Falla Sanoma: libri scolastici digitali scaricabili da chiunque

Immaginate di acquistare un libro scolastico digitale e di scoprire, quasi per caso, che la piattaforma vi permette di scaricare l’intero catalogo, non solo i titoli che avete pagato. È esattamente quello che è successo ai colleghi di DDay.it, che hanno scoperto una falla di autorizzazioni nella piattaforma digitale di Sanoma, uno dei principali gruppi editoriali europei, attivo anche in Italia con libri scolastici.

Vuoi ascoltare il riassunto dell’articolo?

La vulnerabilità è semplice quanto grave, poiché un utente regolarmente autenticato, quindi qualsiasi studente o insegnante con un account valido, può accedere e scaricare in PDF non solo i propri libri, ma potenzialmente tutti i titoli presenti sul catalogo.

La parte che fa più rumore non è la falla in sé, ma la gestione della segnalazione. Chi ha scoperto il problema ha seguito la procedura corretta: ha contattato Sanoma, ha offerto dettagli tecnici, ha aspettato. Risposta iniziale: silenzio totale. Solo dopo un sollecito inviato il 10 marzo 2026 è arrivata una risposta dal team di sicurezza dell’azienda, che recita più o meno così:

Il nostro team ha esaminato la tua e-mail e ha concluso che si tratta di un problema già noto.

La risoluzione di questo problema è già stata inserita nel nostro elenco di attività da completare prima dell’inizio del nuovo anno scolastico.

Tradotto: lo sappiamo, ma non è urgente. Una vulnerabilità che espone l’intero catalogo di libri scolastici digitali viene messa in coda al backlog come se fosse un bug grafico. A metà luglio 2026, la falla risulta ancora sfruttabile, nonostante il nuovo anno scolastico sia ormai alle porte.

Il problema tecnico alla base, tra l’altro, non è nulla di oscuro, in quanto si tratta di un controllo degli accessi implementato solo lato interfaccia e non sul server. Il tipo di errore che, secondo i principali report di sicurezza, è alla base della stragrande maggioranza delle violazioni di dati aziendali.

Il caso Sanoma non è isolato. Nello stesso articolo viene citato un episodio dell’anno scorso in cui un utente che aveva segnalato in buona fede una vulnerabilità a un’azienda di mobilità smart, con le chiavi API dei sistemi di pagamento esposte nel codice dell’app, era stato minacciato di querela invece di ricevere un ringraziamento.

La sicurezza informatica, in questi casi, non è un problema tecnico: è un problema di cultura aziendale.

Finché le aziende tratteranno le segnalazioni di sicurezza come fastidi da rimandare, il conto arriverà comunque, e sarà molto più salato di quanto sarebbe costato ascoltare in tempo.