Negli ultimi giorni il nome di Gruppo Spaggiari Parma, uno dei principali fornitori italiani di software per il mondo scolastico, è finito al centro dell’attenzione dopo la diffusione della notizia di un importante incidente informatico.
Quando si parla di servizi utilizzati quotidianamente da scuole, famiglie, studenti e personale scolastico, il rischio è però quello di creare rapidamente confusione tra ciò che è stato realmente accertato e ciò che viene invece rivendicato dagli attaccanti.
Il primo elemento da chiarire è quindi fondamentale:
secondo Gruppo Spaggiari, il registro elettronico ClasseViva non è stato compromesso.
L’incidente ha interessato un componente differente, denominato Modulistica Smart della piattaforma Bergantini, utilizzato per la compilazione e la trasmissione online di moduli e istanze.
La vicenda rappresenta comunque un caso molto interessante dal punto di vista della cybersecurity e della protezione dei dati, perché mostra quanto il rischio informatico possa propagarsi attraverso fornitori, piattaforme cloud e servizi esterni utilizzati quotidianamente da organizzazioni e cittadini.
Cosa è successo
Gruppo Spaggiari Parma ha confermato che l’incidente informatico si è verificato il 30 giugno 2026.
Secondo la comunicazione ufficiale dell’azienda, il perimetro interessato riguarda il componente Modulistica Smart della piattaforma Bergantini.
Si tratta di un servizio utilizzato per compilare e trasmettere online moduli e istanze, e quindi potenzialmente destinato a contenere documentazione allegata dagli utenti.
A seguito dell’incidente, Spaggiari dichiara di aver avviato immediatamente analisi cyber-forensi per determinare il perimetro della compromissione.
La società ha inoltre effettuato gli adempimenti previsti verso le autorità competenti:
- notifica della violazione dei dati personali al Garante per la protezione dei dati personali;
- successiva notifica integrativa;
- segnalazione all’Agenzia per la Cybersicurezza Nazionale;
- denuncia all’autorità di polizia giudiziaria.
Le interlocuzioni con le autorità risultano ancora in corso.
ClasseViva non risulta coinvolto
È probabilmente il punto più importante da chiarire.
Nella propria comunicazione ufficiale, Gruppo Spaggiari afferma che gli accertamenti effettuati escludono il coinvolgimento del registro elettronico, dei software di gestione scolastica e dei sistemi utilizzati per la gestione delle segreterie.
Questi servizi, secondo l’azienda, utilizzano infrastrutture distinte e separate da quella interessata dall’incidente.
Di conseguenza, sulla base delle informazioni attualmente disponibili, non è corretto parlare genericamente di un “attacco al registro elettronico ClasseViva”.
Il sistema coinvolto è Modulistica Smart della piattaforma Bergantini.
La società dichiara inoltre che i servizi sono rimasti regolarmente operativi e che non risultano compromesse la disponibilità o l’integrità dei dati gestiti attraverso gli altri applicativi.
Quali dati potrebbero essere coinvolti
Qui la questione diventa particolarmente delicata.
Una piattaforma utilizzata per la trasmissione di moduli e istanze può contenere allegati caricati da famiglie, studenti e personale scolastico.
Secondo le ricostruzioni pubblicate negli ultimi giorni, tra questi documenti potrebbero trovarsi, ad esempio:
- documenti di identità;
- certificazioni;
- documentazione amministrativa;
- curriculum;
- richieste di permesso;
- documentazione relativa alla disabilità;
- certificati medici;
- altri documenti contenenti informazioni personali.
Alcune di queste informazioni possono appartenere alle cosiddette categorie particolari di dati personali previste dall’articolo 9 del GDPR, tra cui i dati relativi alla salute.
Questo rende l’incidente particolarmente rilevante dal punto di vista della protezione dei dati personali.
La compromissione di un indirizzo email o di un semplice nominativo ha infatti una gravità molto diversa rispetto alla possibile esposizione di documentazione sanitaria, certificazioni o altri dati altamente sensibili.
La rivendicazione degli attaccanti
Il gruppo cybercriminale xplOitrs ha rivendicato pubblicamente l’attacco, sostenendo di aver sottratto circa 6,1 terabyte di dati riferibili a migliaia di istituti scolastici.
Questa informazione deve però essere trattata con cautela.
La quantità di dati e il numero complessivo delle organizzazioni coinvolte derivano infatti dalla rivendicazione degli attaccanti e non risultano, al momento, confermati ufficialmente nella stessa misura da Gruppo Spaggiari.
