Spaggiari Hackerata: xpl0itrs Ruba 6,1 TB da 3.000 Scuole

Il 20 agosto 2026 il gruppo ransomware xpl0itrs ha pubblicato sul proprio leak site una rivendicazione che ha fatto tremare il settore scolastico italiano: 6,1 terabyte di dati sottratti a Gruppo Spaggiari Parma, l’azienda dietro ClasseViva, il registro elettronico più usato nelle scuole italiane. Secondo gli attaccanti, i file coinvolgono oltre 3.000 istituti scolastici e contengono dati di studenti, famiglie e professori. È il caso più esteso mai emerso nel comparto edtech italiano, e arriva mentre il Paese sta ancora smaltendo un’estate di attacchi ransomware da record.

Spaggiari ha confermato l’incidente, ma ridimensiona la portata: secondo l’azienda, l’intrusione risale al 30 giugno 2026 ed è circoscritta al modulo Modulistica Smart della piattaforma Bergantini, non al registro elettronico vero e proprio. È una distanza enorme tra la versione degli attaccanti e quella della vittima, ed è proprio quella distanza a rendere questa storia un caso di scuola (in senso letterale) su come si gestisce, o si mal gestisce, la comunicazione di una violazione dati su scala nazionale.

Cosa è successo: la cronologia dell’attacco a Spaggiari

La ricostruzione dei fatti, basata sulle dichiarazioni aziendali e sul monitoraggio dei leak site, mostra un divario temporale di quasi due mesi tra intrusione e divulgazione pubblica. Il 30 giugno 2026 qualcuno è entrato nei sistemi della piattaforma Bergantini di Gruppo Spaggiari Parma. Per settimane, nessuna traccia pubblica. Poi, il 20 agosto, il gruppo xpl0itrs ha caricato l’annuncio sul proprio sito di estorsione, dichiarando di aver sottratto 6,1 TB di materiale da oltre 3.000 scuole.

Il giorno successivo i canali di cyber-intelligence, tra cui gli account di monitoraggio ransomware più seguiti dagli analisti (Hackmanac, FalconFeeds, ransomNews), hanno rilanciato la notizia, e la piattaforma ransomware.live ha registrato la vittima con la dicitura “6100 GB” di dati esfiltrati. Solo a distanza di tre giorni, il 23 agosto, la stampa italiana generalista (Corriere della Sera in testa) ha dato ampio risalto alla vicenda, e Spaggiari ha diffuso una nota ufficiale di risposta.

Nella nota, l’azienda parmense circoscrive il perimetro dell’incidente al modulo Modulistica Smart, usato dalle famiglie per inviare richieste e moduli online, e nega qualsiasi coinvolgimento del registro di classe, della segreteria digitale e dei sistemi di gestione scolastica, che girano su infrastrutture separate. Spaggiari dichiara inoltre di non aver riscontrato compromissioni di disponibilità o integrità dei dati gestiti dalle proprie applicazioni, e che i servizi sono rimasti operativi durante e dopo l’incidente.

Quello che resta fermo, sia nella versione degli attaccanti sia in quella dell’azienda, è la data dell’intrusione (30 giugno) e il fatto che si tratti di un attacco ransomware con richiesta di riscatto legato alla minaccia di pubblicazione dei dati, non di un semplice data leak accidentale.

I numeri: 6,1 TB, 3.000 scuole, migliaia di famiglie coinvolte

Il numero che ha fatto il giro dei media è 6,1 terabyte, la quantità di dati che xpl0itrs sostiene di aver sottratto. È una cifra enorme se paragonata alla media degli incidenti ransomware nel settore educativo, ma va trattata con cautela: si tratta di una dichiarazione dell’attaccante, non di una stima verificata da un’analisi forense indipendente o confermata da un’autorità terza. Lo stesso vale per il numero di scuole coinvolte, oltre 3.000, cifra diffusa dal gruppo criminale e ripresa da testate come Escudo Digital e dal bollettino di breach tracking Breachsense.

