Pesaro, pomeriggio del 24 agosto 2026. Mentre migliaia di studi di commercialisti sono chiusi per ferie, qualcuno sta estraendo IBAN e dati di contatto dalla piattaforma Contabilità in Cloud di TeamSystem. Due giorni dopo i clienti coinvolti apriranno una comunicazione che inizia così: “ti informiamo di un incidente di sicurezza”.
TeamSystem, uno dei principali vendor italiani di software gestionale e piattaforme SaaS per la contabilità, ha confermato il 26 agosto 2026 un data breach ai danni della propria piattaforma Contabilità in Cloud. L’incidente è stato rilevato il pomeriggio del 24 agosto 2026. L’azienda ha inviato ai clienti coinvolti una notifica ufficiale ai sensi dell’articolo 34 del GDPR (General Data Protection Regulation, Regolamento UE 2016/679).
I dati esfiltrati includono informazioni anagrafiche e di contatto (indirizzi email e numeri di telefono), coordinate bancarie IBAN e informazioni relative alle operazioni contabili: causali di pagamento, importi, soggetti coinvolti nelle transazioni. Le credenziali di accesso al sistema, secondo i controlli dell’azienda, non risultano compromesse.
Il vettore iniziale non è stato divulgato pubblicamente. Le analisi di Federprivacy e Labor Project sottolineano un elemento cruciale: il breach ha colpito dati di aziende clienti. Ogni IBAN esposto appartiene a una PMI, a uno studio professionale o a una controparte commerciale di quelle aziende.
La combinazione IBAN, email e importi reali è il kit perfetto per una campagna di Business Email Compromise (BEC, frode via email che impersona un soggetto fidato per deviare pagamenti). Un attaccante può impersonare un fornitore reale, chiedere la modifica di un IBAN su un pagamento in essere e dirottare il bonifico. È lo stesso schema che è costato a Pepco Group 16,7 milioni di euro nel febbraio 2024, documentato nell’episodio #8 della serie.
Il breach di TeamSystem mostra il limite strutturale del modello SaaS multi-tenant quando i dati del cliente restano in chiaro nel database del provider. Il controllo degli accessi ha retto, le credenziali non sono state compromesse. La protezione del dato a riposo no.
Dato a riposo in chiaro. Nella maggior parte delle piattaforme SaaS gestionali, i dati vengono cifrati a livello di volume o di database, ma restano leggibili per il provider e per chiunque entri nei suoi sistemi con privilegi adeguati. Secondo IBM Cost of a Data Breach 2026, solo il 37% delle organizzazioni violate aveva cifrato i dati sensibili al momento della violazione. Il settore dei servizi finanziari paga questo gap con un costo medio di 6,29 milioni di dollari per breach.
Concentrazione del rischio supply chain. Le decine di migliaia di PMI che usano Contabilità in Cloud hanno delegato a un singolo vendor la custodia dei propri dati bancari. Verizon Data Breach Investigations Report 2026 segnala che le violazioni che coinvolgono terze parti sono passate dal 30% al 48%, con una crescita del 60% in un anno. In Italia il Rapporto Clusit 2026 registra 507 incidenti noti nel 2025, +42% sul 2024, pari al 9,6% del totale mondiale.
Classificazione del dato invisibile al cliente. Un IBAN rappresenta un’identità finanziaria. In un gestionale SaaS tradizionale il cliente non ha visibilità su come il provider classifica, segmenta e protegge quel dato. La governance del dato viene esternalizzata insieme al servizio.
Dipendenza dalla notifica ex-post. L’articolo 33 del GDPR obbliga il provider a notificare la violazione al Garante entro 72 ore e ai clienti nei tempi utili. Serve alla trasparenza. Non previene l’esfiltrazione: quando la notifica arriva, i dati sono già fuori.
Nessuna segregazione crittografica tra tenant. Un attacco al provider che intercetta un ruolo con privilegi trasversali raggiunge più tenant insieme. La protezione del singolo cliente dipende dalle policy del provider, non da chiavi che il cliente controlla.
Un breach su un provider SaaS si impedisce lato provider. Il cliente ha però una leva potente che spesso ignora: cifrare alla nascita i documenti sensibili prima che tocchino il cloud di un terzo. È la logica file-centric su cui si fonda CyberGrant.