In un incidente informatico è molto importante distinguere sempre almeno tre livelli di informazione:
- ciò che viene rivendicato dall’attaccante;
- ciò che viene confermato dall’organizzazione colpita;
- ciò che viene successivamente accertato dalle autorità e dalle analisi forensi.
Questi tre elementi possono divergere anche significativamente.
I gruppi criminali hanno infatti un interesse evidente ad amplificare pubblicamente la portata dei propri attacchi per aumentare pressione, reputazione e possibilità di ottenere un riscatto.
Per questo motivo, fino alla conclusione delle indagini, le dimensioni definitive dell’incidente devono essere considerate ancora oggetto di verifica.
Perché questo incidente riguarda tutti, non solo le scuole
La vicenda Spaggiari mette in evidenza uno dei problemi più importanti della cybersecurity moderna:
la sicurezza dei nostri dati non dipende esclusivamente dai nostri sistemi.
Un’azienda può avere:
- firewall aggiornati;
- antivirus ed EDR;
- autenticazione multifattore;
- backup;
- sistemi correttamente configurati;
e subire comunque le conseguenze di un data breach avvenuto presso un fornitore.
È il cosiddetto rischio della supply chain digitale.
Oggi praticamente tutte le organizzazioni affidano parte dei propri processi a soggetti esterni:
- servizi cloud;
- software gestionali;
- piattaforme SaaS;
- servizi di fatturazione elettronica;
- CRM;
- hosting;
- posta elettronica;
- backup cloud;
- piattaforme per l’amministrazione del personale;
- sistemi di ticketing;
- fornitori IT.
Ogni soggetto al quale affidiamo dati o concediamo accesso ai nostri sistemi diventa, inevitabilmente, una parte della nostra superficie di rischio.
Il principio fondamentale: sapere dove sono i dati
Uno degli errori più comuni nelle piccole e medie organizzazioni è conoscere bene i propri computer ma non avere una visione completa di dove vengono effettivamente conservati i dati.
Un semplice documento può trovarsi contemporaneamente:
- sul PC dell’utente;
- su un NAS aziendale;
- in un backup;
- in un gestionale cloud;
- in una casella email;
- presso un fornitore esterno.
Dal punto di vista della cybersecurity e della privacy è quindi necessario costruire una vera mappa dei dati e dei servizi utilizzati.
Per ogni servizio esterno sarebbe opportuno sapere almeno:
- quali dati vengono trattati;
- dove vengono conservati;
- chi può accedervi;
- per quanto tempo vengono mantenuti;
- quali misure di sicurezza sono applicate;
- cosa succede in caso di incidente;
- entro quanto tempo il fornitore deve comunicarci una violazione.
Il ruolo del GDPR
Quando un’organizzazione utilizza un fornitore esterno per trattare dati personali, il GDPR non trasferisce automaticamente tutta la responsabilità al fornitore.
Nella maggior parte dei casi l’organizzazione che determina finalità e modalità del trattamento rimane titolare del trattamento, mentre il fornitore opera come responsabile del trattamento ai sensi dell’articolo 28 del GDPR.
Questo significa che il titolare deve scegliere fornitori che offrano garanzie adeguate e disciplinare il rapporto attraverso specifici accordi.
In caso di data breach, inoltre, diventa fondamentale stabilire rapidamente:
- quali dati sono stati coinvolti;
- quali interessati sono coinvolti;
- quali conseguenze potrebbero derivarne;
- se è necessaria la notifica al Garante;
- se è necessario informare direttamente gli interessati.
Il GDPR prevede che una violazione dei dati personali venga notificata all’autorità di controllo, quando necessario, entro 72 ore dalla conoscenza dell’incidente.
Quando il rischio per i diritti e le libertà delle persone è elevato, può inoltre diventare necessaria una comunicazione diretta agli interessati.
Perché i dati sanitari sono particolarmente delicati
Nel caso Spaggiari uno degli aspetti più sensibili riguarda la possibile presenza, negli allegati, di informazioni sanitarie.
I dati relativi alla salute appartengono alle categorie particolari di dati personali previste dal GDPR.
La loro esposizione può produrre conseguenze molto più serie rispetto alla perdita di dati ordinari.
Un attaccante potrebbe potenzialmente utilizzare informazioni di questo tipo per:
- campagne di phishing estremamente personalizzate;
- tentativi di impersonificazione;
- frodi;
- ricatti;
- social engineering;
- costruzione di profili dettagliati della vittima.