Tra i dati che sarebbero stati esposti, secondo la ricostruzione giornalistica basata sui campioni pubblicati dal gruppo criminale, figurano documenti di identità, recapiti di contatto, dati anagrafici di studenti e insegnanti e, in alcuni casi, informazioni di natura sanitaria relative agli studenti (ad esempio certificazioni per esigenze specifiche allegate ai moduli). Non risultano invece, allo stato attuale, prove di un’esposizione dei voti scolastici o dei contenuti del registro di classe, proprio perché quel sistema, secondo Spaggiari, non è stato toccato.

Dato	Valore dichiarato	Fonte
Volume dati esfiltrati	6,1 TB (6.100 GB)	xpl0itrs / ransomware.live
Scuole coinvolte	Oltre 3.000	xpl0itrs, ripreso da Escudo Digital
Data intrusione	30 giugno 2026	Comunicato ufficiale Spaggiari
Data divulgazione pubblica	20 agosto 2026	Leak site xpl0itrs
Modulo coinvolto	Modulistica Smart (piattaforma Bergantini)	Comunicato ufficiale Spaggiari
Registro elettronico ClasseViva	Non coinvolto (secondo l’azienda)	Comunicato ufficiale Spaggiari
Enti notificati	Garante Privacy, ACN, Polizia Postale	Comunicazioni aziendali riportate dalla stampa
Riscatto richiesto	Non reso noto	Non confermato da fonti pubbliche

Il divario tra la narrazione dell’attaccante e quella dell’azienda non è un dettaglio secondario. In casi come questo, chi negozia (o rifiuta di negoziare) con un gruppo ransomware sa che ogni cifra diffusa dal criminale ha una funzione precisa: massimizzare la pressione mediatica per spingere la vittima a pagare. Questo non significa che i numeri siano falsi, ma che vanno sempre letti come rivendicazioni, non come referti tecnici.

Chi è xpl0itrs e come opera

xpl0itrs è un gruppo relativamente meno noto rispetto a nomi storici come LockBit, Clop o Akira, ma nel 2026 si è ritagliato spazio tra i gruppi che sfruttano il modello double extortion, ovvero cifratura più minaccia di pubblicazione dei dati per costringere la vittima al pagamento. Il gruppo pubblica le proprie rivendicazioni su un leak site raggiungibile solo via rete anonimizzata, dove elenca le vittime, mostra campioni dei dati sottratti e fissa una scadenza prima della pubblicazione integrale.

Nel caso Spaggiari, al momento della pubblicazione di questo articolo non risultano campioni di dati effettivamente resi pubblici, solo la rivendicazione e la descrizione della violazione. Non è stato individuato, nelle fonti disponibili, un CVE specifico o una catena di exploit tecnicamente documentata alla base dell’intrusione: la vicenda resta, per ora, una rivendicazione su leak site accompagnata dalla risposta ufficiale dell’azienda, non una disclosure tecnica dettagliata.

Questo tipo di incertezza è tipico della fase iniziale di un incidente ransomware: passano settimane, a volte mesi, prima che emergano dettagli tecnici verificabili sul vettore d’ingresso, che si tratti di credenziali rubate, una vulnerabilità non patchata o un accesso di terze parti compromesso.

ClasseViva e il ruolo di Spaggiari nella scuola italiana

Per capire perché questo incidente pesa più di un attacco a una singola scuola, bisogna guardare al ruolo di Gruppo Spaggiari Parma nell’ecosistema scolastico italiano. ClasseViva è, secondo la descrizione riportata dalla stampa che ha seguito il caso, il registro elettronico più diffuso nelle scuole italiane, usato quotidianamente da famiglie, studenti e docenti per consultare voti, assenze, comunicazioni e, appunto, moduli online tramite la piattaforma Bergantini.

Questo è esattamente il profilo di rischio che negli ultimi anni ha reso i fornitori di software scolastico un bersaglio interessante per i gruppi ransomware: non serve colpire migliaia di scuole una per una, basta compromettere un singolo fornitore che serve migliaia di istituti contemporaneamente. È un rischio di concentrazione, lo stesso meccanismo che ha reso disastrosi incidenti come quello di LiteLLM nel mondo dell’infrastruttura AI o come le violazioni ai grandi provider di logistica: un solo punto di ingresso, un impatto moltiplicato per il numero di clienti a valle.

