Attacco hacker a TeamSystem: perché la cybersecurity entra nella due diligence e nel valore di un hotel

27/08/2026 - 27/08/2029

Il caso TeamSystem porta alla luce un tema che il settore alberghiero non può più considerare esclusivamente informatico. Quando dati aziendali, contatti e coordinate bancarie diventano disponibili per costruire frodi credibili, il cyber risk entra direttamente nella gestione finanziaria dell’hotel, nei sistemi di controllo interno, nella due diligence e, in ultima analisi, nella protezione del valore dell’impresa.

 

Il 27 agosto 2026 Adnkronos ha riportato la notizia dell’attacco informatico che ha interessato TeamSystem.

 

Secondo quanto comunicato, a partire dal pomeriggio del 24 agosto sarebbe stato rilevato un accesso non autorizzato al software Contabilità in Cloud, con sottrazione di dati anagrafici, coordinate bancarie IBAN, indirizzi e-mail e numeri di telefono.

 

L’Agenzia per la Cybersicurezza Nazionale, interpellata da Adnkronos, ha indicato tra i possibili rischi campagne di phishing finalizzate a frodi finanziarie, compreso il cosiddetto IBAN swapping, richiamando la necessità di verificare attentamente l’identità di chi richieda, ad esempio, una modifica delle coordinate bancarie presenti nelle anagrafiche aziendali.

 

Per il settore alberghiero questa notizia merita una lettura diversa dalla semplice cronaca.

 

La domanda non è soltanto:

 

“I sistemi informatici dell’hotel sono sicuri?”

 

La domanda più importante è:

 

“Quanto denaro può perdere l’impresa se qualcuno riesce a convincere una persona autorizzata a effettuare un pagamento apparentemente corretto verso il conto sbagliato?”

 

È qui che la cybersecurity smette di essere soltanto tecnologia e diventa governance alberghiera.

 

Un IBAN rubato non è il problema. Il problema è la credibilità della frode

 

Conoscere un IBAN, isolatamente, non significa normalmente poter disporre liberamente del denaro presente su un conto corrente.

 

Il rischio cresce quando un dato bancario viene associato ad altre informazioni reali:

 

• denominazione della società;

• nominativi;

• indirizzi e-mail;

• numeri telefonici;

• identità delle controparti;

• relazioni commerciali;

• informazioni disponibili pubblicamente sull’impresa.

 

A quel punto può diventare possibile costruire una comunicazione molto più credibile.

 

Per una struttura alberghiera il rischio tipico può assumere una forma estremamente semplice.

 

Un addetto amministrativo riceve una comunicazione apparentemente proveniente da un fornitore:

 

“A seguito di una variazione delle nostre coordinate bancarie, da oggi vi chiediamo di effettuare i pagamenti sul nuovo IBAN.”

 

Il fornitore esiste.

 

La società è conosciuta.

 

La firma sembra corretta.

 

L’indirizzo e-mail può apparire plausibile.

 

La richiesta arriva nel momento in cui esistono realmente fatture da pagare.

 

La frode non deve quindi necessariamente violare il conto corrente dell’hotel.

 

Può limitarsi a fare in modo che sia l’hotel stesso a disporre volontariamente il bonifico.

 

Perché un hotel è un bersaglio organizzativamente interessante

 

La complessità amministrativa di una struttura alberghiera è spesso molto superiore a quella percepita dall’esterno.

 

Anche un singolo hotel può intrattenere contemporaneamente rapporti con:

 

• proprietà immobiliare;

• società di gestione;

• fornitori food & beverage;

• lavanderie;

• società di housekeeping;

• manutentori;

• società energetiche;

• software house;

• consulenti;

• compagnie assicurative;

• agenzie di viaggio;

• tour operator;

• OTA;

• società di marketing;

• società di revenue management;

• banche;

• società finanziarie;

• professionisti;

• dipendenti e collaboratori.

 

Nel frattempo vengono gestiti:

 

bonifici, carte di credito, virtual credit card, incassi OTA, commissioni, depositi, anticipi, caparre, rimborsi, chargeback, note di credito, stipendi e pagamenti ricorrenti.

 

Un hotel non è quindi soltanto un luogo nel quale vengono vendute camere.

 

È una piattaforma economica attraverso la quale transitano ogni giorno informazioni e denaro.

 

E maggiore è il numero delle transazioni, maggiore diventa l’importanza della qualità dei controlli.

 

Il cyber risk è ormai rischio finanziario

 

Questo è probabilmente il punto che interessa maggiormente proprietà, investitori e finanziatori.

 

Per molti anni la cybersecurity è stata considerata principalmente un tema del reparto IT.

 

Oggi questa impostazione è insufficiente.

