Data breach TeamSystem: il rischio non si limita agli IBAN
TeamSystem ha comunicato un incidente di sicurezza informatica che ha interessato il servizio “Contabilità in Cloud”.
L’accesso non autorizzato, rilevato dal pomeriggio del 24 agosto 2026, avrebbe comportato l’esfiltrazione di:
- dati anagrafici e di contatto;
- indirizzi e-mail e numeri telefonici;
- coordinate bancarie IBAN;
- informazioni sulle operazioni contabili, comprese causali, importi e controparti.
Le credenziali di accesso, secondo quanto finora comunicato, non risulterebbero compromesse.
Il punto più delicato non è il solo IBAN, che normalmente non consente di disporre un pagamento. Il rischio deriva dalla combinazione di informazioni reali che potrebbe permettere di costruire comunicazioni fraudolente molto credibili.
Un criminale potrebbe, per esempio, presentarsi come un fornitore conosciuto, citare una fattura o un importo effettivo e chiedere di modificare l’IBAN prima del pagamento.
Cosa devono fare i DPO e le aziende che utilizzano il servizio?
La comunicazione di TeamSystem non esaurisce automaticamente gli adempimenti del cliente. Quando TeamSystem opera come responsabile del trattamento, l’azienda cliente rimane titolare dei dati personali inseriti nella piattaforma e deve:
- verificare se il proprio ambiente sia effettivamente coinvolto;
- individuare dati e persone fisiche interessate;
- documentare la violazione nel registro dei data breach;
- valutare concretamente il rischio;
- decidere sull’eventuale notifica al Garante Privacy;
- valutare, in presenza di rischio elevato, la comunicazione agli interessati.
Non ogni cliente TeamSystem deve automaticamente notificare il breach. Ma ogni cliente coinvolto deve effettuare e documentare la propria valutazione.
Sul piano operativo, è fondamentale introdurre una regola nelle politiche di formazione agli autorizzati: nessuna modifica di un IBAN deve essere accettata sulla base della sola e-mail ricevuta. La richiesta deve sempre essere verificata attraverso un secondo canale già conosciuto.
Il caso conferma un principio essenziale: la sicurezza di un fornitore cloud fa parte della sicurezza e dell’accountability.
