Cyber attacco a ClasseViva: allarme per studenti e famiglie

Il cyber attacco a ClasseViva, il software scolastico del gruppo Spaggiari Parma, avrebbe esposto i dati di 4,5 milioni di utenti italiani, studenti e famiglie, complessivamente collegati a circa 4 mila istituti scolastici.

I dati contenuti sul registro elettronico sono già in vendita a 50 mila dollari, anche se il Gruppo Spaggiari cerca di rassicurare i media spiegando che la tipologia delle informazioni rubate è composta soprattutto da “moduli per le supplenze degli insegnanti”. Ma i dati sottratti relativi a studenti e docenti sarebbero ingenti.

“Oltre al (pur rilevantissimo) tema dei 6 TB di dati che gli attaccanti sostengono di avere sottratto, la vicenda Spaggiari fa emergere un altro interrogativo: quanto conosciamo davvero l’ecosistema digitale al quale la scuola affida quotidianamente i dati di studenti, famiglie e personale?”, si chiede Tania Orrù, Data Protection, Compliance & Digital Governance Advisor.

Ecco quali rischi, soprattutto legati al phishing, corrono gli studenti e le famiglie coinvolte e come proteggersi.

Cyber attacco a ClasseViva: l’impatto sulla privacy

Da una ricerca di Check Point Research, datata 2025, emerse che il settoree dell’istruzione risulta quello maggiormente colpito a livello globale dagli attacchi informatici. L’Italia si piazzava al secondo posto alle spalle di Hong Kong.

Sebbene il registro elettronico non sia stato coinvolto, il cyber attacco riguarda un altro programma destinato alla modulistica tra istituti, docenti e famiglie.

Secondo il Gruppo Spaggiari, un’azienda che quest’anno compie cento anni di lavoro con le scuole, le informazioni oggetto del furto sono soprattutto “moduli per le supplenze degli insegnanti”.

Tuttavia l’attacco si è verificato, lo ha segnalato il gruppo hacker xplOitrs (specializzato in attacchi ransomware) lo scorso 20 agosto scorso, reso pubblico con una rivendicazione pubblica sulla piattaforma X e confermato dagli esperti di cyber sicurezza. L’intrusione avrebbe sottratto una rilevante mole di dati relativi a studenti e docenti.

Al messaggio pubblicato dal profilo @xploitrsturtle2 su X (“Stiamo preparando l’infrastruttura per mostrare al pubblico la bugia di Spaggiari”), è seguita l’aggiornamento del sito Ransomnews con un sample del materiale che dovrebbe testimoniare il furto, accanto a un banner che pubblicizza la vendita dei dati sottratti al prezzo di 50.000 dollari.

“Il registro elettronico viene ancora percepito spesso come una sorta di versione digitale del vecchio registro di classe. In realtà, intorno a questi sistemi gravita ormai una parte importante dell’attività didattica e amministrativa degli istituti: identità, assenze, valutazioni, comunicazioni, documenti e, a seconda delle piattaforme e delle funzionalità utilizzate,
anche informazioni appartenenti a categorie particolari di dati. In più, gli interessati sono principalmente minori“, commenta Tania Orrù.

Phishing in aumento dopo ogni cyber attacco con furto dati

Ogni data breach comporta un aumento del rischio phishing, anche quando non risultano compromessi dati di pagamento, password o credenziali di accesso.

Dopo i casi di cyber attacchi a grandi organizzazioni, infatti, si verifica una crescita potenziale di tentativi di phishing, smishing e furto d’identità. Per questo motivo nel dark web salgono i prezzi dei dati in vendita, poiché sono preziosi per confezionare truffe mirate, attraverso messaggi più credibili e personali e più pericolose, da cui in futuro ottenere credenziali d’accesso o dati sensibili.

Da anni l’ACN richiama l’attenzione proprio sullo schema di email, Sms e telefonate, costruiti ad arte per indurre l’utente a fornire password, codici personali o dati personali (come carte di credito eccetera).

Infatti i profili sotto attacco possono includere elementi utili all’attività di profilazione da parte del cyber criminale, per ricostruire identikit per frodi future o comunque rendere più persuasive le truffe mirate.

