Il 24 agosto 2026, nel primo pomeriggio, qualcuno è entrato nei sistemi di Contabilità in Cloud, la piattaforma di TeamSystem usata da imprese e commercialisti italiani per fatture elettroniche, contabilità e incassi. Due giorni dopo l’azienda ha avvisato i clienti. Il 28 agosto è intervenuta l’Agenzia per la Cybersicurezza Nazionale (ACN). A distanza di 13 giorni, il numero esatto di aziende coinvolte resta sconosciuto. È il tipo di silenzio che in un caso di violazione dati pesa quanto i dati stessi.
Non si tratta di un ransomware. Nessun sistema è stato cifrato, nessuna richiesta di riscatto è comparsa sui soliti siti di leak. È un furto di dati puro: anagrafiche, contatti, IBAN e registrazioni contabili sottratti da un fornitore che, secondo le sue stesse cifre, serve oltre 3,1 milioni di clienti tra Italia e resto del mondo. Capire cosa è successo, cosa rischiano davvero le imprese italiane e perché questo caso è diverso dai soliti attacchi ransomware richiede di mettere in fila i fatti confermati, separandoli da quello che ancora non si sa.
Cosa è successo alla piattaforma Contabilità in Cloud di TeamSystem
TeamSystem ha comunicato ai propri clienti, il 26 agosto 2026, di aver subito un accesso non autorizzato ai sistemi che gestiscono Contabilità in Cloud, il software online per la tenuta della contabilità, l’emissione di fatture elettroniche, gli incassi, i pagamenti e la riconciliazione bancaria usato da piccole e medie imprese e da studi professionali in tutta Italia. L’azienda ha rilevato l’intrusione il 24 agosto, nel pomeriggio, e ha impiegato due giorni per formalizzare l’avviso ai clienti, secondo quanto riportato da Il Post.
Nella comunicazione ai clienti, TeamSystem ha precisato che gli aggressori sono riusciti a copiare dati dal sistema, senza però cifrare o bloccare l’operatività della piattaforma. Gli utenti di Contabilità in Cloud hanno continuato a poter accedere ai propri conti e a emettere fatture regolarmente: il danno, in questo caso, non è stato all’operatività ma alla riservatezza delle informazioni custodite sui server dell’azienda.
La cronologia dei fatti, giorno per giorno
La sequenza temporale dell’incidente, ricostruita incrociando la comunicazione di TeamSystem, l’intervento dell’ACN e la copertura di stampa, è oggi abbastanza chiara nei suoi passaggi principali, anche se restano buchi importanti su quanto accaduto prima del 24 agosto.
| Data | Evento |
|---|---|
| 24 agosto 2026 (pomeriggio) | TeamSystem rileva un accesso non autorizzato ai sistemi di Contabilità in Cloud |
| 26 agosto 2026 | L’azienda invia ai clienti la comunicazione formale della violazione |
| 28 agosto 2026 | L’ACN interviene pubblicamente, circoscrivendo i dati esfiltrati a tre categorie e chiarendo che l’impatto riguarda le aziende clienti, non i singoli cittadini |
| 29-30 agosto 2026 | Analisi indipendenti (tra cui BlackTree) segnalano il rischio di frodi con fatture false costruite sui dati contabili rubati |
| 7-8 settembre 2026 | Nessuna rivendicazione da gruppi ransomware noti, nessun numero ufficiale di clienti coinvolti, nessun provvedimento pubblico del Garante Privacy |
Il dato più rilevante di questa cronologia è quello che manca: a quasi due settimane dalla scoperta, TeamSystem non ha reso pubblico né il numero di clienti coinvolti né il vettore d’attacco iniziale, cioè come gli aggressori siano entrati nei sistemi. Non è chiaro nemmeno da quanto tempo l’attaccante fosse presente nella rete prima di essere scoperto, un dettaglio che di solito determina la reale gravità di un incidente di questo tipo.