La risposta di Spaggiari e le autorità coinvolte

Secondo quanto riportato dalla stampa che ha avuto accesso alla comunicazione aziendale, Spaggiari ha notificato l’incidente al Garante per la protezione dei dati personali, come previsto dall’articolo 33 del GDPR, e ha informato anche l’Agenzia per la Cybersicurezza Nazionale (ACN) e la polizia giudiziaria. L’azienda ha inoltre annunciato di aver avviato un’indagine forense interna e di aver raccomandato agli utenti di cambiare le proprie credenziali di accesso e di prestare attenzione a eventuali comunicazioni sospette che facciano riferimento all’incidente, un classico vettore di phishing post-breach.

Al momento della pubblicazione di questo articolo non risulta un provvedimento pubblico specifico del Garante sul caso Spaggiari, il che è coerente con i tempi tecnici di un’istruttoria: la notifica di un data breach avvia un procedimento che normalmente richiede settimane o mesi prima di sfociare in un provvedimento pubblico, come già visto nel caso della recente sanzione a WINDTRE per le falle nelle API che avevano esposto i dati di 365.000 clienti.

Vale la pena ricordare il quadro normativo di riferimento: l’articolo 33 del Regolamento UE 2016/679 impone la notifica di ogni violazione di dati personali entro 72 ore dalla conoscenza dell’evento, festivi compresi. Se la ricostruzione temporale è corretta, e cioè che l’azienda ha avuto contezza piena della portata dell’incidente solo dopo la pubblicazione sul leak site del 20 agosto, il termine delle 72 ore andrebbe calcolato da quel momento, non dalla data dell’intrusione tecnica del 30 giugno. È un punto su cui il Garante, quando pubblicherà le proprie conclusioni, dovrà necessariamente pronunciarsi.

Il contesto: la scuola italiana è già sotto pressione privacy

Il caso Spaggiari non nasce nel vuoto. Nella Relazione annuale 2025, il Garante per la protezione dei dati personali ha dichiarato 2.415 data breach notificati nel corso dell’anno, in crescita del 10% rispetto al 2024, di cui 514 relativi al settore pubblico, comparto che include anche le istituzioni scolastiche. Lo stesso Garante ha più volte richiamato l’attenzione delle scuole sui rischi legati alla gestione dei dati degli studenti, in particolare rispetto all’uso di strumenti di intelligenza artificiale e alla sicurezza del registro elettronico, includendo accertamenti ispettivi proprio su questo tipo di piattaforme.

Il settore educativo, del resto, non è nuovo a episodi di questo tipo. A febbraio 2026 l’Università Sapienza di Roma, uno degli atenei più grandi e antichi d’Europa, ha subito un attacco ransomware che ha tenuto bloccati i sistemi interni per tre giorni. A fine 2025 un centro di formazione professionale nella provincia di Treviso era stato colpito da un gruppo ransomware, secondo quanto riportato dal blog di Kaspersky dedicato agli attacchi contro il settore dell’istruzione. A livello globale, il primo semestre 2026 ha fatto segnare 312 attacchi ransomware confermati contro istituzioni educative, con quasi 693.000 record compromessi nei soli incidenti verificati, secondo l’analisi Comparitech basata sul monitoraggio dei leak site.

Quello che distingue il caso Spaggiari da questi precedenti è la scala di propagazione: non un singolo ateneo o un singolo istituto, ma un fornitore che serve, secondo le stime diffuse, migliaia di scuole in tutta Italia. È lo stesso schema di rischio sistemico che l’estate 2026 ha già mostrato con l’ondata di attacchi ransomware contro le aziende italiane, quando nella sola settimana tra il 6 e il 13 agosto otto gruppi diversi hanno rivendicato attacchi contro 15 organizzazioni nel Paese, il dato settimanale più alto mai osservato secondo il monitoraggio indipendente IntelFusions.

