Violato il gestore dei software più usati nelle scuole d’Italia: dati in vendita a 50.000 dollari

A pochi giorni dall'inizio del nuovo anno scolastico, il Gruppo Spaggiari Parma, società che gestisce ClasseViva, il registro elettronico più utilizzato dagli istituti italiani, con oltre quattro milioni di utenti, è finito al centro di un attacco informatico. L'intrusione avrebbe portato alla sottrazione di ingenti quantità di dati relativi a studenti e docenti. L'attacco è stato rivendicato il 20 agosto dal gruppo hacker xplOitrs, specializzato in operazioni ransomware, nelle quali i cybercriminali sottraggono dati per poi utilizzarli come leva per chiedere un riscatto alle aziende o agli enti colpiti.

L'azienda ha subito chiarito la portata dell'attacco, spiegando che il registro elettronico non è stato violato e che l'incidente ha riguardato una componente distinta della piattaforma. Nelle ultime ore, però, l'allarme è tornato a salire. Dopo un messaggio minaccioso pubblicato nella notte dal profilo @xploitrsturtle2 su X – "Stiamo preparando l'infrastruttura per mostrare al pubblico la bugia di Spaggiari" – il sito Ransomnews ha infatti diffuso un nuovo aggiornamento nel quale compare un sample, ovvero un campione del materiale che dovrebbe dimostrare l'avvenuto furto, insieme a un banner che mette in vendita i dati sottratti al prezzo di 50.000 dollari. Per meglio comprendere la situazione abbiamo contattato direttamente il Gruppo Spaggiari, in modo da ricostruire con esattezza l'accaduto e i reali rischi per i dati di insegnanti e studenti.

Cosa è successo: l'attacco e la posizione del Gruppo

Lo scorso 20 agosto alcuni profili X riconducibili a xplOitrs hanno comunicato di aver bucato i sistemi del Gruppo Spaggiari e di essersi appropriati di ingenti quantità di dati. Diverse piattaforme specializzate nell'analisi di simili attacchi informatici, come Hackmanac e la stessa Ransomnews, hanno immediatamente confermato l'estrazione di 6,1 TB di dati provenienti da oltre 3.000 istituti scolastici e di una richiesta di riscatto con scadenza al 27 agosto 2026. Secondo i criminali, tra le informazioni trafugate ci sarebbero dati sensibili come documenti d'identità e certificazioni mediche necessarie allo sviluppo dei Piani Didattici Personalizzati (PDP) per gli studenti con Disturbi Specifici dell'Apprendimento (DSA) o Bisogni Educativi Speciali (BES). Tutte informazioni che docenti e famiglie non vorrebbero certo nelle mani di sconosciuti.

Il giorno dopo la scoperta, il Gruppo Spaggiari ha deciso di intervenire pubblicamente per illustrare la situazione. "L'evento è noto alla Società, si è verificato in data 30 giugno 2026, ed è stato tempestivamente oggetto degli adempimenti previsti dalla normativa", spiega la società nel proprio comunicato, chiarendo di aver notificato la questione al Garante per la protezione dei dati personali e di aver segnalato l'intrusione all'Agenzia per la Cybersicurezza Nazionale e alla Polizia Postale. Il Gruppo ha voluto precisare anche che la violazione non ha riguardato direttamente il registro elettronico ClasseViva, ma il software di modulistica Bergantini, utilizzato per la creazione di moduli online.

Contattata da Fanpage.it, l'azienda ha oggi fornito ulteriori chiarimenti. "Confermiamo che il registro elettronico non è stato toccato dall'attacco. La violazione ha riguardato solo il sistema Bergantini e in particolare la sezione denominata ‘Modulistica Smart'", ha spiegato un portavoce del Gruppo. "Questo sistema viene in gran parte utilizzato per pratiche relative alle domande di supplenza inviate dagli insegnanti. Trattandosi prevalentemente di file in formato immagine e PDF per le copie dei documenti d'identità e dei curriculum vitae, il volume totale dei dati sottratti è molto elevato".

Cosa hanno davvero in mano gli hacker

Dopo la pubblicazione del link di vendita dei file trafugati, molte famiglie sono tornate a interrogarsi sulla portata dell'incursione ad opera dei cyber-criminali. Il timore è che diverse informazioni sensibili appartenenti a minorenni vengano vendute al migliore offerente. Interpellato su quest'ultima novità, il Gruppo ha comunque ribadito la propria posizione. "A seguito del nostro fermo rifiuto di pagare alcun riscatto, gli attaccanti hanno messo in vendita i dati sulla rete, nella speranza che altri malintenzionati li acquistino per condurre attività di phishing o altre violazioni", ha dichiarato il portavoce dell'azienda a Fanpage.it.

Anche per quanto riguarda la natura dei documenti in possesso degli hacker, il Gruppo Spaggiari ha voluto escludere la presenza sistematica di dati clinici appartenenti agli allievi. L'unica eccezione potrebbe riguardare eventuali allegati inseriti per errore dagli utenti in moduli generici creati dalle singole scuole. "Inoltre teniamo a precisare che gli attaccanti hanno sottratto i singoli file ma non le tabelle di transcodifica del database", ha concluso il portavoce. "Nei nostri sistemi i documenti non sono salvati con riferimenti in chiaro (es. "Carta d'identità di Mario Rossi"), ma tramite codici identificativi numerici univoci. Di conseguenza, chiunque entrasse in possesso del database si troverebbe di fronte a terabyte di file anonimi da aprire ed esaminare singolarmente per identificare il contenuto di ciascuno".