Attacco hacker a TeamSystem: perché il furto di IBAN e movimenti contabili possono essere un problema

TeamSystem, tra i principali fornitori italiani di software gestionali per aziende, ha comunicato ai propri clienti di aver subito un accesso non autorizzato che ha interessato il servizio di Contabilità in Cloud, con il conseguente furto dei dati personali presenti nel software. Nella e-mail inviata ai clienti, l'azienda parla di “un sofisticato incidente di sicurezza informatica” che ha portato a un accesso non autorizzato e all'esfiltrazione di dati personali, tra cui dati anagrafici, coordinate bancarie, email e numeri di telefono.

Quali dati sono finiti nelle mani degli hacker

Interpellata dall'Adnkronos, l'Agenzia per la cybersicurezza nazionale (ACN) ha chiarito che l'attacco subito da TeamSystem non dovrebbe toccare i privati cittadini e che a risentirne potrebbero essere soltanto le aziende che si servono dei prodotti della società. Secondo quanto precisato dagli esperti dell'ACN, le informazioni sottratte rientrano in tre tipologie, ovvero i dati anagrafici, i recapiti e le coordinate bancarie (IBAN), insieme ai dati sulle operazioni contabili dei clienti.

Quanto alle conseguenze, il pericolo concreto è circoscritto a possibili campagne di phishing orientate soprattutto alle truffe di natura finanziaria, come il cosiddetto "IBAN swapping", ossia la sostituzione fraudolenta delle coordinate bancarie. Al momento, però, la società non ha reso nota la falla sfruttata per l'intrusione, né tantomeno la quantità di dati sottratti o il numero di soggetti coinvolti. Inoltre, non risultano richieste di riscatto né rivendicazioni. Stando alla comunicazione ufficiale dell'azienda, le credenziali e le password degli utenti non sarebbero state compromesse.

Perché un IBAN rubato potrebbe essere un problema

Sulla portata dell'episodio è intervenuto, sempre attraverso l'Adnkronos, Ranieri Razzante, docente universitario ed esperto di cybercrime, secondo cui l'attacco è grave proprio perché ha colpito un'azienda leader del settore informatico italiano e strutturata sul fronte della cybersicurezza.

Secondo Razzante, «Spesso gli hacker sono agevolati da comportamenti imprudenti delle vittime o dalla scarsa attenzione alle misure di data protection. Nel caso in questione, poi, con gli IBAN e i dati personali che pare siano stati rubati, la raccomandazione ai soggetti intestatari è di stare molto attenti ai movimenti bancari di questi giorni e, se ci sono carte, di bloccare pagamenti sospetti».

Aver messo le mani su IBAN e sullo storico delle operazioni contabili apre scenari tutt'altro che rassicuranti. Chi conosce nel dettaglio come funzionano i rapporti d'affari tra due o più aziende, dalla cadenza con cui vengono saldate le fatture al tipo di prestazioni fornite, dispone di tutto ciò che serve per infilarsi in quelle relazioni con messaggi confezionati su misura, con l'obiettivo di persuadere uno dei soggetti coinvolti a versare il compenso della prossima consulenza, o della prossima revisione dei conti, su coordinate bancarie diverse dal solito, che in realtà fanno capo ai truffatori e non più alle aziende fornitrici.

Quali sono i rischi dell'Email Compromise

Lo scorso febbraio il CSIRT Italia, la struttura dell'Agenzia per la cybersicurezza nazionale che monitora le minacce informatiche, aveva diffuso un'allerta proprio su questo genere di frode, nota come Business Email Compromise. Ciò che emerge dalla nota è che «una volta ottenuto l’accesso alla casella compromessa, gli attori malevoli non agiscono immediatamente, ma visionano le conversazioni per individuare eventuali scambi commerciali pendenti. Sfruttando tale contesto, ricorrono a tecniche di Email Thread Hijacking, inserendosi in dialoghi legittimi tra l’organizzazione e i propri clienti o partner».

E una volta sfruttato un nuovo dominio sosia, «l’attaccante procede a configurare un account di posta elettronica con cui si finge un dipendente dell’organizzazione compromessa. Attraverso questo indirizzo, invia a un cliente legittimo dell’azienda una comunicazione fraudolenta in cui richiede il saldo di una fattura apparentemente pendente, indicando però nuove coordinate bancarie (IBAN) controllate dall’attaccante».

Come difendersi da questo genere di minacce informatiche

Le contromisure indicate dall'Agenzia specificano proprio di non accedere a collegamenti internet o a relativi contenuti esterni se non si è certi dell’affidabilità della risorsa, accertarsi della legittimità dei siti che richiedono l’inserimento dei propri dati d’accesso, provvedere all’immediata rotazione delle credenziali di accesso per tutte le utenze coinvolte o sospette, garantendo l'adozione di criteri di complessità adeguati in linea con le policy di sicurezza vigenti.

Al tempo stesso, è fondamentale implementare meccanismi di autenticazione forte a presidio di tutti gli account di posta elettronica, così da mitigare il rischio derivante dalla compromissione delle sole password: in questi casi, va sempre ricordato che davanti a qualsiasi richiesta anomala va adottata una procedura di verifica fuori banda, cioè un controllo attraverso un canale diverso da quello con cui è arrivata la richiesta, come una telefonata diretta al fornitore o a un numero già noto, e non a quello indicato nel messaggio.

non perderti questo articolo

Come proteggere il computer dagli hacker: 5 consigli essenziali