La risposta breve
TeamSystem ha subito un data breach sulla piattaforma Contabilità in Cloud, rilevato il 24 agosto 2026: gli attaccanti hanno esfiltrato IBAN, dati anagrafici e registri di transazioni di imprese e professionisti italiani. Le password di accesso alla piattaforma non risultano compromesse. L'azienda ha notificato i clienti il 26 agosto, avviando le procedure previste dal GDPR.
Per chi commissiona o gestisce software con dati contabili di terze parti, l'incidente è un promemoria operativo: i dati di pagamento combinati con le relazioni commerciali sono materiale sufficiente per costruire frodi IBAN credibili. La risposta non è uscire dal cloud, ma esigere — e verificare — che il fornitore tratti la conformità GDPR come una responsabilità contrattuale, non come una formalità.
Cosa è successo e quando
Nel pomeriggio del 24 agosto 2026, TeamSystem ha rilevato un accesso non autorizzato ai sistemi che ospitano la piattaforma Contabilità in Cloud — il servizio di contabilità online usato da piccole imprese, studi di commercialisti e professionisti per gestire cicli attivi e passivi, fatture e movimenti bancari. L'azienda ha avviato immediatamente le verifiche interne con il proprio team di sicurezza informatica.
Il 26 agosto 2026, due giorni dopo la scoperta, TeamSystem ha inviato una comunicazione diretta ai clienti coinvolti, confermando non solo il tentativo di intrusione ma anche l'avvenuta esfiltrazione di dati presenti nella piattaforma. L'azienda ha precisato che le password di accesso non risultano compromesse in base alle verifiche condotte fino a quel momento e che le indagini sono in corso.
I dettagli tecnici — vettore di attacco iniziale, durata dell'accesso non autorizzato, perimetro esatto dei sistemi coinvolti, numero totale di account interessati — non sono stati divulgati pubblicamente. Al momento della notifica, nessun gruppo ransomware ha rivendicato pubblicamente la responsabilità dell'attacco.
Quali dati sono stati esposti
Secondo la comunicazione ai clienti, i dati esfiltrati includono tre categorie distinte:
- Dati anagrafici e recapiti: nomi, ragioni sociali, indirizzi email e numeri di telefono degli utenti registrati e delle controparti presenti in piattaforma.
- Coordinate bancarie (IBAN): i conti correnti associati alle aziende, agli studi professionali e ai professionisti iscritti alla piattaforma.
- Dettagli delle transazioni contabili: causali dei pagamenti, importi e controparti commerciali — ovvero il registro di chi paga chi, per quale importo e con quale motivazione.
Non risultano esposti username e password di accesso alla piattaforma, né dati di carte di credito o token di autenticazione.
La combinazione è particolarmente delicata perché i dati non sono isolati: in un sistema di contabilità cloud, IBAN e transazioni sono legati a relazioni commerciali reali e ricorrenti. Chi dispone di questo insieme può ricostruire con precisione il grafo dei pagamenti di un'azienda — chi sono i fornitori abituali, a che cadenza vengono pagati, con che importo. È il substrato ideale per attacchi di tipo Business Email Compromise su bonifici, meglio noti in Italia come frode IBAN.
Le implicazioni GDPR
Sul fronte normativo, l'incidente attiva più livelli di obbligo. Il primo riguarda direttamente TeamSystem: l'articolo 33 del GDPR impone al titolare del trattamento di notificare al Garante per la protezione dei dati personali entro 72 ore dalla presa di coscienza dell'avvenuta violazione, salvo che sia improbabile che essa presenti un rischio per i diritti e le libertà degli interessati. Nel caso in esame — con IBAN e dati di transazione esposti — il rischio non è trascurabile e la notifica all'autorità appare doverosa.