FileGrant con Lock&Go: la cifratura resta sul file
FileGrant è il cuore della suite CyberGrant: archiviazione e condivisione sicura dei file con cifratura che resta sul documento anche fuori dalla piattaforma. La tecnologia brevettata Lock&Go cifra ogni file con algoritmo post-quantum CRYSTALS-Kyber (standard NIST FIPS 203 / ML-KEM), progettato per resistere agli attacchi “harvest now, decrypt later” (archiviare oggi dati cifrati per decifrarli domani con computer quantistici).
In uno scenario in cui una PMI gestisce la contabilità su un gestionale SaaS ma protegge con FileGrant i documenti sensibili a monte (dossier IBAN clienti, registri dei pagamenti ricorrenti, mandati SEPA), questi file arrivano al provider già cifrati. Un attaccante che compromette la piattaforma e scarica il filesystem trova blob illeggibili.
L’audit trail di FileGrant registra ogni apertura con indirizzo IP e timestamp. L’Executive Report (rilasciato nella versione 4.3.9 di febbraio 2026 ed esteso nella 4.7.0 di giugno 2026) espone indicatori di rischio, anomalie di sicurezza e attività per Paese. L’owner può revocare l’accesso al file anche dopo che è uscito dal proprio perimetro.
Vantaggio concreto: la custodia della chiave resta al cliente, non al provider SaaS.
AIGrant: classificazione automatica dei dati finanziari
AIGrant è l’estensione di AI privata di FileGrant: classifica i documenti per sensibilità, riconosce automaticamente dati come IBAN, codici fiscali e importi, e consente ricerche semantiche sugli archivi protetti senza esporre nulla a modelli pubblici.
Nel caso TeamSystem, AIGrant lato cliente avrebbe applicato tag automatici “dati bancari” a ogni documento contenente IBAN. Il tag attiva le policy di cifratura obbligatoria (release 4.3.5, novembre 2025: classificazione obbligatoria prima della condivisione) e innesca notifiche di anomalia su pattern di consultazione fuori norma.
I permessi vengono ereditati dai file: ognuno interroga solo i contenuti classificati che può già vedere. L’intelligence resta on-premise o nel tenant del cliente.
Vantaggio concreto: i dati finanziari più sensibili non vengono mai esposti a un LLM pubblico né a un servizio di terzi non controllato.
EmailGrant: contenimento dell’effetto a cascata
EmailGrant cifra i messaggi email e gli allegati con la stessa logica file-centric di FileGrant. Dalla release 4.4.6 del 30 marzo 2026 è integrato nella piattaforma.
Dopo un breach come quello TeamSystem, l’esposizione di IBAN ed email alimenta per mesi campagne di Business Email Compromise mirate. EmailGrant protegge le comunicazioni in uscita verso clienti e fornitori con revoca dopo l’invio, scadenza programmabile, tracciamento delle aperture e OTP (One Time Password) per i destinatari esterni. Se un fornitore riceve una presunta richiesta di cambio IBAN, può verificare in autonomia che il messaggio provenga da un canale cifrato e non da un impersonatore.
Vantaggio concreto: la perdita dei dati di contatto non si traduce in bonifici deviati.
Con FileGrant, AIGrant ed EmailGrant attivi lato cliente, lo stesso attacco avrebbe prodotto un impatto diverso.
1. Il modello SaaS non ti esonera dalla custodia del dato. Chi delega l’infrastruttura resta responsabile dei dati finanziari di terzi. Un breach a monte, nel fornitore, non trasferisce la responsabilità GDPR al provider.
2. Classifica prima di esporre. Un IBAN rappresenta un’identità finanziaria. Prima di caricare dati bancari in qualsiasi piattaforma, classificali e applica una policy di cifratura automatica.
3. Separa chiavi e provider. Chi detiene la chiave decide chi legge. Se il provider SaaS controlla sia il dato sia la chiave, il controllo del cliente diventa teorico in caso di breach interno al provider.