Quali dati sono stati sottratti: IBAN, contatti e registrazioni contabili
L’ACN, intervenuta il 28 agosto, ha circoscritto i dati esfiltrati a tre macro-categorie: dati anagrafici, dati di contatto e numeri di conto corrente bancario (IBAN). A queste si aggiungono, secondo la comunicazione diretta di TeamSystem ai clienti riportata da Repubblica, anche le registrazioni contabili vere e proprie: descrizione delle transazioni, importi e controparti commerciali coinvolte nelle operazioni di fatturazione e incasso.
Un elemento che TeamSystem ha voluto sottolineare, probabilmente per contenere il panico tra i clienti, è che le credenziali di accesso alla piattaforma, cioè username e password, non risultano tra i dati compromessi. Questo riduce il rischio di un takeover diretto degli account, ma non elimina affatto il problema: chi ha in mano IBAN reali, importi di transazioni vere e nomi di controparti commerciali autentiche ha in mano tutto ciò che serve per costruire una truffa credibile, anche senza mai entrare nell’account della vittima.
La posizione dell’ACN: colpite le aziende, non i cittadini
L’intervento dell’Agenzia per la Cybersicurezza Nazionale del 28 agosto ha avuto un ruolo importante nel definire la portata dell’incidente. Secondo l’agenzia, l’impatto diretto non riguarda i singoli cittadini in quanto consumatori, ma le imprese e i professionisti che usano Contabilità in Cloud per gestire la propria attività, come confermato anche da La Stampa.
Questa distinzione non è solo tecnica. Cambia il profilo di rischio: non stiamo parlando di un data breach che espone dati sanitari o abitudini di consumo di privati cittadini, ma di un incidente che colpisce direttamente i flussi finanziari e commerciali di piccole e medie imprese italiane. L’ACN ha inoltre raccomandato alle aziende clienti di verificare sempre l’identità di chi richiede modifiche ai dati bancari, di diffidare da link che chiedono dati personali o finanziari, e di confermare via telefono ogni cambio di IBAN prima di autorizzare un pagamento.
Chi è TeamSystem: un colosso da 3,1 milioni di clienti
Per capire la portata potenziale dell’incidente, serve guardare alle dimensioni di TeamSystem. L’azienda, con sede legale a Milano e radici a Pesaro, ha chiuso il 2025 con un fatturato record di 1,15 miliardi di euro, in crescita organica del 12% rispetto all’anno precedente, secondo il comunicato ufficiale sui risultati 2025. Su base statutaria, i ricavi si attestano a 1,058 miliardi di euro. La base clienti ha superato i 3,1 milioni tra aziende e professionisti a livello internazionale, in crescita del 20% rispetto al 2024, con oltre 6.000 dipendenti impiegati nel gruppo.
È bene chiarire un punto: questa cifra di 3,1 milioni rappresenta l’intera base clienti globale di TeamSystem su tutti i suoi prodotti, non il numero di utenti coinvolti nella violazione di Contabilità in Cloud, che come detto non è mai stato reso pubblico. Ma dà la misura di quanto sia centrale questo fornitore nell’infrastruttura digitale delle PMI italiane: gestionali, contabilità, paghe e fatturazione elettronica passano, per una fetta enorme di imprese italiane, dai server di questa singola azienda.
Il vero pericolo non è il furto in sé, ma le fatture false che verranno dopo
Il commento più netto sul caso arriva da un’analisi pubblicata il 29 agosto dal sito olandese BlackTree, che ha riassunto il problema in una frase diventata rapidamente il punto di riferimento della discussione: gli aggressori hanno rubato esattamente i dati che servono per rendere credibile una fattura falsa. IBAN reali, importi reali, nomi di fornitori e clienti reali: è la materia prima perfetta per attacchi di Business Email Compromise (BEC) e per le cosiddette truffe da “IBAN swapping”, in cui un criminale si finge un fornitore abituale e chiede di dirottare un pagamento su un conto diverso.
Non è un rischio teorico. Secondo il report sullo stato del Business Email Compromise in Europa di Eye Security, il BEC ha rappresentato l’81% di tutti i casi analizzati in uno dei loro report, mentre un secondo studio della stessa società sullo stato degli incidenti cyber in Europa nel 2026 indica che il BEC resta comunque il tipo di incidente più frequente, con oltre il 70% dei casi investigati. In altre parole, il tipo di dati rubati a TeamSystem alimenta esattamente la categoria di attacco già oggi più diffusa nel continente.