 

Un incidente cyber può trasformarsi rapidamente in:

 

• perdita finanziaria;

• interruzione operativa;

• contenzioso;

• costo assicurativo;

• perdita di dati;

• danno reputazionale;

• responsabilità organizzative;

• tensione di liquidità.

 

Di conseguenza la cybersecurity entra progressivamente nella stessa area concettuale nella quale già collochiamo:

 

controllo di gestione, segregazione delle funzioni, procedure autorizzative, risk management e governance.

 

Per un albergo, proteggere il proprio risultato economico non significa soltanto aumentare il GOP.

 

Significa anche ridurre la probabilità che parte di quel risultato venga distrutta da un processo amministrativo vulnerabile.

 

L’errore più grave: pensare che basti proteggere il PMS

 

Un hotel può avere:

 

• firewall aggiornati;

• antivirus;

• autenticazione multifattore;

• backup;

• PMS protetto;

• password complesse;

 

e subire comunque una frode.

 

Perché non tutte le frodi richiedono la compromissione dei sistemi dell’hotel.

 

In molti casi il punto di ingresso può essere semplicemente una persona.

 

Il criminale non tenta necessariamente di “entrare” nell’azienda.

 

Tenta di convincere qualcuno dentro l’azienda a compiere l’operazione al suo posto.

 

È una differenza sostanziale.

 

La sicurezza tecnologica rimane essenziale, ma deve essere affiancata da una sicurezza organizzativa.

 

La procedura che ogni hotel dovrebbe avere sul cambio IBAN

 

Una modifica delle coordinate bancarie di un fornitore non dovrebbe mai essere trattata come una normale variazione anagrafica.

 

Dovrebbe essere classificata come operazione finanziariamente sensibile.

 

Una procedura robusta dovrebbe prevedere almeno sette passaggi.

 

1. Nessuna modifica basata sulla sola e-mail

Una comunicazione elettronica non dovrebbe essere sufficiente per modificare autonomamente le coordinate di pagamento.

 

2. Verifica su un secondo canale

Il fornitore dovrebbe essere contattato utilizzando un recapito già conosciuto e precedentemente registrato.

Non il numero eventualmente indicato nella stessa e-mail che comunica il nuovo IBAN.

 

3. Segregation of duties

Chi modifica l’anagrafica bancaria non dovrebbe, quando l’organizzazione lo consente, essere anche l’unico soggetto che autorizza il pagamento.

 

4. Doppia autorizzazione

Per pagamenti oltre determinate soglie dovrebbe essere prevista una seconda approvazione.

 

5. Alert sui nuovi beneficiari

La prima disposizione verso un nuovo conto corrente dovrebbe essere identificata come operazione da sottoporre a controllo rafforzato.

 

6. Tracciabilità

 

Ogni modifica delle coordinate bancarie dovrebbe lasciare evidenza di:

 

• chi l’ha richiesta;

• quando è stata ricevuta;

• chi l’ha verificata;

• attraverso quale canale;

• chi l’ha autorizzata.

 

7. Monitoraggio bancario

Movimenti anomali o inattesi devono poter essere individuati rapidamente.

Nel caso TeamSystem, l’invito alla particolare attenzione sui movimenti bancari è stato richiamato anche dall’esperto di cybercrime Ranieri Razzante nell’intervista ad Adnkronos.

 

Il direttore d’hotel deve occuparsi anche di questo?

 

Sì.

 

Non significa che il General Manager debba diventare un esperto di cybersecurity.

 

Significa che deve sapere se l’organizzazione che dirige possiede procedure adeguate per proteggere il denaro dell’impresa.

 

Un direttore dovrebbe essere in grado di rispondere ad alcune domande molto semplici:

 

Chi può modificare l’IBAN di un fornitore?

 

Chi può creare un nuovo beneficiario?

 

Chi può predisporre un bonifico?

 

Chi lo autorizza?

 

Esiste una soglia oltre la quale servono due approvazioni?

 

Come viene verificata una richiesta di modifica delle coordinate bancarie?

 

Cosa accade quando viene creato un nuovo beneficiario?

 

Chi controlla quotidianamente i movimenti bancari?

 

Se nessuno conosce con precisione le risposte, esiste un problema di governance.

 

Dalla cybersecurity alla due diligence alberghiera

 

Il tema diventa ancora più interessante quando l’hotel cambia proprietà.

 

Quando viene analizzata un’acquisizione alberghiera, la due diligence tende correttamente a concentrarsi su:

 

• immobile;

• urbanistica;

• autorizzazioni;

• contratti;

• personale;

• fiscalità;

• bilanci;

• EBITDA;

• CapEx;

• contenziosi;

• posizionamento commerciale.

 

Ma un investitore sofisticato dovrebbe chiedersi anche:

 

quanto sono robusti i processi attraverso i quali vengono movimentati i soldi dell’hotel?