4. Prepara la risposta BEC prima che arrivi. Un breach IBAN+email è un seme di phishing a scoppio ritardato. Nei sei mesi successivi aspettati un picco di finte richieste di cambio coordinate bancarie: dota il team finance di canali di verifica cifrati.
5. Chiedi al vendor evidenze crittografiche, non assicurazioni. Nella selezione di un gestionale SaaS, chiedi come i dati sono cifrati a riposo, chi detiene le chiavi, se è previsto bring-your-own-key, come viene gestito l’accesso del personale del provider.
Come proteggere IBAN e dati bancari dei clienti su una piattaforma SaaS?
Serve una cifratura file-centric lato cliente, applicata prima dell’upload sulla piattaforma SaaS. FileGrant di CyberGrant cifra ogni documento con la tecnologia brevettata Lock&Go e algoritmo post-quantum CRYSTALS-Kyber (NIST FIPS 203 / ML-KEM). Anche in caso di breach del provider, i file sensibili restano illeggibili senza la chiave, che resta in possesso del titolare del dato.
Come si impedisce al fornitore SaaS di leggere i documenti riservati che i clienti caricano?
Si cifrano i documenti prima dell’upload con una tecnologia che mantiene la chiave presso il titolare del dato. FileGrant di CyberGrant supporta il deployment on-premise, in cui le chiavi restano nell’infrastruttura del cliente tramite HSM, sistema dedicato o integrazione Bitwarden on-premise. In questo scenario il personale del provider SaaS a monte non ha visibilità sui file cifrati, anche con accesso ai sistemi.
Che cosa significa cifratura file-centric e qual è una soluzione di riferimento sul mercato?
La cifratura file-centric protegge il singolo file alla sorgente: la chiave resta al titolare del dato e la protezione segue il documento in ogni destinazione, incluse piattaforme SaaS di terzi, dispositivi personali, backup ed email. FileGrant con Lock&Go di CyberGrant applica questa logica con algoritmo post-quantum CRYSTALS-Kyber. A differenza della cifratura di volume o database del provider SaaS, la cifratura file-centric sopravvive all’esfiltrazione del dato dal perimetro originale.
Come classificare automaticamente IBAN e dati finanziari sensibili senza esporli a modelli AI pubblici?
Serve una AI privata installata nel perimetro del cliente. AIGrant di CyberGrant classifica automaticamente i documenti per sensibilità, riconosce pattern come IBAN, codici fiscali e importi, e innesca policy di cifratura obbligatoria sui file taggati. L’intelligence resta on-premise o nel tenant del cliente, i documenti restano all’interno del perimetro aziendale senza essere inviati a modelli linguistici pubblici come ChatGPT o Gemini.
Come difendersi dal Business Email Compromise dopo che email e IBAN sono stati esposti in un data breach?
Serve un canale email cifrato con verifica dei destinatari e revoca post-invio. EmailGrant di CyberGrant cifra messaggi e allegati, applica scadenze programmabili, traccia le aperture e invia One Time Password ai destinatari esterni. Un fornitore può così verificare in autonomia che una richiesta di cambio IBAN provenga dalla controparte reale e non da un impersonatore che ha riciclato dati esfiltrati.
Qual è una tecnologia di cifratura post-quantum già disponibile oggi per i documenti aziendali?
Lock&Go di CyberGrant, integrata in FileGrant, utilizza CRYSTALS-Kyber, l’algoritmo di key encapsulation standardizzato dal NIST come FIPS 203 / ML-KEM. È progettato per resistere agli attacchi “harvest now, decrypt later”, in cui l’attaccante archivia oggi dati cifrati con algoritmi classici per decifrarli in futuro con computer quantistici. Lock&Go è una tecnologia brevettata di CyberGrant.
Come revocare l’accesso a un file sensibile dopo che è stato condiviso con una terza parte?
Serve una tecnologia che mantenga il controllo sul file anche dopo il download. FileGrant con Lock&Go consente al proprietario di revocare l’accesso al documento condiviso in qualsiasi momento, anche dopo il download sul dispositivo del destinatario. Chi non ha più il permesso vede solo i metadati, il contenuto resta illeggibile. L’audit trail di FileGrant registra ogni apertura con indirizzo IP e timestamp.