Le domande che restano senza risposta
A quasi due settimane dai fatti, tre elementi restano oscuri e continuano a pesare sulla valutazione reale del danno.
- Il numero esatto di clienti e persone coinvolte: TeamSystem non lo ha mai quantificato pubblicamente.
- Il vettore d’attacco: non è stato reso noto come gli aggressori siano entrati nei sistemi di Contabilità in Cloud.
- Il tempo di permanenza dell’attaccante nella rete prima della scoperta del 24 agosto, un fattore che spesso determina quanto materiale sia stato realmente sottratto.
Nessun gruppo ransomware o di estorsione dati conosciuto ha rivendicato l’attacco fino all’8 settembre 2026, il che rafforza l’ipotesi di un’operazione di intelligence finanziaria più che di una classica estorsione con richiesta di riscatto pubblica. Ma l’assenza di rivendicazione non significa assenza di rischio: significa solo che, per ora, i dati non sono in vendita pubblica su un leak site, il che potrebbe indicare un uso più mirato e silenzioso delle informazioni sottratte.
GDPR e Garante Privacy: cosa rischia TeamSystem
Sul piano normativo, il Regolamento Generale sulla Protezione dei Dati impone al titolare del trattamento di notificare una violazione di dati personali all’autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta, come previsto dall’articolo 33 del GDPR. Se il rischio per gli interessati è elevato, come può essere il caso quando sono coinvolti IBAN e dati contabili, scatta anche l’obbligo di informare direttamente gli interessati, cosa che TeamSystem ha fatto il 26 agosto, due giorni dopo la scoperta.
Le sanzioni massime previste dal GDPR per le violazioni più gravi arrivano fino a 20 milioni di euro o al 4% del fatturato globale annuo dell’azienda, a seconda di quale importo sia più alto. Applicato a TeamSystem, il 4% del fatturato 2025 di 1,15 miliardi di euro equivarrebbe teoricamente a circa 46 milioni di euro, anche se le sanzioni effettive irrogate dal Garante Privacy italiano in casi reali sono storicamente molto più contenute, come mostra il precedente più rilevante disponibile.
Quanto costano davvero le violazioni di dati in Italia: i precedenti del Garante
Per capire l’ordine di grandezza realistico di una eventuale sanzione, è utile guardare a decisioni già pubblicate dal Garante per la protezione dei dati personali in casi comparabili per numero di persone coinvolte e tipo di dati esposti.
| Importo sanzione | Contesto della violazione | Nota |
|---|---|---|
| 1.715.600 € | Violazione dati che ha coinvolto 365.048 clienti | Importo ridotto per le misure correttive adottate tempestivamente dalla società |
| 100.000 € | Violazione con trattamento illecito di dati | Applicata anche la sanzione accessoria della pubblicazione sul sito del Garante |
| 15.000 € | Violazione con carenze organizzative | Pubblicazione del provvedimento come sanzione accessoria |
| 6.000 € | Trattamento classificato come violazione di gravità media | Importo tra i più contenuti tra le decisioni pubblicate |
Il precedente più vicino per scala all’incidente TeamSystem è la sanzione da 1.715.600 euro relativa a una violazione che ha coinvolto 365.048 clienti: se il numero di aziende toccate dalla violazione di Contabilità in Cloud dovesse avvicinarsi a quell’ordine di grandezza, e senza sapere ancora quale sia il numero reale, questo tipo di cifra offre un parametro di riferimento più realistico rispetto al tetto teorico del 4% del fatturato globale.