Il secondo livello riguarda i clienti di TeamSystem che trattano dati di terze parti. Gli studi di commercialisti, ad esempio, gestiscono su Contabilità in Cloud i dati contabili delle proprie aziende assistite. In questi casi, lo studio potrebbe essere titolare autonomo del trattamento per i dati dei propri clienti: la violazione avvenuta presso il fornitore tecnologico potrebbe imporre una valutazione autonoma degli obblighi di notifica — e, se il rischio è elevato, anche la comunicazione diretta agli interessati (art. 34 GDPR). È una casistica da esaminare caso per caso con il proprio DPO o consulente privacy.
Il terzo livello è contrattuale. I clienti di TeamSystem che avevano stipulato un accordo di trattamento dei dati (DPA) ai sensi dell'art. 28 GDPR hanno diritto a ricevere informazioni complete sull'incidente. TeamSystem agisce come responsabile del trattamento per i dati dei clienti sulla propria piattaforma: il DPA definisce le obbligazioni reciproche in caso di breach, incluse le tempistiche di notifica e le procedure di cooperazione.
Il rischio concreto: la frode IBAN
La frode IBAN — nota anche come Business Email Compromise (BEC) su bonifici — è una delle forme di frode finanziaria più diffuse in Italia e in Europa. Lo schema è consolidato: l'attaccante, dopo aver raccolto informazioni sulle relazioni commerciali di un'azienda, si finge un fornitore reale e invia una richiesta di cambio coordinate bancarie prima di un pagamento. Se l'ufficio amministrativo non verifica telefonicamente, il bonifico finisce sul conto degli attaccanti.
Il breach di TeamSystem rende questa frode più facile e più credibile. Con IBAN, ragione sociale del fornitore, importi tipici delle fatture e causali abituali a disposizione, un attaccante può confezionare una comunicazione-trappola con dettagli che solo il fornitore autentico dovrebbe conoscere. Il destinatario non ha motivi evidenti per dubitare: le cifre tornano, la causale corrisponde, il mittente coincide con un partner commerciale reale. La frode si individua solo con una chiamata di verifica diretta — che la maggior parte delle aziende non fa sistematicamente.
La raccomandazione operativa immediata è di alzare il livello di attenzione sulle richieste di modifica IBAN nelle prossime settimane — indipendentemente da quanto sembrino legittime — e di adottare una procedura di verifica telefonica sistematica prima di eseguire qualsiasi variazione di coordinate bancarie.
Cosa devono fare le aziende
Se la vostra azienda o il vostro studio utilizza Contabilità in Cloud di TeamSystem, ecco i passi da seguire nell'ordine:
- Verificate di aver ricevuto la notifica. TeamSystem ha comunicato l'incidente il 26 agosto. Se non avete ricevuto nulla, contattate il supporto TeamSystem per chiarire se il vostro account rientra nel perimetro coinvolto.
- Valutate i vostri obblighi GDPR. Se siete titolari del trattamento per i dati presenti sulla piattaforma — in modo autonomo o condiviso — verificate con il vostro DPO se sussiste l'obbligo di notifica al Garante. Il termine decorre dalla vostra presa di coscienza, non dalla comunicazione di TeamSystem.
- Avvisate il personale amministrativo. Chiunque gestisca pagamenti deve sapere dell'incidente e applicare la verifica telefonica diretta su qualsiasi richiesta di cambio IBAN, senza eccezioni, nelle settimane successive.
- Cambiate le password di accesso a TeamSystem e attivate l'autenticazione a due fattori dove disponibile — non perché risultino compromesse, ma come misura precauzionale in attesa di conferme definitive sul perimetro dell'attacco.
- Esaminate il vostro DPA con TeamSystem. Verificate cosa prevede in caso di breach: tempistiche di notifica, obblighi di cooperazione e modalità di risposta agli incidenti da parte del fornitore.
