Caso TeamSystem, come difendersi dalle frodi costruite con i dati rubati

Nei giorni scorsi, un incidente di sicurezza informatica ha interessato la piattaforma di gestione contabile in cloud di TeamSystem. Questo incidente, ad avviso di chi scrive, deve essere analizzato per quello che realmente rappresenta: non un “semplice” problema di riservatezza informatica, ma la fase preparatoria di un piano di monetizzazione finanziaria.

Quando la tipologia di dati esfiltrati comprende anagrafiche, storici delle transazioni, causali, importi e coordinate IBAN, la finalità dell’attacco non è quasi mai l’intrusione tecnica diretta nei conti correnti (operazione molto complessa, allo stato dell’arte, in quanto protetta da autenticazione a più fattori e protocolli bancari stringenti), bensì la strutturazione di frodi finanziarie ad alto rendimento.

Comprendere questo passaggio è fondamentale per impostare una difesa efficace, poiché sposta il problema dal piano tecnologico a quello procedurale.

La fallacia del “come hanno fatto”: il valore del contesto informativo

Di fronte a un episodio di Business Email Compromise (BEC) o di un pagamento in frode su un conto corrente, la reazione immediata all’interno delle organizzazioni tende a concentrarsi su interrogativi errati: «Come facevano ad avere tutti questi dettagli sui nostri fornitori e clienti?» oppure «Com’è stato possibile cadere in un inganno simile?».

In presenza di un’esfiltrazione capillare di dati contabili, queste domande perdono di significato. Quando un criminale informatico possiede l’esatto quadro operativo di un’azienda, l’attacco non si presenta come un tentativo di phishing generico o sgrammaticato. La comunicazione fraudolenta contiene:

• Il nome esatto del fornitore e del referente abituale.
• Il numero di fattura corretto e la relativa data di emissione.
• L’importo esatto in scadenza e la causale d’ordine reale.
• La coincidenza temporale perfetta con il ciclo abituale di pagamento.

In questo scenario, la comunicazione inviata dall’attaccante è indistinguibile da una normale interlocuzione di routine. Non esiste alcun elemento visivo o logico che possa far presagire l’anomalia all’operatore che riceve il messaggio, poiché l’attaccante ha a disposizione l’intera verità documentale dell’operazione. Chiedersi “come abbiano fatto” significa non comprendere che, quando l’avversario possiede la totalità delle informazioni utili, l’inganno diventa la logica conseguenza del processo informativo alterato.

Le dinamiche di monetizzazione: BEC e CEO Fraud

La sottrazione dei dati contabili serve a costruire il contesto ideale per due primarie tipologie di frode finanziaria:

Invoice Redirect / Vendor Compromise

L’attaccante si posiziona al termine della catena di fatturazione. Conoscendo scadenze e importi, invia un’email che notifica una presunta variazione delle coordinate bancarie del fornitore per il saldo della fattura imminente. Poiché i riferimenti al contratto, alla prestazione e all’importo sono corretti, la richiesta di modificare l’IBAN viene recepita come una normale prassi amministrativa, portando all’esecuzione del bonifico verso un conto controllato dalla rete criminale.

Impersonificazione della direzione (CEO Fraud)

Dalle anagrafiche e dai registri contabili (coadiuvata da una buona ricerca on line e sui social) emerge con chiarezza la gerarchia aziendale e l’identità di chi gestisce i flussi di cassa. L’attaccante può inviare una comunicazione al responsabile della tesoreria simulando l’identità dell’Amministratore Delegato o di un vertice aziendale, richiedendo un pagamento “urgente e riservato”. La precisione dei dati contabili citati nel messaggio elimina i naturali dubbi dell’operatore, inducendolo a scavalcare le verifiche ordinarie in virtù dell’apparente autorevolezza e precisione della richiesta.

Come neutralizzare la minaccia: presidi procedurali e operativi

Poiché l’attacco si basa sulla verosimiglianza delle informazioni e non su un’intrusione tecnica nei sistemi dell’azienda vittima, le misure di protezione non possono basarsi sulla capacità dell’uomo di “riconoscere la truffa”, ma devono imporre processi che rendano la truffa inefficace a prescindere dalla sua credibilità.