Incidente	Settore	Periodo	Impatto dichiarato
Gruppo Spaggiari Parma (xpl0itrs)	Edtech / registro elettronico	Giugno-agosto 2026	6,1 TB, oltre 3.000 scuole coinvolte
Università Sapienza di Roma	Istruzione universitaria	Febbraio 2026	Sistemi interni bloccati per 3 giorni
Centro formazione professionale, Treviso	Formazione professionale	Fine 2025	Attacco ransomware singolo istituto
Ondata ransomware Italia (8 gruppi)	Multi-settore	6-13 agosto 2026	15 organizzazioni colpite in 7 giorni
Settore educativo globale (H1 2026)	Istruzione, tutti i livelli	Gennaio-giugno 2026	312 attacchi confermati, 693.000 record esposti

Perché i fornitori edtech sono un bersaglio strategico

Dal punto di vista di un gruppo ransomware, colpire un fornitore come Spaggiari è una scelta razionale, non opportunistica. Un singolo istituto scolastico ha budget di sicurezza limitati e dati di valore relativamente contenuto per un attaccante finanziariamente motivato. Un fornitore che gestisce l’infrastruttura digitale di migliaia di scuole, invece, concentra in un solo bersaglio un volume di dati personali (e una superficie di pressione mediatica) molto più ampio, aumentando la leva negoziale per l’estorsione.

Questo meccanismo di concentrazione del rischio è lo stesso che ha reso critici altri episodi di supply chain nel 2026, dal breach che ha esposto 153 GB di credenziali attraverso LiteLLM fino alle violazioni che hanno colpito magazzini e infrastrutture logistiche condivise da più clienti. La lezione, ripetuta ma poco applicata, è che la sicurezza di un singolo fornitore SaaS diventa la sicurezza di tutti i suoi clienti a valle, senza che questi ultimi abbiano visibilità diretta sui controlli implementati a monte.

Per le scuole italiane, che in larga parte non dispongono di personale IT dedicato né di competenze di sicurezza informatica interne, questa dipendenza da fornitori esterni è quasi obbligata. Il problema non è la scelta di affidarsi a un fornitore specializzato, che anzi è la scelta corretta rispetto a soluzioni fatte in casa, ma la mancanza di strumenti di verifica indipendente sulla postura di sicurezza di quel fornitore, sia da parte del Ministero dell’Istruzione sia da parte delle singole segreterie scolastiche.

Impatto sul mercato edtech e reputazionale

Sul piano commerciale, un incidente di questa portata mette sotto pressione l’intero segmento dei fornitori di registro elettronico in Italia, un mercato dove la fiducia delle famiglie e delle segreterie scolastiche è l’asset principale. Anche se Spaggiari dovesse dimostrare che il perimetro reale della violazione è più contenuto di quanto dichiarato dagli attaccanti, il danno reputazionale nel breve termine è già avvenuto: migliaia di famiglie hanno letto la notizia di un attacco hacker al “registro elettronico” prima ancora di leggere la precisazione tecnica sul modulo effettivamente coinvolto.

Le conseguenze pratiche più probabili, sulla base di casi analoghi avvenuti in altri settori regolamentati, includono richieste di audit di sicurezza da parte di enti pubblici clienti, un aumento della pressione competitiva da parte di fornitori concorrenti che punteranno sulla propria certificazione di sicurezza come argomento di vendita, e potenziali cause civili o azioni collettive da parte di famiglie che ritengono i propri dati compromessi, uno scenario già visto in altri contesti scolastici europei e statunitensi colpiti da incidenti analoghi nel 2025 e 2026.

Cosa devono fare ora le scuole coinvolte

Per i dirigenti scolastici e il personale amministrativo delle scuole che utilizzano i servizi Spaggiari, le priorità operative immediate sono chiare e non richiedono competenze tecniche avanzate. Primo, verificare con il fornitore se il proprio istituto rientra tra quelli coinvolti nel modulo Modulistica Smart. Secondo, procedere al cambio delle credenziali di accesso per tutto il personale che utilizza la piattaforma Bergantini, seguendo le raccomandazioni diffuse dalla stessa Spaggiari. Terzo, informare le famiglie con una comunicazione chiara, evitando sia l’allarmismo sia la minimizzazione, e mettendo in guardia rispetto a possibili tentativi di phishing che sfruttino il nome dell’istituto o del fornitore per rubare ulteriori credenziali.

