornitori, clienti o partner commerciali.
Il nome di un’azienda, associato a rapporti commerciali reali, può diventare un ottimo elemento di impersonificazione. Un attaccante potrebbe sfruttare quelle informazioni per presentarsi a un fornitore come un dipendente dell’azienda compromessa oppure, al contrario, contattare un cliente fingendosi l’azienda stessa.
In questo senso, l’incidente può produrre conseguenze che vanno oltre il perimetro dell’organizzazione direttamente coinvolta.

Cosa dovrebbero fare le aziende interessate

Le organizzazioni che utilizzano il servizio dovrebbero anzitutto verificare se hanno ricevuto una comunicazione diretta da TeamSystem e conservarne il contenuto originale.
È opportuno coinvolgere rapidamente le persone che gestiscono amministrazione, tesoreria, IT e privacy, insieme alla direzione e a chi autorizza i pagamenti. Se presente, anche il DPO dovrebbe essere coinvolto nella valutazione.
Da subito, ogni richiesta di modifica dell’IBAN, pagamento urgente o reinvio di documentazione contabile dovrebbe essere verificata attraverso un canale indipendente già conosciuto.

Se arriva una richiesta via email, non bisogna utilizzare il numero di telefono o il link presenti nello stesso messaggio.

Il referente va contattato utilizzando un recapito già presente nei sistemi aziendali, in rubrica o nei contratti.
È una precauzione semplice, ma importante.
Rispondere direttamente alla comunicazione ricevuta non garantisce infatti di parlare con il proprio interlocutore. Se la casella email del fornitore è stata compromessa, la risposta potrebbe finire direttamente nelle mani dell’attaccante.
Per questo una variazione delle coordinate bancarie non dovrebbe diventare operativa sulla base di una sola comunicazione. Una verifica telefonica e una doppia approvazione sono controlli semplici che possono ridurre sensibilmente il rischio.
Per i pagamenti più importanti, una persona dovrebbe verificare la richiesta e un’altra autorizzare l’operazione.
Anche gli estratti conto e le riconciliazioni bancarie meritano maggiore attenzione nelle settimane successive all’incidente. Bisogna cercare pagamenti inattesi, nuove coordinate bancarie, bonifici duplicati, richieste di storno o altre operazioni che non trovano una spiegazione immediata.
Lo stesso vale per le comunicazioni interne. Email con un tono insolitamente urgente, richieste di riservatezza, pressioni a saltare una procedura o improvvise richieste di modifica delle modalità di pagamento dovrebbero essere considerate segnali di allarme.

Non bisogna dimenticare la posta elettronica

La risposta non dovrebbe fermarsi al servizio di contabilità.
Il reparto IT dovrebbe informare il personale del possibile aumento di campagne di phishing mirato e verificare che i sistemi di posta non presentino configurazioni anomale.
In particolare, è opportuno controllare eventuali regole di inoltro automatico, nuove deleghe, modifiche alle impostazioni delle caselle e accessi da dispositivi o località insolite.
Anche la MFA dovrebbe essere attiva almeno sugli account e sui servizi più sensibili.
Il fatto che le credenziali di “Contabilità in Cloud” non risultino coinvolte non significa che non sia utile verificare le password utilizzate dagli account privilegiati e, soprattutto, escludere il loro riutilizzo su altri sistemi.
Un aggressore che possiede informazioni contabili dettagliate potrebbe infatti utilizzare l’incidente come punto di partenza per una seconda fase dell’attacco, cercando di ottenere accesso ad altri servizi.

Il fattore umano rimane centrale

C’è infine un elemento che spesso viene sottovalutato: non serve necessariamente installare un malware per provocare un danno.

Un attacco può sfruttare informazioni perfettamente legittime e una comunicazione credibile. È sufficiente che qualcuno, riconoscendo nel messaggio dettagli reali, abbassi la soglia di attenzione e decida di non effettuare una verifica.
Questo è uno dei motivi per cui gli incidenti che coinvolgono dati finanziari possono essere particolarmente insidiosi.
Il criminale non deve necessariamente inventare una storia convincente. Può limitarsi a utilizzare una storia vera e cambiare soltanto ciò che gli interessa: per esempio, il conto corrente sul quale effettuare il pagamento.

Il profilo GDPR

Per le aziende clienti di TeamSystem esiste poi un secondo livello di valutazione, quello relativo alla protezione dei dati personali.
Se nel servizio erano presenti dati personali di clienti, dipendenti, fornitori o altri interessati, l’organizzazione dovrebbe registrare l’evento e valutarne l’impatto con il proprio DPO o consulente privacy.
A seconda dei ruoli effettivi e degli accordi contrattuali, TeamSystem può operare come responsabile del trattamento, mentre l’azienda che determina finalità e modalità del trattamento dei propri dati rimane titolare.
La comunicazione dell’incidente da parte del fornitore non esaurisce quindi
automaticamente gli obblighi del cliente.
La valutazione deve essere concreta e documentata. La combinazione di dati identificativi, contatti, IBAN e informazioni sulle movimentazioni può aumentare il rischio di frodi, impersonificazione e danni economici.
Anche nel caso in cui l’analisi porti alla conclusione che non sia necessario notificare l’incidente o informare gli interessati, è importante poter dimostrare come si è arrivati a quella decisione.

Cosa chiedere a TeamSystem

Al momento, le informazioni pubbliche disponibili confermano la natura dell’evento e le categorie di dati coinvolte, ma non chiariscono ancora tutti gli aspetti tecnici dell’incidente.
Non risultano inoltre pubblicamente disponibili, alla data del 28 agosto 2026, tutti i dettagli relativi al numero complessivo delle organizzazioni interessate e alle modalità utilizzate per ottenere l’accesso.
La comunicazione risulta essere stata inviata direttamente ai clienti, mentre alla stessa data l’evento non compariva tra i comunicati stampa aziendali indicizzati pubblicamente.
Per le aziende coinvolte, quindi, il primo passo dovrebbe essere ottenere da TeamSystem una risposta scritta e il più possibile circostanziata.
Tra le domande più importanti:

• la propria organizzazione è stata effettivamente coinvolta?
• quali dati, archivi o intervalli temporali riguardano il proprio caso?
• quando è iniziato l’accesso non autorizzato e quando è stato contenuto?
• sono state rilevate modifiche ai dati, oltre alla loro sottrazione?
• quali misure sono state adottate per bloccare l’intrusione?
• quali controlli aggiuntivi vengono raccomandati ai clienti?
• sono disponibili indicatori tecnici, log o altre evidenze utili per le verifiche interne?
• sono state individuate attività successive all’esfiltrazione che possano indicare un utilizzo dei dati sottratti?

Queste informazioni servono non soltanto a capire cosa sia successo, ma anche a decidere come comportarsi nelle settimane successive.
Un dato finanziario isolato può sembrare poco utile. Decine di dati collegati tra loro possono invece raccontare come un’impresa lavora, con chi fa affari e quando muove il proprio denaro.
Ed è proprio questa combinazione che può trasformare una fuga di dati contabili in un potente strumento per la prossima frode.