La lezione di architettura
Il caso TeamSystem illumina un problema strutturale del mercato del software gestionale cloud: i dati contabili — tra cui IBAN e flussi di pagamento — sono spesso concentrati su piattaforme multi-tenant con centinaia di migliaia di aziende clienti. Una singola intrusione produce una superficie di danno enorme. Non si tratta di un fallimento esclusivo di questo fornitore: è il profilo di rischio intrinseco del modello SaaS multi-tenant, che si gestisce con architetture di sicurezza adeguate, non si elimina del tutto.
Per chi commissiona software gestionale o valuta l'integrazione di piattaforme contabili di terze parti, l'incidente suggerisce domande concrete da porre prima di firmare un contratto: il fornitore ha certificazioni di sicurezza verificabili (ISO 27001, SOC 2)? Qual è il meccanismo di notifica in caso di breach e con quali tempistiche? Il DPA include il diritto di audit? I dati più sensibili — IBAN, saldi, controparti — possono essere isolati o cifrati con chiavi in controllo del cliente? Queste non sono domande da ufficio legale: sono requisiti di architettura che un audit di sicurezza preventivo può verificare prima che l'integrazione arrivi in produzione.
Il mercato italiano delle PMI ha una dipendenza strutturale da un piccolo numero di fornitori di software gestionale, e questa concentrazione trasforma ogni incidente significativo in un evento di sistema. La risposta non è rinunciare alla convenienza del cloud, ma costruire processi di vendor assessment che trattino la sicurezza come un criterio di selezione con lo stesso peso del prezzo e delle funzionalità.
Domande frequenti
Quali dati sono stati esposti nel breach di TeamSystem?
TeamSystem ha confermato l'esfiltrazione di dati anagrafici, recapiti di contatto, coordinate bancarie (IBAN) e dettagli sulle transazioni contabili: importi, causali e controparti commerciali. Le credenziali di accesso alla piattaforma non sono state compromesse secondo le verifiche in corso alla data di notifica ai clienti.
Cosa devono fare le aziende che usano TeamSystem?
Le aziende coinvolte devono: verificare se sono titolari del trattamento e valutare con il proprio DPO se notificare il Garante entro 72 ore dalla presa di coscienza; avvisare il personale amministrativo del rischio di frodi IBAN nelle settimane successive; applicare la verifica telefonica sistematica prima di modificare qualsiasi coordinata bancaria; e rivedere il DPA con TeamSystem per conoscere gli obblighi reciproci in caso di breach.
La violazione di TeamSystem obbliga le imprese a notificare il Garante?
TeamSystem, come responsabile del trattamento dei dati dei propri clienti, aveva l'obbligo di notificare il Garante entro 72 ore dal rilevamento dell'incidente (art. 33 GDPR). I clienti di TeamSystem che trattano dati di terzi — per esempio studi commerciali con aziende assistite — potrebbero avere a loro volta obblighi autonomi di notifica, da valutare caso per caso con il proprio DPO o consulente privacy.
Come funziona la frode IBAN e perché questo breach la rende più probabile?
La frode IBAN sfrutta informazioni sulle relazioni commerciali per impersonare un fornitore reale e dirottare un bonifico legittimo verso un conto controllato dagli attaccanti. Con IBAN, nomi delle controparti, importi tipici e causali delle transazioni ottenuti dal breach di TeamSystem, chi attacca dispone di tutti i dettagli per costruire richieste di modifica credibili, difficili da distinguere da comunicazioni autentiche senza una verifica telefonica diretta.
Fonti
Bismark.it — Data breach TeamSystem: sottratti IBAN, dati anagrafici e informazioni sulle operazioni contabili, agosto 2026
Libero.it — Attacco hacker TeamSystem: esposti IBAN e dati contabili di imprese e professionisti, agosto 2026
Federprivacy — Data breach TeamSystem: esposti IBAN e dati contabili dei clienti, agosto 2026
Hackmanac — Cyber Alert: TeamSystem, accesso non autorizzato a Contabilità in Cloud rilevato il 24 agosto 2026