Hacker contro Classeviva: rubati dati sensibili di studenti e docenti italiani

A poche settimane dall’inizio delle scuole, Gruppo Spaggiari Parma, la società che gestisce il registro elettronico Classeviva e le piattaforme gestionali usate da migliaia di istituti italiani, è finita nel mirino degli hacker. Il gruppo xpl0itrs rivendica di aver sottratto 6,1 TB di dati che includerebbero identificativi dei docenti, certificazioni degli studenti, cartelle cliniche e dati medici, curricula e molto altro ancora.

Tra i dati potenzialmente coinvolti ci sono anche i PDP, i Piani Didattici Personalizzati predisposti per gli alunni con DSA o altri bisogni educativi speciali: informazioni sanitarie su condizioni di disabilità o difficoltà di apprendimento, riconducibili a studenti minorenni identificabili. Una categoria di dati particolarmente sensibile secondo il GDPR, e che non ha nulla a che fare con voti o pagelle.

Vuoi ascoltare il riassunto dell’articolo?

L’azienda ha risposto con due comunicati ufficiali, cercando di ridimensionare la portata dell’incidente. La posizione di Spaggiari è che l’attacco non ha colpito il registro elettronico, bensì un componente separato chiamato Modulistica Smart Bergantini, una piattaforma dedicata alla gestione contabile e amministrativa delle segreterie scolastiche.

L’evento, confermano, è avvenuto il 30 giugno 2026 ed è stato notificato al Garante per la protezione dei dati personali, all’Agenzia per la Cybersicurezza Nazionale e all’autorità giudiziaria.

Nel secondo comunicato l’azienda precisa che “l’episodio ha comportato l’accesso illecito a una parte degli allegati caricati dagli utenti” e che, allo stato attuale, non risultano evidenze di utilizzo fraudolento dei dati sottratti. Come misura precauzionale, il modulo Modulistica Smart Bergantini è stato temporaneamente sospeso per interventi di rafforzamento della sicurezza, mentre gli altri servizi restano operativi.

Il problema è che la distinzione tra “solo il gestionale delle segreterie” e “il registro” non è poi così rassicurante come Spaggiari vorrebbe far credere. Tra gli allegati caricati dagli utenti nelle segreterie scolastiche ci sono quasi certamente certificazioni mediche degli studenti, documenti dei docenti e altri file sensibili: materiale che, nelle mani sbagliate, vale molto di più di una pagella.

Al momento in cui scriviamo, il gruppo xpl0itrs non ha ancora rilasciato campioni verificabili dei dati, ma ha fissato un countdown alla scadenza del quale i dati verrebbero resi pubblici.

Non è ancora chiaro se sia in corso una trattativa per il riscatto.

Come sottolinea DDay.it, questo episodio riapre una questione strutturale che nessuno vuole affrontare: ha senso che i dati di milioni di studenti, famiglie e docenti italiani siano distribuiti tra una manciata di fornitori privati, ognuno con la propria infrastruttura e i propri standard di sicurezza? In Italia non esiste una piattaforma pubblica unica per la gestione scolastica: la scelta del fornitore è demandata alle singole scuole, con il risultato che dati sensibili su minori finiscono su infrastrutture sempre più difficili da controllare.

Un sistema pubblico centralizzato non sarebbe immune da attacchi, nessuna infrastruttura lo è, ma garantirebbe almeno responsabilità chiare e uno standard di sicurezza omogeneo.