Quando un attacco informatico coinvolge un fornitore utilizzato dal sistema scolastico, la domanda più importante non dovrebbe essere soltanto: «Il registro elettronico funziona ancora?». La domanda corretta è un’altra: quali informazioni affidiamo ogni giorno alle piattaforme digitali della scuola, chi le protegge e cosa può accadere quando quelle informazioni finiscono fuori dal perimetro per cui erano state raccolte?
La vicenda che ha coinvolto una piattaforma del Gruppo Spaggiari Parma riporta questo interrogativo al centro del dibattito. Secondo quanto ricostruito da Fanpage.it, un gruppo criminale avrebbe rivendicato la sottrazione di una quantità molto elevata di dati e avrebbe successivamente proposto il materiale in vendita per 50.000 dollari. Il Gruppo Spaggiari ha però precisato che ClasseViva, il registro elettronico utilizzato da milioni di persone, non sarebbe stato coinvolto nell’incidente, circoscrivendo l’accesso non autorizzato al modulo “Modulistica Smart” della piattaforma Bergantini.
È una distinzione fondamentale, che va rispettata. Ma non rende la vicenda meno importante. Anzi: permette di mettere a fuoco un problema più profondo. La scuola italiana è ormai una grande infrastruttura digitale distribuita. E spesso ci comportiamo ancora come se fosse soltanto un insieme di aule con qualche computer collegato a Internet.
Cosa sappiamo realmente dell’incidente
Prima delle interpretazioni vengono i fatti accertati e le versioni ufficialmente disponibili.
Gruppo Spaggiari ha comunicato che l’evento risale al 30 giugno 2026 e ha dichiarato di aver effettuato gli adempimenti previsti, tra cui la notifica al Garante per la protezione dei dati personali, la segnalazione all’Agenzia per la Cybersicurezza Nazionale e la denuncia all’autorità competente. La società sostiene inoltre che l’incidente sia rimasto circoscritto a Modulistica Smart di Bergantini, mentre ClasseViva e gli altri servizi indicati dal Gruppo non sarebbero stati interessati.
Fanpage.it ha riportato, attribuendole agli attaccanti e a piattaforme specializzate nel monitoraggio del ransomware, rivendicazioni relative a circa 6,1 terabyte di materiale proveniente da migliaia di istituti. La testata ha inoltre riferito dell’apparizione online di un campione dei dati e di un’offerta di vendita da 50.000 dollari. Queste informazioni, proprio perché derivano anche dalle rivendicazioni di soggetti criminali, devono essere trattate con cautela e non confuse automaticamente con dati definitivamente verificati dalle autorità.
La società ha spiegato a Fanpage che l’elevato volume sarebbe riconducibile soprattutto alla presenza di file PDF e immagini, come documenti d’identità e curriculum collegati prevalentemente a pratiche amministrative e domande di supplenza. Ha inoltre escluso, sulla base delle proprie verifiche, una presenza sistematica di documentazione sanitaria degli studenti nei dati coinvolti.
È quindi scorretto trasformare il caso nella formula semplicistica «hackerato il registro elettronico». Ma sarebbe altrettanto superficiale archiviarlo pensando: «ClasseViva non è stato violato, quindi nessun problema».
La scuola digitale contiene molto più dei voti degli studenti
Il problema è che oggi una piattaforma scolastica non custodisce soltanto assenze, voti e compiti.
Intorno a una scuola circolano curriculum, deleghe, richieste amministrative, documenti d’identità, certificazioni, recapiti, moduli relativi al personale, dati familiari e numerose altre informazioni. In determinate procedure possono transitare anche categorie di dati particolarmente delicate.
Questo cambia radicalmente il valore economico di un attacco.
Per un cybercriminale un documento non deve necessariamente contenere un segreto industriale per essere utile. Bastano nome, cognome, indirizzo, numero telefonico, posizione professionale, documento d’identità o informazioni sufficienti a costruire una comunicazione credibile.
Il vero valore dei dati rubati spesso emerge dopo la violazione.
Un archivio può essere utilizzato per phishing mirato, furti d’identità, social engineering, creazione di documentazione contraffatta oppure per combinare informazioni provenienti da più violazioni.