TeamSystem nel mercato del software gestionale italiano: il confronto con Zucchetti e Aruba
TeamSystem non è l’unico grande fornitore di software gestionale e servizi cloud per le imprese italiane, e il confronto con i concorrenti aiuta a inquadrare quanto sia concentrato il rischio in questo settore. Zucchetti, storico rivale con sede a Lodi, ha chiuso il 2024-2025 con ricavi software attorno a 1,25 miliardi di euro e serve oltre 700.000 clienti in Europa con più di 9.000 dipendenti. Aruba, che opera soprattutto nel cloud hosting e nella fatturazione elettronica, ha dichiarato un fatturato di 363,7 milioni di euro nel 2024 e rivendica 16 milioni di utenti tra privati, professionisti e pubblica amministrazione.
| Azienda | Fatturato più recente | Clienti/utenti dichiarati | Dipendenti |
|---|---|---|---|
| TeamSystem | 1,15 miliardi € (2025) | 3,1 milioni | oltre 6.000 |
| Zucchetti | 1,25 miliardi € software (2024-2025) | oltre 700.000 | oltre 9.000 |
| Aruba | 363,7 milioni € (2024) | 16 milioni | n.d. |
Il punto non è stabilire chi sia più sicuro, dato che nessuno di questi fornitori ha reso pubblico un dettaglio comparabile sulle proprie misure di autenticazione a due fattori lato piattaforma. Il punto è che il settore del software gestionale italiano è dominato da poche aziende che concentrano milioni di clienti PMI: un singolo incidente, come dimostra il caso TeamSystem, può avere un effetto a cascata su una parte enorme del tessuto produttivo nazionale, semplicemente per la scala con cui questi fornitori operano.
Il problema di fondo: le aziende italiane e l’autenticazione a due fattori
C’è un tema strutturale che questo incidente riporta al centro, ed è quello dell’adozione dell’autenticazione a due fattori tra le imprese italiane. Una rilevazione diffusa da Corriere Comunicazioni ha mostrato che solo il 13% delle organizzazioni italiane con canali online utilizza sistemi di autenticazione a due fattori, mentre il 73% si affida ancora a un singolo fattore (di norma la sola password) e appena il 2% usa un’autenticazione adattiva basata sul rischio.
Questo dato non riguarda direttamente la piattaforma di TeamSystem, per cui non sono note le percentuali di adozione del 2FA tra i suoi clienti. Ma fotografa il contesto in cui si inserisce ogni raccomandazione post-incidente: quando l’ACN invita le imprese a rafforzare i controlli di sicurezza, lo fa sapendo che la maggioranza delle aziende italiane parte da una base di protezione minima, con la password come unica barriera. In un contesto del genere, anche senza credenziali rubate, un attacco di phishing costruito con dati contabili reali ha probabilità di successo molto più alte.
Cosa devono fare adesso le aziende clienti di Contabilità in Cloud
Le raccomandazioni operative diffuse da ACN e TeamSystem convergono su alcuni punti pratici che ogni azienda cliente dovrebbe applicare nelle prossime settimane, indipendentemente dal fatto di aver ricevuto o meno una comunicazione diretta di coinvolgimento.
- Verificare sempre per telefono, con un contatto già noto e non con i recapiti indicati in una email sospetta, ogni richiesta di modifica di un IBAN o di coordinate bancarie.
- Diffidare da email che richiamano fatture, solleciti di pagamento o comunicazioni contabili con toni di urgenza, soprattutto se citano importi e controparti reali.
- Attivare l’autenticazione a due fattori su tutti gli accessi a piattaforme contabili e finanziarie, anche quando non è resa obbligatoria dal fornitore.
- Cambiare periodicamente le password di accesso, anche se TeamSystem ha dichiarato che le credenziali non risultano tra i dati compromessi.
- Informare il proprio commercialista o consulente contabile, che spesso condivide lo stesso accesso alla piattaforma e può essere un ulteriore vettore di rischio.
Previsioni: cosa succederà nei prossimi mesi
Sulla base della dinamica osservata in casi simili di violazione dati che hanno coinvolto fornitori di servizi finanziari o contabili in Europa, alcuni sviluppi appaiono probabili nei prossimi mesi.
- Il Garante Privacy avvierà verosimilmente un’istruttoria formale su TeamSystem, vista la natura sensibile dei dati bancari e contabili coinvolti.
- Le aziende clienti di Contabilità in Cloud vedranno probabilmente un aumento dei tentativi di phishing e BEC mirati nei prossimi tre-sei mesi, sfruttando i dati reali sottratti.
- È probabile che TeamSystem sia costretta, sotto pressione mediatica o regolatoria, a rendere pubblico almeno un ordine di grandezza del numero di clienti coinvolti.