 

Non basta sapere quanto EBITDA genera l’azienda.

 

Bisogna capire con quale qualità organizzativa quell’EBITDA viene prodotto e protetto.

 

Una società con controlli amministrativi deboli può nascondere rischi non immediatamente visibili nel conto economico.

 

Ed è qui che il concetto di due diligence deve evolvere.

 

Un hotel con processi fragili può valere meno

 

Il principio finanziario è semplice.

 

Il valore di un’impresa dipende dalla capacità di produrre flussi economici futuri e dal rischio associato a quei flussi.

 

Se due hotel generano lo stesso EBITDA ma uno presenta:

 

• procedure formalizzate;

• segregazione dei poteri;

• controllo dei pagamenti;

• reporting affidabile;

• tracciabilità;

• business continuity;

• adeguati sistemi informatici;

 

mentre l’altro concentra password, bonifici, variazioni anagrafiche e autorizzazioni nelle mani di poche persone senza procedure strutturate, i due profili di rischio non sono equivalenti.

 

La differenza potrebbe non apparire immediatamente nel conto economico.

 

Ma esiste.

 

E un investitore professionale dovrebbe considerarla.

 

La cybersecurity può quindi incidere sull’enterprise value?

 

Non esiste naturalmente una formula del tipo:

 

“assenza di una procedura cyber = meno X% sul valore dell’hotel”.

 

Sarebbe una semplificazione impropria.

 

Il meccanismo è più sofisticato.

 

Processi deboli possono aumentare:

 

• rischio operativo;

• necessità di interventi post-acquisizione;

• costi di remediation;

• rischio di interruzione;

• esposizione a frodi;

• rischio reputazionale;

• complessità assicurativa.

 

In un’operazione di acquisizione tutto questo può riflettersi nella percezione complessiva del rischio.

 

E il rischio, in finanza, ha un prezzo.

 

Per questo una due diligence alberghiera evoluta non dovrebbe chiedere esclusivamente:

 

“Quanto guadagna l’hotel?”

 

Dovrebbe chiedere anche:

 

“Quanto è affidabile l’infrastruttura organizzativa che consente a quell’hotel di guadagnare?”

 

Anche la bancabilità passa dalla qualità dei controlli

 

Lo stesso ragionamento riguarda il rapporto con il sistema finanziario.

 

Una banca non finanzia soltanto un immobile.

 

Finanzia la capacità del progetto di generare e preservare cash flow sufficiente a servire il debito.

 

Più l’hotel è strutturato, più è leggibile.

 

Più è leggibile, più diventa possibile valutarne correttamente il rischio.

 

Procedure amministrative, controllo di gestione, reporting, deleghe, governance e sistemi informativi sono quindi elementi diversi di una stessa architettura:

 

la capacità dell’impresa di produrre risultati economici in maniera controllata e ripetibile.

 

Il cyber risk entra esattamente dentro questa architettura.

 

L’impatto sull’EBITDA può sembrare invisibile. Fino al giorno in cui non lo è più

 

Supponiamo che un hotel produca €1 milione di EBITDA.

 

Una frode da €100.000 non modifica il modello di business dell’hotel.

 

Ma può distruggere il 10% di un anno di risultato operativo.

 

Se poi la frode genera:

 

• costi legali;

• nuovo pagamento al vero fornitore;

• interruzione del servizio;

• franchigie assicurative;

• consulenze;

• remediation informatica;

 

l’effetto economico può aumentare.

 

Il punto non è quindi stabilire che ogni incidente cyber produce necessariamente tali conseguenze.

 

Il punto è comprendere che il rischio digitale può avere una traduzione economica estremamente concreta.

 

La cyber due diligence dovrebbe entrare nelle acquisizioni hotel

 

Nelle operazioni più strutturate sarebbe ragionevole verificare almeno:

 

Sistemi

 

• PMS;

• ERP;

• contabilità;

• POS;

• channel manager;

• CRM;

• sistemi di pagamento.

 

Accessi

 

• utenti attivi;

• privilegi amministrativi;

• autenticazione multifattore;

• procedure di revoca degli accessi.

 

Pagamenti

 

• creazione beneficiari;

• variazioni IBAN;

• deleghe;

• doppie autorizzazioni;

• limiti operativi.

 

Dati

 

• backup;

• conservazione;

• segregazione;

• accesso alle informazioni sensibili.

 

Continuità operativa

 

• disaster recovery;

• procedure in caso di indisponibilità dei sistemi;

• gestione dell’incidente.

 

Governance

 

• responsabilità;

• procedure;

• formazione;

• tracciabilità;

• escalation.

 

Non serve trasformare ogni acquisizione alberghiera in un audit informatico.