La normativa italiana, attraverso una nota del Ministero dell’Istruzione e del Merito già in vigore dal 2025, ricorda alle scuole statali l’obbligo di informare tempestivamente il titolare del trattamento, e comunque senza ingiustificato ritardo, di ogni violazione di dati personali ai sensi degli articoli 33 e 34 del GDPR, un obbligo che vale anche quando la violazione avviene presso un fornitore esterno e non presso i sistemi diretti della scuola.

Il quadro normativo europeo: NIS2 e settore educativo

Il caso arriva in un momento in cui il quadro normativo europeo sulla sicurezza informatica del settore educativo si sta consolidando. La direttiva NIS2, recepita nelle legislazioni nazionali degli Stati membri, include esplicitamente il settore dell’istruzione tra i soggetti importanti quando superano determinate soglie dimensionali, imponendo obblighi di gestione del rischio, notifica degli incidenti e misure di sicurezza tecniche e organizzative proporzionate.

Il problema pratico, evidenziato da questo caso, è che la NIS2 si applica in modo diretto a operatori di dimensioni rilevanti, ma lascia zone grigie quando si tratta di fornitori tecnologici che servono il settore pubblico senza rientrare formalmente nelle categorie regolamentate. Un fornitore come Spaggiari, pur avendo un impatto sistemico enorme sull’ecosistema scolastico, potrebbe non essere soggetto agli stessi obblighi stringenti di un operatore di infrastrutture critiche in senso classico, come un gestore energetico o una banca.

Confronto con altri incidenti supply chain del 2026

Mettere il caso Spaggiari a confronto con altri incidenti di filiera avvenuti nel 2026 aiuta a capire dove si colloca in termini di gravità relativa. Il breach di LiteLLM, con 153 GB di credenziali sottratte, ha avuto un impatto tecnico più circoscritto ma un potenziale di propagazione altrettanto pericoloso, perché ha toccato l’infrastruttura usata da sviluppatori di applicazioni AI in tutto il mondo. Il caso CEVA Logistics, con violazioni riscontrate in otto magazzini e ripercussioni fino a colossi come Steam, mostra invece come un singolo fornitore logistico compromesso possa propagarsi lungo tutta una catena di distribuzione.

Il caso Spaggiari si distingue per la componente umana e sociale: qui non si tratta di credenziali di sviluppatori o di dati logistici, ma di informazioni su minori, famiglie e personale scolastico, categorie di dati che godono di protezioni particolari nel GDPR e che generano una sensibilità pubblica molto più alta, come dimostra la rapidità con cui la stampa generalista, e non solo quella specializzata, ha ripreso la notizia.

Cosa aspettarsi nelle prossime settimane

Sulla base della dinamica tipica di questo genere di incidenti e dei precedenti osservati nel 2025 e 2026, ecco cinque scenari plausibili per l’evoluzione del caso Spaggiari nelle prossime settimane.

Il gruppo xpl0itrs pubblicherà con ogni probabilità un campione più ampio di dati per aumentare la pressione, come avviene nella quasi totalità dei casi in cui la vittima non paga entro la scadenza fissata sul leak site.
È probabile che il Garante per la protezione dei dati personali apra un’istruttoria formale, sulla scia di quanto già fatto per altri casi di data breach nel settore pubblico nel 2025 e 2026, con tempi di conclusione stimabili in diversi mesi.
Ci si può attendere una richiesta di chiarimenti da parte del Ministero dell’Istruzione e del Merito verso Spaggiari, vista la scala del fornitore e il numero di istituti statali coinvolti.
È verosimile un aumento della pressione competitiva da parte di altri fornitori di registro elettronico, che useranno il caso come argomento di marketing sulla propria sicurezza, un pattern già visto dopo altri incidenti di settore.
Non è da escludere l’apertura di verifiche parlamentari o interrogazioni, dato l’alto numero di famiglie potenzialmente coinvolte e la sensibilità politica del tema sicurezza dei dati dei minori.

