TeamSystem ha comunicato che un incidente di sicurezza ha interessato Contabilità in Cloud, il servizio usato per la gestione della contabilità in Italia. La società ha precisato che le verifiche tecniche sono ancora in corso e che, sulla base degli elementi disponibili al momento, le credenziali di accesso degli utenti non risultano compromesse.
L’accesso non autorizzato e i dati coinvolti
La comunicazione di TeamSystem definisce l’evento come un incidente di sicurezza informatica che ha determinato non solo un tentativo di intrusione, ma anche l’effettiva esfiltrazione di dati dalla piattaforma. I dati coinvolti comprendono informazioni anagrafiche e recapiti, le coordinate bancarie IBAN e il contenuto delle movimentazioni contabili registrate dagli utenti del servizio. In particolare sono state segnalate causali, importi e controparti delle operazioni contabilizzate.
TeamSystem ha precisato che le informazioni interessate corrispondono ai dati effettivamente inseriti dagli utenti nel software, e pertanto non è possibile affermare che tutte le categorie siano state esposte per ogni cliente o per ogni soggetto presente nella piattaforma. Restano da chiarire con precisione la quantità complessiva di dati sottratti e il numero degli account o degli utenti interessati dall’accesso non autorizzato.
Verifiche tecniche, responsabilità e obblighi di notifica
Al momento non sono stati resi noti elementi tecnici che consentano di identificare il vettore iniziale dell’attacco, l’eventuale vulnerabilità sfruttata o la durata dell’accesso illegittimo. Le verifiche tecniche sono in corso per stabilire quali ambienti, account o archivi siano stati raggiunti dall’attaccante e per precisare il perimetro della violazione.
La comunicazione di TeamSystem cita inoltre l’articolo 33, paragrafo 2 del GDPR: il richiamato articolo riguarda gli obblighi di notifica in caso di violazione dei dati personali. Il testo diffuso segnala che la gestione complessiva dell’incidente può coinvolgere anche altri obblighi previsti dal Regolamento e ricorda la distinzione operata dal Garante per la privacy tra la notifica all’Autorità e la comunicazione alle persone interessate. Al momento non è noto quali adempimenti siano già stati completati da TeamSystem né quali valutazioni siano state condivise con l’Autorità.
I rischi concreti per le imprese e le indicazioni operative
L’insieme di dati esfiltrati, che include IBAN, informazioni anagrafiche, recapiti e dettagli sulle transazioni, può essere utilizzato per comunicazioni fraudolente apparentemente riconducibili a soggetti con cui le aziende intrattengono rapporti reali. Il rischio di frodi sui pagamenti è tra gli scenari indicati: la disponibilità di informazioni reali sulle relazioni commerciali può consentire a terzi non autorizzati di costruire messaggi molto dettagliati e credibili.
Un esempio citato nell’analisi dell’incidente è la richiesta fraudolenta di modifica dell’IBAN di un fornitore, nella quale la conoscenza delle precedenti transazioni potrebbe rendere la comunicazione coerente con i rapporti economici effettivamente esistenti. Per questo motivo l’analisi invita a prestare particolare attenzione a richieste relative a pagamenti, coordinate bancarie, codici di autenticazione e alle comunicazioni che chiedono modifiche alle coordinate di pagamento.
TeamSystem ha ribadito che le verifiche continuano e che il quadro dell’incidente potrebbe essere precisato sulla base degli accertamenti tecnici. Le verifiche sono dunque in corso per ricostruire la dinamica dell’intrusione, determinare il perimetro della violazione e chiarire eventuali ulteriori conseguenze per gli utenti della piattaforma.