 

Serve però comprendere che nel 2026 ignorare completamente il rischio tecnologico durante una due diligence significa lasciare inesplorata una componente reale del rischio operativo dell’azienda.

 

Asset immobiliare e operating business non possono più essere analizzati separatamente

 

Questo punto è particolarmente rilevante nel settore alberghiero.

 

Un hotel viene spesso percepito innanzitutto come immobile.

 

Ma il valore economico di una struttura ricettiva deriva dall’interazione tra:

 

real estate + operating business + management + brand + distribuzione + tecnologia + capitale umano.

 

Un edificio può essere eccellente.

 

La location può essere forte.

 

Le camere possono essere state appena ristrutturate.

 

Ma se l’operating company possiede sistemi amministrativi fragili, reporting poco affidabile e processi non controllati, una parte del rischio dell’operazione si trova fuori dall’immobile.

 

È uno dei motivi per cui su Investhotel l’analisi delle operazioni di vendita, acquisizione, trasformazione e valorizzazione delle strutture alberghiere non può limitarsi al solo valore immobiliare.

 

Su InvestimentiAlberghieri.it il tema viene osservato invece dal punto di vista del capitale, della finanza, delle operazioni e della creazione di valore nel settore hospitality.

 

Attraverso Hotel Management Group l’attenzione si concentra sulla qualità della gestione: controllo economico, organizzazione, governance, procedure e capacità dell’hotel di trasformare i ricavi in redditività sostenibile.

 

Perché proteggere il valore è parte della stessa disciplina necessaria per crearlo.

 

Il test da fare domani mattina in hotel

 

Esiste una domanda che ogni proprietario, direttore generale o CFO alberghiero potrebbe porre domani alla propria amministrazione:

 

“Se oggi uno dei nostri cinque principali fornitori ci comunicasse via e-mail un nuovo IBAN, cosa accadrebbe?”

 

Se la risposta fosse:

 

“Cambieremmo le coordinate e procederemmo con il prossimo pagamento”,

 

esiste una vulnerabilità.

 

Se invece la risposta fosse:

 

“La variazione viene bloccata, il fornitore viene richiamato attraverso un contatto già presente nei nostri archivi, una seconda persona valida il nuovo beneficiario e soltanto dopo viene autorizzato il pagamento”,

 

l’impresa possiede già una barriera organizzativa significativa.

 

Questo test non richiede software.

 

Richiede governance.

 

Dal RevPAR al risk management

 

L’industria alberghiera ha compiuto enormi progressi nella capacità di misurare le performance.

 

Oggi monitoriamo quotidianamente:

 

ADR.

 

Occupancy.

 

RevPAR.

 

GOP.

 

EBITDA.

 

Food cost.

 

Payroll.

 

Cash flow.

 

La prossima evoluzione consiste nel comprendere che non basta misurare quanto valore viene prodotto.

 

Bisogna misurare anche quanto è protetto il sistema che lo produce.

 

Un hotel professionalmente gestito non è soltanto quello che vende bene le proprie camere.

 

È quello che possiede procedure capaci di evitare che una singola e-mail possa trasformarsi in una perdita rilevante.

 

La vera lezione del caso TeamSystem per l’hotellerie

 

Il caso TeamSystem non dimostra che la tecnologia sia diventata troppo rischiosa.

 

Dimostra esattamente il contrario.

 

La digitalizzazione del settore alberghiero continuerà.

 

PMS cloud, CRM, revenue management, business intelligence, sistemi di pagamento, automazione e intelligenza artificiale diventeranno sempre più centrali nella gestione.

 

Ma più un hotel diventa digitale, più deve diventare manageriale.

 

Occorrono tecnologia e procedure.

 

Automazione e controllo.

 

Velocità e segregazione dei poteri.

 

Dati e governance.

 

Perché nel nuovo modello alberghiero il valore non dipende soltanto dalla capacità di generare EBITDA.

 

Dipende anche dalla capacità di difenderlo.

 

Ed è qui che cybersecurity, controllo interno, due diligence e valore aziendale iniziano a parlare la stessa lingua.

---

 

Per analisi alberghiere, due diligence, controllo di gestione, governance, organizzazione, valutazione e valorizzazione di strutture ricettive:

 

r.necci@robertonecci.it

 

Approfondimenti:

 

Investhotel – Operazioni, acquisizioni e valorizzazione alberghiera

 

InvestimentiAlberghieri.it – Investimenti, finanza e mercato hospitality

 

Hotel Management Group – Gestione, controllo e advisory alberghiero

---

 

Maggiori informazioni, sulle nostre attività consulenziali sono disponibili sul sito www.neccihotels.it , relativamente alla finanza di impresa ed all'assistenza in situazioni speciali www.investhotel.it