Data breach al software di contabilita’ in cloud? Il problema è il tuo!
1 Settembre 2026
Avv. Francesco Cucci
Parliamo di stampanti.
Sì, stampanti!
Lo so cosa stai pensando: “Cucci, ma che mi importa delle stampanti? Ho problemi più seri.” Ed è esattamente questo il punto. È esattamente per questo che sei esposto.
Il 31 agosto l’ACN ha pubblicato un alert critico — impatto sistemico 78.71 su 100 — su due vulnerabilità attivamente sfruttate nei software PaperCut NG e MF. Se non sai cosa sono, te lo spiego: sono i sistemi che gestiscono le code di stampa aziendali, tracciano chi stampa cosa, gestiscono i costi, controllano gli accessi alle stampanti di rete.
Praticamente ogni PMI strutturata ne ha uno. Magari non PaperCut, ma qualcosa di simile. E qui viene il bello!
Il problema tecnico (che devi capire anche se non sei tecnico)
La CVE-2026-82078 ha un punteggio di severità di 9.4 su 10. Permette a un attaccante di eseguire codice arbitrario sul server. Tradotto: entra nel tuo sistema e fa quello che vuole.
La CVE-2026-81578, con score 8.8, è un bypass dell’autenticazione. L’attaccante non ha bisogno di credenziali: aggira il login dell’interfaccia amministrativa e modifica le configurazioni.
La combinazione è devastante. Entro, bypasso l’autenticazione, eseguo codice. Game over.
Ma questo l’hai già letto nel bollettino ACN, se l’hai letto. Quello che non hai letto è cosa significa per te come imprenditore.
L’angolo cieco: la stampante è un trattamento dati
Fermati un secondo. Cosa passa attraverso il tuo sistema di gestione stampe?
– Contratti con dati dei clienti
– Buste paga dei dipendenti
– Referti medici (se sei nel settore sanitario)
– Documenti legali riservati
– Fatture con dati fiscali
Il sistema di print management non è “solo una stampante”. È un sistema di trattamento dati personali a tutti gli effetti. Registra chi stampa, cosa stampa, quando, spesso conserva copie temporanee dei documenti.
Una compromissione di PaperCut non è solo un “problema IT”. È anche un data breach.
Le conseguenze che il tuo IT non ti ha spiegato
Primo: obbligo di notifica al Garante.
Articolo 33 GDPR. Se la violazione presenta un rischio per i diritti e le libertà delle persone fisiche, hai 72 ore per notificare. Non 72 ore lavorative. 72 ore. Weekend e festivi inclusi.
Un attaccante che accede al tuo print server può aver visto, copiato o esfiltrato ogni documento transitato. Prova tu a dimostrare che “non c’è rischio” quando non sai nemmeno cosa ha fatto dentro al sistema.
Secondo: comunicazione agli interessati.
Se il rischio è elevato (perché magari tratti dati “sensibili”), devi informare anche tutti i soggetti i cui dati potrebbero essere stati compromessi. Clienti, dipendenti, fornitori. Immagina la telefonata: “Gentile cliente, la informiamo che i suoi contratti potrebbero essere stati rubati attraverso la nostra stampante.”
Terzo: la responsabilità amministrativa
Articolo 38 del D.Lgs. 231/2001, in combinato con l’art. 83 GDPR. Le sanzioni per violazioni privacy possono arrivare a 20 milioni di euro o al 4% del fatturato globale. E in certi casi, la responsabilità è personale dell’amministratore.
Quarto: se sei soggetto NIS2, il quadro peggiora.
La Direttiva NIS2 è operativa. Se la tua azienda rientra tra i soggetti essenziali o importanti — e la platea è molto più ampia di quanto pensi — una compromissione dei sistemi IT è un incidente di sicurezza da notificare al CSIRT con tempistiche stringenti (entro massimo 24 ore).
Il sistema di stampa è parte della tua infrastruttura IT. Una vulnerabilità critica non patchata può configurare negligenza nella gestione del rischio cyber. E la NIS2 prevede responsabilità diretta del management.
Cosa devi fare adesso
1. Verifica se hai PaperCut (o sistemi simili). Chiedi al tuo IT. Se la risposta è “non lo so”, hai un problema più grande.
2. Se hai PaperCut, controlla la versione. Vulnerabili: tutte le versioni precedenti alla 24.1.9 Emergency Patch Release 2, le 25.x precedenti alla 25.0.12 EPR2, le 26.x precedenti alla 26.0.4 EPR2.
3. Patcha immediatamente. Non domani. Non lunedì. Adesso. Gli exploit sono già in circolazione.
4. Controlla gli indicatori di compromissione elencati nel bollettino PaperCut. Se trovi qualcosa, è già tardi per prevenire. Ma non è tardi per gestire.
5. Documenta tutto. Ai fini GDPR e NIS2, la documentazione delle azioni intraprese è la tua prima linea di difesa in caso di ispezione.
La vera domanda
Il tuo sistema di print management è nell’elenco dei trattamenti del registro GDPR? È stato incluso nella valutazione dei rischi? Hai procedure di patch management documentate?
Se la risposta a una qualsiasi di queste domande è “no” o “non so”, non hai solo una vulnerabilità tecnica. Hai una vulnerabilità legale.
E quella, credimi, se ti va male, può far più danni di un ransomware.
Vuoi capire se la tua azienda è esposta a questo tipo di rischi combinati cyber-legal? Contattami per una consulenza — il mio approccio è tecnico e legale insieme, perché oggi non puoi permetterti di separarli.
