Il cyber attacco è avvenuto al modulo Bergantini della piattaforma del software scolastico del gruppo Spaggiari Parma.
ClasseViva, dove invece si trovano i dati di 4,5 milioni di utenti italiani, studenti e famiglie, complessivamente collegati a circa 4 mila istituti scolastici, non è coinvolta, secondo il Gruppo.
Ma secondo i cyber criminali, i dati sono già in vendita a 50 mila dollari. Il Gruppo Spaggiari cerca invbece di rassicurare i media spiegando che la tipologia delle informazioni rubate è composta soprattutto da “moduli per le supplenze degli insegnanti”. Tuttavia, secondo i cyber criminali, i dati sottratti relativi a studenti minorenni e docenti sarebbero ingenti.
“Questi casi gestiti da fornitori devono fare riflettere sui livelli di maturità delle organizzazioni colpite“, commenta Anna Cataleta, Senior Partner P4I – Partners4Innovation.
“Oltre al (pur rilevantissimo) tema dei 6 TB di dati che gli attaccanti sostengono di avere sottratto, la vicenda Spaggiari fa emergere un altro interrogativo: quanto conosciamo davvero l’ecosistema digitale al quale la scuola affida quotidianamente i dati di studenti, famiglie e personale?”, si chiede Tania Orrù, Data Protection, Compliance & Digital Governance Advisor.
Ecco quali rischi, soprattutto legati al phishing, corrono le persone coinvolte e come proteggersi.
Indice degli argomenti
Cyber attacco alla piattaforma del gruppo Spaggiari: l’impatto sulla privacy
Da una ricerca di Check Point Research, datata 2025, emerse che il settoree dell’istruzione risulta quello maggiormente colpito a livello globale dagli attacchi informatici. L’Italia si piazzava al secondo posto alle spalle di Hong Kong.
Secondo l’azienda, il cyber attacco riguarda un programma destinato alla modulistica tra istituti, docenti e famiglie.
Secondo il Gruppo Spaggiari, un’azienda che quest’anno compie cento anni di lavoro con le scuole, le informazioni oggetto del furto sono soprattutto “moduli per le supplenze degli insegnanti”.
Tuttavia l’attacco si è verificato, lo ha segnalato il gruppo hacker xplOitrs (specializzato in attacchi ransomware) lo scorso 20 agosto scorso, reso pubblico con una rivendicazione pubblica sulla piattaforma X e confermato dagli esperti di cyber sicurezza. Secondo gli attaccanti, invece, l’intrusione avrebbe sottratto una rilevante mole di dati relativi a studenti e docenti. Il Gruppo Spaggiarti smentisce le dichiarazioni dei criminali informatici.
“Il caso non riguarda solo l’aspetto cyber in sé (esfiltrazione dati e messa in vendita), ma in gioco è la protezione dei dati di minori, famiglie e personale scolastico: il tema è la grande differenza di consapevolezza fra le dichiarazioni rese dal soggetto notificante e quelle degli attaccanti“, sottolinea Anna Cataleta: “Oggi non essere trasparenti e circoscrivere gli incidenti ad ambiti che per altri canali si rivelano non essere quelli descritti, incide proprio sul meccanismo di trasparenza, di tempismo e sulla verificabilità tempestiva di un incidente, tutti aspetti che sono coperti da varie normative, dal GDPR al NIS2“, evidenzia Anna Cataleta.
Al messaggio pubblicato dal profilo @xploitrsturtle2 su X (“Stiamo preparando l’infrastruttura per mostrare al pubblico la bugia di Spaggiari”), è seguito l’aggiornamento del sito Ransomnews con un sample del materiale che dovrebbe testimoniare il furto, accanto a un banner che pubblicizza la vendita dei dati sottratti al prezzo di 50.000 dollari.
Il registro elettronico
“Il registro elettronico viene ancora percepito spesso come una sorta di versione digitale del vecchio registro di classe. In realtà, intorno a questi sistemi gravita ormai una parte importante dell’attività didattica e amministrativa degli istituti: identità, assenze, valutazioni, comunicazioni, documenti e, a seconda delle piattaforme e delle funzionalità utilizzate,
anche informazioni appartenenti a categorie particolari di dati. In più, gli interessati sono principalmente minori“, commenta Tania Orrù.
Phishing in aumento dopo ogni cyber attacco con furto dati
Ogni data breach comporta un aumento del rischio phishing, anche quando non risultano compromessi dati di pagamento, password o credenziali di accesso.
Dopo i casi di cyber attacchi a grandi organizzazioni, infatti, si verifica una crescita potenziale di tentativi di phishing, smishing e furto d’identità. Per questo motivo nel dark web salgono i prezzi dei dati in vendita, poiché sono preziosi per confezionare truffe mirate, attraverso messaggi più credibili e personali e più pericolose, da cui in futuro ottenere credenziali d’accesso o dati sensibili.
Da anni l’ACN richiama l’attenzione proprio sullo schema di email, Sms e telefonate, costruiti ad arte per indurre l’utente a fornire password, codici personali o dati personali (come carte di credito eccetera).
Infatti i profili sotto attacco possono includere elementi utili all’attività di profilazione da parte del cyber criminale, per ricostruire identikit per frodi future o comunque rendere più persuasive le truffe mirate.