- L’incidente potrebbe spingere altri fornitori italiani di software gestionale a rendere l’autenticazione a due fattori obbligatoria di default, anziché opzionale, per differenziarsi sul piano della sicurezza.
- Ci si può attendere una maggiore attenzione da parte di ACN verso il settore dei software contabili e gestionali come categoria a rischio sistemico per le PMI, data la concentrazione di clienti in poche piattaforme.
Un incidente diverso dal solito ransomware italiano
Vale la pena sottolineare perché questo caso si distingue dal panorama ransomware che ha dominato le cronache italiane nel 2026. Qui non c’è cifratura, non c’è un countdown pubblico su un sito di leak, non c’è una richiesta di riscatto. C’è invece un furto di dati mirato, silenzioso, su un fornitore che si trova al centro dei flussi finanziari di centinaia di migliaia di piccole imprese. È un modello di attacco più difficile da comunicare al pubblico, perché non produce le immagini plastiche di un blocco operativo, ma che nella pratica può generare danni economici diretti attraverso frodi di pagamento, con un impatto che si misura in mesi, non in ore.
Il fatto che TeamSystem non abbia collegato l’attacco a nessun gruppo criminale noto, unito all’assenza di rivendicazioni pubbliche, alimenta l’ipotesi che l’operazione fosse orientata alla raccolta di intelligence finanziaria su un numero elevato di piccole e medie imprese, piuttosto che a un’estorsione classica contro un singolo bersaglio di alto profilo.
Domande frequenti
Quanti clienti sono stati coinvolti nella violazione di TeamSystem?
Il numero esatto non è mai stato reso pubblico né da TeamSystem né dall’ACN. È noto solo che l’impatto riguarda le aziende clienti della piattaforma Contabilità in Cloud, non i singoli cittadini come consumatori.
Le password degli utenti sono state rubate?
No. TeamSystem ha dichiarato che le credenziali di accesso non risultano tra i dati compromessi. Sono stati invece sottratti dati anagrafici, contatti, IBAN e registrazioni contabili.
È stato un attacco ransomware?
No. Non ci sono state cifrature di sistemi né richieste di riscatto pubbliche, e fino all’8 settembre 2026 nessun gruppo ransomware noto ha rivendicato l’attacco. Si tratta di un furto di dati (data theft) mirato.
Cosa rischiano concretamente le aziende clienti?
Il rischio principale è quello di frodi finanziarie mirate: email di phishing e tentativi di Business Email Compromise costruiti usando IBAN, importi e controparti commerciali reali, per convincere un’azienda a dirottare un pagamento su un conto diverso.
TeamSystem rischia una sanzione del Garante Privacy?
È una possibilità concreta, dato che si tratta di dati bancari e contabili di natura sensibile per le imprese coinvolte. Le sanzioni GDPR possono arrivare fino al 4% del fatturato globale, ma i precedenti reali del Garante italiano per casi comparabili sono stati storicamente più contenuti, nell’ordine di poche centinaia di migliaia fino a circa 1,7 milioni di euro.
Come posso sapere se la mia azienda è stata coinvolta?
TeamSystem ha inviato comunicazioni dirette ai clienti ritenuti coinvolti a partire dal 26 agosto 2026. Chi non ha ricevuto alcuna comunicazione può comunque contattare l’assistenza TeamSystem per una verifica diretta.
Cosa devo fare se ho ricevuto una richiesta di cambio IBAN da un fornitore?
Non procedere mai al pagamento basandosi solo su una email. Verifica sempre telefonicamente, usando un numero già noto e non quello indicato nella comunicazione sospetta, prima di autorizzare qualsiasi modifica alle coordinate bancarie.
Altre piattaforme di contabilità cloud italiane sono a rischio simile?
Non ci sono evidenze pubbliche di incidenti comparabili su altri fornitori come Zucchetti o Aruba. Il caso TeamSystem evidenzia però un rischio sistemico: la concentrazione di milioni di PMI italiane su poche grandi piattaforme di software gestionale rende ogni singolo fornitore un bersaglio ad alto valore.