Vediamo insieme alcune procedure da mettere in campo (e far applicare, cosa più difficile, specialmente in Italia):

Protocollo Out-of-Band (OOB) Obbligatorio

È la contromisura primaria e dirimente per il rischio di Invoice Redirect. Deve essere formalizzata una procedura aziendale rigida che preveda i seguenti passi:

• verifica telefonica indipendente: qualsiasi richiesta di variazione delle coordinate bancarie (IBAN), anche se ricevuta via PEC o firmata digitalmente, richiede tassativamente una conferma telefonica di controllo.
• uso esclusivo di recapiti certificati: la chiamata di verifica deve essere effettuata utilizzando unicamente il numero di telefono del fornitore già presente nell’anagrafica storica dell’azienda, con divieto assoluto di utilizzare i recapiti o i riferimenti indicati nell’email contenente la richiesta di modifica.

Segregazione delle responsabilità sui sistemi bancari (Principio dei 4 Occhi)

Indipendentemente dalla credibilità di una richiesta di pagamento, i sistemi di Corporate Banking aziendali devono essere configurati per impedire l’operatività a firma singola per le modifiche anagrafiche o per bonifici oltre determinate soglie:

• L’inserimento di un nuovo beneficio o la modifica di un IBAN esistente deve richiedere la convalida da parte di un secondo operatore o di un supervisore.
• Per operazioni straordinarie o urgenti deve essere prevista un’approvazione formale a doppio livello, eliminando la possibilità che una singola persona possa autorizzare un bonifico su sola sollecitazione email.

Configurazione tecnica della posta elettronica

Per impedire che gli attaccanti possano inviare email simulando direttamente il dominio dell’azienda o dei suoi partner, è indispensabile l’adozione corretta dei protocolli di autenticazione e-mail:

• SPF (Sender Policy Framework): Definisce quali server sono autorizzati a inviare posta per conto del dominio.
• DKIM (DomainKeys Identified Mail): Appone una firma digitale ai messaggi per garantirne l’integrità.
• DMARC (Domain-based Message Authentication, Reporting, and Conformance): Configurato con politica p=reject, impone ai server di posta riceventi di scartare automaticamente i messaggi che non superano i controlli SPF e DKIM, bloccando alla radice lo spoofing diretto del dominio.

Formazione procedurale del personale

La formazione dell’area amministrazione e finanza non deve limitarsi a mostrare “come sono fatte le email sospette”, poiché in questi casi le email appariranno del tutto legittime. L’addestramento deve invece focalizzarsi sulla rigidità procedurale: il personale deve comprendere che la deviazione da un processo di verifica stabilito (come il controllo Out-of-Band) costituisce un’interruzione della sicurezza aziendale, a prescindere da chi sia il presunto mittente o dalla presunta urgenza della richiesta.

Quando l’informazione contabile è compromessa alla fonte, la difesa dell’azienda non si misura sulla capacità di distinguere un’email vera da una falsa, ma sulla disciplina con cui vengono applicate le procedure di verifica finanziaria prima che il denaro esca dai conti aziendali.

Oltre l’incidente TeamSystem: la resilienza procedurale come unica difesa

L’episodio che ha coinvolto la piattaforma “Contabilità in Cloud” di TeamSystem offre una lezione fondamentale sulla natura del rischio informatico moderno. La rassicurazione fornita dall’azienda circa la mancata compromissione delle credenziali di accesso e delle password, sebbene positiva sul piano tecnico immediato, rischia di generare una falsa sensazione di sicurezza nelle organizzazioni colpite.

Il pericolo primario di questo data breach non risiede nella possibilità che un malintenzionato acceda al singolo profilo gestionale per alterare i registri, ma nell’uso tattico che verrà fatto all’esterno delle informazioni già esfiltrate. Nelle settimane e nei mesi successivi a una violazione di questa portata, la combinazione di IBAN, anagrafiche e storici di fatturazione diventa merce di scambio ed elemento di supporto per organizzazioni criminali specializzate nella frode finanziaria.

Per le imprese interessate, attendere che il problema si risolva con il ripristino o l’hardening dei sistemi da parte del fornitore del software rappresenta una svista strategica. La superficie d’attacco si è ormai spostata dall’infrastruttura cloud di TeamSystem ai processi di gestione del flusso di cassa di ciascuna azienda coinvolta.

Di fronte a dati contabili ormai compromessi, l’efficacia di un attacco non dipende più da una vulnerabilità informatica, ma unicamente dalla presenza o dall’assenza di un presidio procedurale interno. La capacità di neutralizzare le inevitabili truffe BEC e CEO Fraud che ne scaturiranno non sarà determinata dalla tecnologia del software gestionale, ma dal rigore con cui il personale amministrativo applicherà la verifica telefonica indipendente (Out-of-Band) e la doppia autorizzazione sui pagamenti prima di disporre qualsiasi bonifico. In ultima analisi, la vera difesa da una fuga di dati contabili di terze parti non è una barriera informatica, ma la disciplina operativa della tesoreria aziendale.