Esiste inoltre un problema spesso sottovalutato: mentre una password può essere cambiata e una carta di credito può essere sostituita, un dato sanitario o un documento personale non possono essere semplicemente “resettati”.
Attenzione al phishing successivo al data breach
Dopo incidenti di questo tipo esiste spesso un secondo rischio.
Gli attaccanti possono utilizzare le informazioni ottenute per creare campagne di phishing molto più credibili.
Un utente potrebbe, ad esempio, ricevere un messaggio apparentemente proveniente dalla scuola o da un servizio collegato che cita informazioni realmente corrette.
La presenza di dati veri nel messaggio può aumentare enormemente la credibilità della truffa.
Per questo Gruppo Spaggiari ha invitato gli utenti, in via prudenziale, a:
- cambiare le credenziali di accesso;
- prestare particolare attenzione a eventuali comunicazioni sospette che facciano riferimento all’incidente.
La raccomandazione è sensata soprattutto per chi tende a riutilizzare la stessa password su servizi differenti.
Cosa dovrebbero fare scuole e organizzazioni
Il caso offre alcune indicazioni applicabili ben oltre il settore scolastico.
1. Inventariare i fornitori
Creare un elenco dei servizi esterni che trattano dati aziendali o personali.
2. Classificare i dati affidati
Non tutti i dati hanno lo stesso valore.
È necessario identificare quali fornitori trattano dati sanitari, documenti di identità, dati finanziari, credenziali o altre informazioni particolarmente sensibili.
3. Verificare i contratti
Gli accordi con i fornitori dovrebbero stabilire chiaramente modalità e tempi di comunicazione degli incidenti di sicurezza.
4. Applicare il principio di minimizzazione
Se un documento non è più necessario, non dovrebbe essere conservato indefinitamente.
Meno dati vengono mantenuti, minore sarà l’impatto di un’eventuale compromissione.
5. Preparare un piano di risposta agli incidenti
Non bisogna decidere cosa fare quando il data breach è già avvenuto.
Responsabilità, contatti e procedure devono essere definiti prima.
6. Controllare gli account
Le credenziali devono essere uniche e, dove possibile, protette tramite autenticazione multifattore.
7. Formare gli utenti
Dopo un incidente aumenta il rischio di phishing e social engineering.
Personale e utenti devono essere informati senza creare allarmismo.
Una lezione importante sulla cybersecurity moderna
Il caso Spaggiari ci ricorda che la cybersecurity non può più essere considerata semplicemente come la protezione dei computer presenti all’interno di un ufficio.
La vera infrastruttura digitale di un’organizzazione comprende oggi anche:
cloud, SaaS, hosting, fornitori IT, software gestionali, piattaforme esterne e tutti i soggetti ai quali vengono affidati dati o accessi.
La domanda quindi non deve essere soltanto:
“Quanto sono sicuri i nostri sistemi?”
ma anche:
“Quanto sono sicuri i soggetti ai quali abbiamo affidato i nostri dati?”
È uno dei cambiamenti più importanti introdotti dall’attuale scenario di cybersecurity e rappresenta anche uno dei principi alla base delle nuove normative europee, come NIS2.
Conclusioni
L’incidente informatico che ha coinvolto Gruppo Spaggiari deve essere seguito con attenzione, ma senza confondere informazioni confermate e rivendicazioni degli attaccanti.
Al momento sappiamo che:
- l’incidente è avvenuto il 30 giugno 2026;
- ha interessato Modulistica Smart della piattaforma Bergantini;
- Gruppo Spaggiari ha notificato l’accaduto alle autorità competenti;
- il registro elettronico ClasseViva non risulta coinvolto secondo le analisi comunicate dall’azienda;
- alcuni allegati caricati dagli utenti sono stati oggetto di accesso illecito;
- il gruppo criminale xplOitrs rivendica quantità di dati molto elevate, ma queste dimensioni non risultano ancora confermate ufficialmente nella stessa misura.
Le indagini sono ancora in corso e potrebbero emergere ulteriori dettagli.
Il punto più importante, però, va oltre questo singolo incidente.
Affidare un dato a un servizio esterno non significa eliminare il rischio: significa condividere il rischio con un altro soggetto.
Per aziende, professionisti e Pubbliche Amministrazioni, conoscere i propri fornitori e sapere quali dati vengono affidati a ciascuno di essi è ormai una componente fondamentale della sicurezza informatica.
Informanet – Info&Tricks
Tecnologia più semplice, utile e sicura.