Ed è proprio qui che la cybersecurity scolastica incontra oggi l’intelligenza artificiale.
Con l’intelligenza artificiale il phishing diventa molto più credibile
Fino a pochi anni fa molte email di phishing erano riconoscibili da errori grammaticali, traduzioni improbabili e messaggi generici.
L’intelligenza artificiale generativa sta rapidamente eliminando questo vantaggio difensivo.
Un criminale che disponga di informazioni su un insegnante, un dirigente, una famiglia o un dipendente può utilizzare modelli linguistici per costruire comunicazioni personalizzate estremamente convincenti.
Immaginiamo un messaggio che conosca il nome della scuola, la posizione lavorativa del destinatario e la tipologia di procedura amministrativa alla quale potrebbe essere interessato.
«Occorre aggiornare la documentazione relativa alla sua domanda di supplenza».
Oppure:
«È necessario confermare i dati per completare la pratica già inoltrata».
La probabilità che una persona apra un allegato o inserisca le proprie credenziali aumenta enormemente quando il messaggio contiene elementi reali.
Per questo un data breach nel settore scolastico non termina nel momento in cui viene chiusa la vulnerabilità. Può trasformarsi in un rischio persistente che dura mesi o anni.
La stessa comunicazione ufficiale del Gruppo Spaggiari raccomanda attenzione verso eventuali comunicazioni sospette riconducibili a pratiche amministrative e benefici assistenziali.
Il problema della scuola italiana è anche la concentrazione digitale
Esiste poi una questione più strutturale.
Quando migliaia di istituti utilizzano lo stesso ecosistema tecnologico, si produce inevitabilmente una concentrazione del rischio.
Dal punto di vista organizzativo è perfettamente comprensibile: acquistare servizi maturi, centralizzati e aggiornati è generalmente più efficiente rispetto allo sviluppo autonomo di software da parte delle singole scuole.
Ma la centralizzazione produce anche quello che nella sicurezza informatica può essere interpretato come un enorme punto di concentrazione del valore.
Un aggressore non deve attaccare migliaia di scuole separatamente. Può tentare di colpire un fornitore utilizzato da migliaia di scuole.
È il problema della supply chain digitale.
Lo abbiamo visto negli attacchi contro provider cloud, software gestionali, fornitori IT e piattaforme utilizzate da grandi organizzazioni. La superficie di attacco non coincide più necessariamente con l’ente che utilizza il servizio.
Una scuola può adottare password robuste, aggiornare i computer e formare il personale, ma rimane comunque dipendente dalla sicurezza delle aziende alle quali affida dati e processi.
La cybersecurity, quindi, non può essere valutata soltanto all’interno dell’istituto.
Deve essere valutata lungo tutta la catena tecnologica.
Non basta chiedere se il fornitore rispetta il GDPR
Per molti anni il dibattito sulla protezione digitale nelle pubbliche amministrazioni è stato dominato dagli adempimenti.
Informative privacy, nomine, responsabili del trattamento, registri, valutazioni.
Sono strumenti indispensabili. Ma una firma su un contratto non ferma un attaccante.
La domanda che una scuola dovrebbe porre a un fornitore non è soltanto «siete conformi al GDPR?».
Dovrebbe chiedere anche quale sia l’architettura di sicurezza adottata, come vengono segmentati i sistemi, come vengono gestiti gli accessi privilegiati, quali controlli esistano sugli allegati caricati dagli utenti, per quanto tempo vengano conservati i documenti, quali sistemi di rilevamento delle intrusioni siano utilizzati e quanto rapidamente sia possibile individuare comportamenti anomali.
Esiste poi una questione ancora più semplice: conserviamo davvero soltanto i dati necessari?
Ogni documento che rimane inutilmente archiviato aumenta il danno potenziale di una futura compromissione.
La minimizzazione dei dati prevista dal GDPR non dovrebbe essere considerata una formula giuridica. È anche una misura di cybersecurity.
Un documento cancellato correttamente quando non serve più è un documento che un hacker non potrà sottrarre cinque anni dopo.
