Attacco hacker a TeamSystem, rubati IBAN e dati contabili: cosa devono fare i clienti

Un accesso non autorizzato ha interessato Contabilità in Cloud, il gestionale utilizzato da imprese, professionisti e consulenti. Esposti dati anagrafici, coordinate bancarie e informazioni sulle operazioni: il rischio principale riguarda ora phishing e frodi sui pagamenti particolarmente credibili.

Un attacco informatico a TeamSystem ha provocato l’esfiltrazione di dati conservati all’interno di Contabilità in Cloud, il servizio utilizzato per registrare e gestire informazioni amministrative e finanziarie.

L’incidente è stato rilevato nel pomeriggio di lunedì 24 agosto 2026. Secondo quanto comunicato dall’azienda e riportato da Federprivacy, soggetti non autorizzati sono riusciti ad accedere alla piattaforma e a sottrarre una parte delle informazioni presenti.

I dati potenzialmente coinvolti comprendono nomi, recapiti, coordinate IBAN, causali, importi e controparti delle movimentazioni contabili. TeamSystem ha precisato che le verifiche sono ancora in corso e che, sulla base delle informazioni finora disponibili, le credenziali utilizzate dagli utenti per accedere al servizio non risultano compromesse.

Non sono ancora noti il numero dei clienti interessati, la quantità complessiva di informazioni sottratte e il momento preciso nel quale l’intrusione è cominciata.

Cosa è successo a TeamSystem e quali informazioni sono state rubate

La violazione non riguarda, almeno secondo il quadro attualmente disponibile, tutti i servizi offerti dal gruppo. L’incidente comunicato interessa specificamente Contabilità in Cloud, piattaforma attraverso la quale aziende e professionisti possono registrare fatture, pagamenti e altre operazioni.

TeamSystem ha accertato sia l’accesso non autorizzato sia la successiva esfiltrazione dei dati. Questo significa che una parte delle informazioni non è stata soltanto consultata, ma trasferita all’esterno della piattaforma.

L’effettivo contenuto sottratto può cambiare da un cliente all’altro, perché dipende dai dati inseriti nel gestionale. Non è quindi possibile affermare che per ogni account siano state esposte tutte le categorie indicate.

Restano da chiarire diversi elementi tecnici: la vulnerabilità eventualmente sfruttata, il punto dal quale è iniziata l’intrusione, la sua durata e gli archivi effettivamente raggiunti. Non sono state diffuse indicazioni pubbliche su richieste di riscatto, ransomware o rivendicazioni da parte di gruppi criminali.

La notizia che le password non risultino coinvolte riduce il rischio di un accesso diretto agli account, ma non annulla le possibili conseguenze. Per precauzione è comunque consigliabile utilizzare una password unica e robusta e attivare, quando disponibile, l’autenticazione a più fattori.

Perché IBAN, importi e controparti rappresentano un rischio concreto

Il semplice possesso di un IBAN non consente normalmente a un criminale di accedere al conto corrente o disporre liberamente bonifici. Il problema più grave nasce dalla combinazione tra coordinate bancarie e informazioni contabili reali.

Conoscendo il nome di un fornitore, una causale e gli importi abitualmente fatturati, un truffatore può costruire un messaggio molto più convincente del comune phishing inviato indiscriminatamente.

Il criminale potrebbe, per esempio, fingersi un fornitore conosciuto e comunicare un presunto cambio di IBAN. Potrebbe anche inviare una fattura modificata, imitare un consulente o sollecitare il pagamento di un’operazione realmente esistente.

Il personale amministrativo rischierebbe così di ricevere una richiesta coerente con i rapporti commerciali dell’azienda, ma contenente coordinate controllate dagli aggressori. È lo schema conosciuto come Business Email Compromise, nel quale l’inganno sfrutta l’identità di dirigenti, clienti o fornitori.

Anche causali e controparti possono rivelare relazioni economiche riservate e diventare materiale utile per telefonate fraudolente, falsi messaggi bancari o tentativi di impersonificazione. Per questo motivo il rischio non riguarda soltanto gli utenti diretti di TeamSystem, ma anche le persone e le aziende i cui dati sono presenti nelle registrazioni sottratte.

HBO Max gratis con Amazon Prime Video: come funziona la prova e quando scade

Attacco TeamSystem, cosa devono fare aziende e professionisti

Chi ha ricevuto una comunicazione sull’incidente dovrebbe coinvolgere immediatamente il responsabile informatico, il consulente privacy o il Data Protection Officer, se nominato. È necessario individuare quali dati erano conservati nel servizio e a quali persone fisiche si riferiscono.

Le precauzioni più importanti sono:

• controllare movimenti bancari, addebiti e accessi al gestionale;
• verificare telefonicamente ogni richiesta di modifica dell’IBAN, utilizzando un numero già conosciuto e non quello contenuto nel messaggio ricevuto;
• non comunicare password, codici temporanei o credenziali tramite email e telefono;
• informare il personale amministrativo e chi autorizza i pagamenti;
• conservare comunicazioni sospette e segnalare rapidamente eventuali operazioni alla banca e alla Polizia postale.

Cambiare la password può essere una misura prudenziale, soprattutto se la stessa combinazione viene utilizzata su altri servizi. Non bisogna però cliccare sui collegamenti contenuti in email che invitano ad aggiornare urgentemente le credenziali: proprio il data breach potrebbe essere sfruttato come pretesto per nuove campagne di phishing.

Per i pagamenti più rilevanti è opportuno introdurre una doppia verifica, separando chi inserisce le coordinate da chi autorizza l’operazione.

Gli obblighi previsti dal GDPR dopo il data breach

La comunicazione richiama l’articolo 33, paragrafo 2, del GDPR, relativo agli obblighi del responsabile del trattamento nei confronti del titolare. TeamSystem deve quindi mettere i clienti nelle condizioni di valutare il rischio e assumere le decisioni necessarie.

Il Garante per la protezione dei dati personali stabilisce che il titolare debba notificare una violazione all’Autorità senza ingiustificato ritardo e, quando possibile, entro 72 ore da quando ne è venuto a conoscenza, salvo che il rischio per le persone risulti improbabile.

Quando il rischio è elevato, può rendersi necessaria anche una comunicazione diretta agli interessati. Imprese e studi professionali che utilizzano Contabilità in Cloud devono pertanto effettuare una propria valutazione: l’avviso ricevuto dal fornitore non sostituisce automaticamente gli adempimenti spettanti a ciascun titolare.

Al momento non è stato comunicato pubblicamente quali notifiche siano già state presentate al Garante, né è disponibile un numero definitivo degli interessati. Ulteriori aggiornamenti potranno precisare l’estensione dell’attacco e le misure adottate.

La cautela deve proseguire anche nei prossimi mesi: i dati rubati possono essere conservati e utilizzati molto tempo dopo l’incidente. Ogni richiesta anomala relativa a fatture, bonifici o nuove coordinate bancarie dovrà essere verificata attraverso un canale indipendente.