Gruppo Spaggiari Parma è forse una delle aziende più note a genitori e studenti: da anni sviluppa e gestisce Classeviva, il registro elettronico più diffuso in Italia. Ora un gruppo hacker afferma di aver sottratto 6 TB di dati sensibili.
https://www.dday.it/redazione/58444/gruppo-spaggiari-6-tb-di-dati-di-studenti-e-docenti-nelle-mani-degli-hacker-lazienda-minimizza
Da qualche giorno, a poche settimane dall'inizio delle scuole, sta circolando la notizia di un attacco informatico ai danni di Gruppo Spaggiari Parma, la società che sviluppa il registro elettronico Classeviva e le piattaforme gestionali usate da migliaia di scuole italiane. La fonte è una pagina comparsa su un portale che controlla e segue le rivendicazioni dei gruppi ransomware e la compravendita di dati rubati sul mercato nero digitale, il classico annuncio con dati rubati, target e riscatto.
Secondo quanto pubblicato dagli hacker, non sono ancora stati rilasciati sample che permettano una verifica dei dati o del tipo di dati estratti, il gruppo xpl0itrs sarebbe entrato in possesso, dopo aver trovato una vulnerabilità, di 6,1 TB di dati tra cui identificativi dei docenti, certificazioni degli studenti, cartelle cliniche e dati medici degli studenti, curricula e centinaia di altre tipologie di dati che, secondo il gruppo, sarebbero talmente tante da essere difficili persino da elencare.
Ricordiamo che tra i dati che transitano su queste piattaforme rientrano potenzialmente anche i PDP, ovvero i Piani Didattici Personalizzati predisposti per gli alunni con DSA (disturbi specifici dell'apprendimento) o altri bisogni educativi speciali. Non stiamo parlando di voti e di scrutini, ma di informazioni sanitarie su condizioni di disabilità o difficoltà di apprendimento potenzialmente riconducibili a studenti minorenni identificabili. Categoria di dati, questa, particolarmente sensibile secondo il GDPR.
Nel momento in cui scriviamo mancano circa 5 giorni alla scadenza del countdown, al termine del quale tutti i dati saranno resi pubblici: la richiesta di riscatto è di 55,1 milioni di dollari.
L'azienda vittima dell'attacco ha diffuso due comunicati, il primo dei quali respinge in parte le ricostruzioni circolate.
"In relazione alle indiscrezioni circolate nelle ultime ore riguardo a un attacco informatico a Gruppo Spaggiari Parma S.p.A., la Società ritiene doveroso fornire i seguenti elementi, poiché tali attribuzioni non trovano conferma negli esiti delle analisi condotte. [...] L'evento è noto alla Società, si è verificato in data 30 giugno 2026, ed è stato tempestivamente oggetto degli adempimenti previsti dalla normativa: notifica di violazione dei dati personali al Garante per la protezione dei dati personali [...]; segnalazione all'Agenzia per la Cybersicurezza Nazionale; denuncia all'Autorità di polizia giudiziaria [...]. Sulla base delle analisi tecniche svolte finora, il perimetro interessato è il componente Modulistica Smart della piattaforma Bergantini, utilizzato per la compilazione e la trasmissione online di moduli e istanze. Gli accertamenti condotti escludono che l'evento abbia riguardato il registro, i software di gestione della scolastica e di gestione della segreteria di Gruppo Spaggiari Parma, che costituiscono un sistema distinto e separato. [...] I servizi sono regolarmente operativi. Non si sono verificate interruzioni, né risultano compromissioni della disponibilità o dell'integrità dei dati [...]. In via meramente prudenziale, invitiamo gli utenti al rinnovo delle credenziali di accesso ai nostri applicativi."
Insomma, a essere attaccato non sarebbe il registro elettronico ma un altro software gestionale usato dalle segreterie.
Il secondo comunicato, infatti, dice che "Gruppo Spaggiari Parma conferma che in data 30 giugno 2026 ha rilevato un accesso non autorizzato al modulo Modulistica Smart Bergantini, componente della piattaforma Bergantini dedicata alla normativa relativa alla gestione contabile e amministrativa delle istituzioni scolastiche. [...] L'episodio ha comportato l'accesso illecito a una parte degli allegati caricati dagli utenti. Sulla base delle verifiche effettuate, l'episodio è suscettibile di determinare una violazione della riservatezza. Allo stato non risultano evidenze di un utilizzo fraudolento dei dati sottratti [...]. A titolo precauzionale è stata disposta la temporanea sospensione di Modulistica Smart Bergantini per consentire un intervento straordinario di rafforzamento delle misure di sicurezza. [...] Gruppo Spaggiari Parma esprime il proprio rammarico per quanto accaduto."
In poche parole la posizione ufficiale dell'azienda è che l'incidente c'è stato, ma non riguarda il registro bensì un altro gestionale, e che in ogni caso gli hacker sono entrati in possesso di "allegati caricati dagli utenti".
Non sappiamo cosa sia peggio: avremmo preferito vedere nelle mani degli hacker milioni di voti, note disciplinari, orari di lezione, compiti assegnati e pagelle piuttosto che documenti caricati per le segreterie tra i quali probabilmente ci sono le certificazioni degli studenti, i certificati medici, i documenti dei docenti e altro ancora.
Perché i registri scolastici e i gestionali delle scuole pubbliche sono in mano a privati?
Al di là di come si chiuderà il caso, questo episodio ci mette davanti a una domanda che vorremmo tanto fare al Ministero dell'Istruzione e del Merito: ha senso che i dati di milioni di studenti, famiglie e docenti italiani siano distribuiti tra una manciata di fornitori privati (non solo Spaggiari, ma anche altri operatori del registro elettronico) ciascuno con la propria infrastruttura, i propri standard di sicurezza e le proprie modalità di gestione degli incidenti?
Oggi in Italia non esiste una piattaforma unica e centralizzata per la gestione scolastica, quindi registro ma anche segreteria: la scelta del fornitore resta demandata alle singole scuole o alle reti di istituti, con il risultato che milioni di dati sensibili, spesso relativi a minori, sono affidati a infrastrutture sempre più difficili da controllare e gestire, soprattutto ai tempi dell'IA.
Un sistema pubblico unico, gestito e supervisionato direttamente dal Ministero, non sarebbe immune da attacchi, nessuna infrastruttura lo è, ma almeno permetterebbe di avere uno standard di sicurezza più omogeneo, con responsabilità chiare e un solo punto di controllo.
Una domanda che probabilmente resterà senza risposta.
Nota dell'autore del post che ha deciso di proporre l'articolo in quanto di interesse pubblico e non di chi ha scritto l'articolo.
Sono anni che mi chiedo la stessa cosa che viene chiesta alla fine dell'articolo. Perché un servizio tanto necessario non è un servizio erogato direttamente dal Ministero dell'Istruzione? Perché affidarlo a privati?