Studenti e famiglie sono un obiettivo particolarmente delicato
Quando parliamo di scuola esiste inoltre una responsabilità ulteriore: una parte rilevante degli interessati è costituita da minorenni.
I bambini di oggi costruiscono la propria identità digitale molto prima di avere gli strumenti culturali per comprenderne pienamente le implicazioni.
La scuola raccoglie necessariamente informazioni che accompagnano una persona durante una fase estremamente delicata della vita.
Per questo la protezione dei dati scolastici deve essere trattata come una componente della tutela del minore.
Non possiamo insegnare agli studenti a utilizzare password sicure, riconoscere il cyberbullismo o proteggere la propria privacy e contemporaneamente considerare la sicurezza delle infrastrutture scolastiche una semplice questione amministrativa.
La cittadinanza digitale comincia anche dalla qualità dei sistemi che le istituzioni utilizzano.
Serve una cultura della cybersecurity, non la ricerca di un colpevole
Ogni grande incidente informatico produce quasi automaticamente una caccia alle responsabilità.
È comprensibile, ma spesso è anche il modo meno utile per affrontare il problema.
Nessun sistema informatico complesso può garantire un rischio pari a zero. Le vulnerabilità possono emergere anche in organizzazioni che investono molto nella sicurezza.
Il criterio serio con cui valutare un’organizzazione è differente: capacità di prevenzione, rapidità nell’individuazione dell’incidente, contenimento, trasparenza, comunicazione agli interessati, collaborazione con le autorità e miglioramento successivo delle difese.
Nel caso Spaggiari saranno le verifiche tecniche e, ove necessario, quelle delle autorità competenti a determinare pienamente perimetro, dinamiche e conseguenze dell’accaduto.
Il giornalismo dovrebbe evitare di sostituirsi a queste verifiche.
Può però porre una domanda legittima al sistema scolastico nel suo complesso: siamo realmente consapevoli di quanto sia diventata strategica l’infrastruttura digitale della scuola?
La prossima emergenza potrebbe non bloccare nemmeno i computer
L’immagine tradizionale dell’attacco hacker è quella dello schermo nero, del ransomware che blocca i server e dell’ufficio costretto a tornare alla carta.
Ma gli attacchi più pericolosi del futuro potrebbero essere molto meno visibili.
Un criminale potrebbe limitarsi a copiare informazioni senza interrompere alcun servizio. Gli utenti continuerebbero ad accedere normalmente alle piattaforme mentre i dati circolano altrove.
Successivamente l’intelligenza artificiale potrebbe analizzare migliaia di documenti, estrarre automaticamente nomi, relazioni, recapiti e contesti e trasformare una massa disordinata di file in un database strutturato utilizzabile per campagne fraudolente estremamente sofisticate.
Quello che ieri richiedeva settimane di lavoro manuale oggi può essere automatizzato.
È probabilmente questa una delle conseguenze meno discusse dell’incontro tra cybersecurity e intelligenza artificiale: l’IA aumenta le capacità difensive delle organizzazioni, ma aumenta contemporaneamente la capacità degli aggressori di sfruttare i dati sottratti.
La scuola del futuro avrà bisogno anche di sicurezza digitale
Abbiamo investito molto nella digitalizzazione della scuola: registri elettronici, cloud, pagamenti online, identità digitale, piattaforme didattiche, intelligenza artificiale, servizi amministrativi remoti.
La trasformazione era necessaria e continuerà.
Ma ogni nuovo servizio digitale crea anche una responsabilità.
La cybersecurity non può rimanere confinata nell’ufficio tecnico o affidata soltanto alla competenza del fornitore. Dirigenti, personale amministrativo, docenti, famiglie e studenti devono essere parte di una nuova cultura della sicurezza.
Servono formazione continua, autenticazione forte, procedure di risposta agli incidenti, verifiche sui fornitori, riduzione dei dati conservati inutilmente e soprattutto maggiore consapevolezza.
L’incidente relativo alla piattaforma Bergantini, al di là delle sue dimensioni definitive e delle verifiche ancora necessarie, ci lascia quindi una domanda che riguarda l’intero Paese.
Se la scuola è diventata digitale, siamo sicuri di aver investito altrettanto seriamente nella sua sicurezza?