GDPR e cyber attacco a ClasseViva: il ruolo del DPO nelle scuole

“Sebbene sia importante la precisazione di Spaggiari secondo cui l’attacco avrebbe riguardato la parte ‘Modulistica Smart’ della piattaforma Bergantini, che sarebbe collocata su un’infrastruttura separata, dal punto di vista della protezione dei dati, circoscrivere tecnicamente il perimetro dell’incidente non esaurisce di certo le domande che riguardano soprattutto cosa accade prima dell’incidente”, aggiunge Tania Orrù: “E cioè: quali valutazioni privacy e di sicurezza vengono concretamente effettuate prima di affidare a una piattaforma dati relativi a migliaia di studenti, docenti e famiglie? Chi verifica
segregazione degli ambienti, sistemi di autorizzazione, cifratura, retention, logging, gestione delle vulnerabilità e degli incidenti? E queste verifiche vengono periodicamente aggiornate o il controllo si esaurisce negli adempimenti contrattuali iniziali?”.

Ecco le domande a cui servono risposte.

“Il GDPR, del resto, non conosce strumenti ‘compliant’ in astratto: conosce trattamenti, rischi e misure che devono essere adeguate a quei rischi. In un ambiente come quello scolastico, caratterizzato dalla presenza sistematica di minori e dalla possibile circolazione di dati particolarmente delicati, l’accountability dovrebbe tradursi in una valutazione sostanziale e continuativa della tecnologia utilizzata”, avverte Orrù.
Inoltre in questo quadro meriterebbe una riflessione “anche il ruolo dei DPO delle istituzioni scolastiche. In un settore nel quale non è infrequente che lo stesso professionista assista numerosi istituti, non è sufficiente sapere che il DPO abbia ricevuto formale designazione, quanto piuttosto poter garantire che lo stesso disponga concretamente del tempo, delle informazioni e delle condizioni necessarie per costituire un presidio effettivo rispetto a infrastrutture tecnologiche sempre più complesse”, mette in evidenza Orrù.

Come mitigare il rischio

Per mitigare il rischio, serve maggiore consapevolezza dei rischi sul phishing. Inoltre le scuole devono introdurre l’autenticazione a più fattori (MFA) e monitorare le tattiche di phishing.

Nell’era dell’AI, il phishing è sempre più sofisticato e mirato e non si riconosce più dagli errori di ortografia, eliminati dall’uso dell’intelligenza artificiale generativa.

Il settore dell’istruzione deve imparare a svolgere il monitoraggio dei nuovi domini relativi al proprio istituto, identificando casi di typosquatting o furto d’identità. Inoltre deve aggiornare i sistemi, iniziando ad applicare con regolarità le patch, soprattutto alle piattaforme come posta elettronica e strumenti di collaboration. Soluzioni avanzate possono prevenire le minacce che bloccano email, file e link malevoli prima di fare danni.

Le vittime del trafugamento dei dati devono porre attenzione a email, Sms e telefonate, perché potrebbero essere tentativi di phishing od altre truffe, costruite con i dati rubati.

Poiché questi attacchi creano in genere un contesto perfetto per campagne fraudolente costruite ad hoc, le persone coinvolte devono prestare attenzione a notifiche fasulle, richieste di aggiornamento account, false verifiche di identità, finte procedure che potrebbero richiedere l’immissioni di dati veri e dunque il furto di informazioni sensibili.

L’elemento nuovo e la notifica di un data breach

“C’è infine un elemento nuovo che questo episodio sembra mettere in evidenza. Gli attaccanti hanno minacciato di pubblicare materiale per dimostrare quella che definiscono la “bugia” di Spaggiari. Naturalmente le dichiarazioni di un gruppo criminale non possono essere considerate fonte attendibile poiché fanno parte della stessa strategia estorsiva”, sottolinea Tania Orrù: “Tuttavia, proprio questa circostanza mostra un’evoluzione interessante del ransomware. Alla tradizionale minaccia ‘pagate o pubblicheremo i dati’ potrebbe affiancarsene sempre più spesso un’altra: ‘Se minimizzate pubblicamente l’incidente, pubblicheremo i dati per smentirvi’”.

La minaccia di rovinare la reputazione dell’azienda attaccata, oltre alle conseguenze sul piano delle mancate notifiche.

“La comunicazione di un data breach diventa così essa stessa parte della superficie di rischio. Oltre ad essere tempestivi, è infatti necessario distinguere con grande precisione ciò che è stato accertato da ciò che è ancora oggetto di indagine. Nell’attuale scenario cyber, infatti, privacy, sicurezza informatica e crisis communication sono ormai tre componenti della stessa capacità di un’organizzazione di governare il rischio”, conclude Tania Orrù.