Le lezioni per il settore edtech e per la scuola digitale

Al di là dell’esito specifico di questo caso, restano alcune lezioni strutturali. La prima è che la digitalizzazione della scuola italiana, portata avanti negli ultimi anni con il registro elettronico come pilastro, non è stata accompagnata da un pari investimento nella sicurezza dei fornitori che la rendono possibile. La seconda è che il modello di comunicazione degli incidenti, quando arriva con settimane di ritardo rispetto alla scoperta tecnica, finisce quasi sempre per essere superato dalla narrazione dell’attaccante, che pubblica prima e senza vincoli di verifica.

La terza lezione riguarda la trasparenza verso gli utenti finali: famiglie e docenti hanno diritto a sapere, in tempi rapidi e con linguaggio chiaro, se i propri dati sono stati coinvolti, senza dover ricostruire la vicenda tra comunicati stampa aziendali e rivendicazioni su forum underground. Su questo fronte, il caso Spaggiari sarà probabilmente studiato come esempio, in un senso o nell’altro, di come (o come non) gestire la comunicazione di crisi in un incidente che coinvolge dati di minori su scala nazionale.

Domande frequenti

Il registro elettronico ClasseViva è stato violato?
Secondo Spaggiari, no. L’azienda dichiara che l’incidente ha riguardato solo il modulo Modulistica Smart della piattaforma Bergantini, mentre il registro di classe, la segreteria digitale e la gestione scolastica girano su sistemi separati e non sono stati toccati.

Quanti dati sono stati rubati davvero?
Il gruppo xpl0itrs dichiara 6,1 terabyte, ma è una cifra fornita dall’attaccante e non confermata in modo indipendente. Va trattata come una rivendicazione, non come un dato accertato.

Le mie credenziali di accesso a ClasseViva sono a rischio?
Come misura precauzionale, Spaggiari raccomanda a tutti gli utenti della piattaforma Bergantini di cambiare la propria password e di diffidare di comunicazioni sospette che facciano riferimento all’incidente.

Cosa deve fare la mia scuola se usa i servizi Spaggiari?
Verificare direttamente con il fornitore se l’istituto rientra tra quelli coinvolti, aggiornare le credenziali del personale, informare le famiglie con una comunicazione chiara e mantenere la documentazione della notifica ricevuta, come richiesto dalla nota del Ministero dell’Istruzione sugli obblighi di data breach.

È già intervenuto il Garante Privacy?
Spaggiari ha notificato l’incidente al Garante, ma al momento della pubblicazione di questo articolo non risulta un provvedimento pubblico specifico sul caso. Le istruttorie di questo tipo richiedono in genere settimane o mesi.

È stato usato un CVE specifico per l’attacco?
Non risulta, dalle fonti disponibili, alcun CVE o vulnerabilità tecnica specifica pubblicamente attribuita a questo incidente. Le informazioni disponibili si basano sulla rivendicazione del gruppo criminale e sul comunicato ufficiale di Spaggiari.

È stato chiesto un riscatto?
Non è stato reso noto pubblicamente alcun importo di riscatto. Il modello operativo di xpl0itrs, tipico dei gruppi ransomware con double extortion, prevede tipicamente una richiesta economica accompagnata dalla minaccia di pubblicazione integrale dei dati.

Questo caso è collegato ad altri attacchi ransomware in Italia nell’estate 2026?
Non risulta un collegamento diretto tra xpl0itrs e gli altri gruppi attivi nell’ondata di attacchi che ha colpito 15 organizzazioni italiane tra il 6 e il 13 agosto 2026, ma entrambi i casi riflettono lo stesso trend di aumento della pressione ransomware sulle organizzazioni italiane nella seconda metà del 2026.

Attacco a Spaggiari: xpl0itrs Ruba 6,1 TB da 3.000 Scuole [2026]