GDPR e cyber attacco al Gruppo Spaggiari: il ruolo del DPO nelle scuole
“Sebbene sia importante la precisazione di Spaggiari secondo cui l’attacco avrebbe riguardato la parte ‘Modulistica Smart’ della piattaforma Bergantini, che sarebbe collocata su un’infrastruttura separata, dal punto di vista della protezione dei dati, circoscrivere tecnicamente il perimetro dell’incidente non esaurisce di certo le domande che riguardano soprattutto cosa accade prima dell’incidente”, aggiunge Tania Orrù: “E cioè: quali valutazioni privacy e di sicurezza vengono concretamente effettuate prima di affidare a una piattaforma dati relativi a migliaia di studenti, docenti e famiglie? Chi verifica
segregazione degli ambienti, sistemi di autorizzazione, cifratura, retention, logging, gestione delle vulnerabilità e degli incidenti? E queste verifiche vengono periodicamente aggiornate o il controllo si esaurisce negli adempimenti contrattuali iniziali?”.
Ecco le domande a cui servono risposte.
“Il GDPR, del resto, non conosce strumenti ‘compliant’ in astratto: conosce trattamenti, rischi e misure che devono essere adeguate a quei rischi. In un ambiente come quello scolastico, caratterizzato dalla presenza sistematica di minori e dalla possibile circolazione di dati particolarmente delicati, l’accountability dovrebbe tradursi in una valutazione sostanziale e continuativa della tecnologia utilizzata”, avverte Orrù.
Inoltre in questo quadro meriterebbe una riflessione “anche il ruolo dei DPO delle istituzioni scolastiche. In un settore nel quale non è infrequente che lo stesso professionista assista numerosi istituti, non è sufficiente sapere che il DPO abbia ricevuto formale designazione, quanto piuttosto poter garantire che lo stesso disponga concretamente del tempo, delle informazioni e delle condizioni necessarie per costituire un presidio effettivo rispetto a infrastrutture tecnologiche sempre più complesse”, mette in evidenza Orrù.
Come mitigare il rischio
Per mitigare il rischio, serve maggiore consapevolezza dei rischi sul phishing. Inoltre le scuole devono introdurre l’autenticazione a più fattori (MFA) e monitorare le tattiche di phishing.
Nell’era dell’AI, il phishing è sempre più sofisticato e mirato e non si riconosce più dagli errori di ortografia, eliminati dall’uso dell’intelligenza artificiale generativa.
Il settore dell’istruzione deve imparare a svolgere il monitoraggio dei nuovi domini relativi al proprio istituto, identificando casi di typosquatting o furto d’identità. Inoltre deve aggiornare i sistemi, iniziando ad applicare con regolarità le patch, soprattutto alle piattaforme come posta elettronica e strumenti di collaboration. Soluzioni avanzate possono prevenire le minacce che bloccano email, file e link malevoli prima di fare danni.
Le eventuali vittime del trafugamento dei dati devono porre attenzione a email, Sms e telefonate, perché potrebbero essere tentativi di phishing od altre truffe, costruite con i dati rubati.
Poiché questi attacchi creano in genere un contesto perfetto per campagne fraudolente costruite ad hoc, le persone coinvolte devono prestare attenzione a notifiche fasulle, richieste di aggiornamento account, false verifiche di identità, finte procedure che potrebbero richiedere l’immissioni di dati veri e dunque il furto di informazioni sensibili.
Infine “le aziende che non rispettano questi principi di affidabilità e che non sono coerenti con le impostazioni metodologiche delle normative come GDPR e NIS2, non risultano trasparenti di fronte ai loro consigli di amministrazione: questi elementi devono fare riflettere sui livelli di maturità delle organizzazioni”, conclude Anna Cataleta.
L’elemento nuovo e la notifica di un data breach
“C’è infine un elemento nuovo che questo episodio sembra mettere in evidenza. Gli attaccanti hanno minacciato di pubblicare materiale per dimostrare quella che definiscono la “bugia” di Spaggiari. Naturalmente le dichiarazioni di un gruppo criminale non possono essere considerate fonte attendibile poiché fanno parte della stessa strategia estorsiva”, sottolinea Tania Orrù: “Tuttavia, proprio questa circostanza mostra un’evoluzione interessante del ransomware. Alla tradizionale minaccia ‘pagate o pubblicheremo i dati’ potrebbe affiancarsene sempre più spesso un’altra: ‘Se minimizzate pubblicamente l’incidente, pubblicheremo i dati per smentirvi’”.
La minaccia di rovinare la reputazione dell’azienda attaccata, oltre alle conseguenze sul piano delle eventuali mancate notifiche.
“La comunicazione di un data breach diventa così essa stessa parte della superficie di rischio. Oltre ad essere tempestivi, è infatti necessario distinguere con grande precisione ciò che è stato accertato da ciò che è ancora oggetto di indagine. Nell’attuale scenario cyber, infatti, privacy, sicurezza informatica e crisis communication sono ormai tre componenti della stessa capacità di un’organizzazione di governare il rischio”, conclude Tania Orrù.
Partecipa alla community