Cyberattacco alle scuole vodesi: rubati i dati di oltre 40’000 persone

Un cyberattacco alla piattaforma di assistenza informatica dei licei e delle scuole professionali vodesi coinvolge oltre 40’000 persone. Ignoti hanno copiato dati personali di circa 38’000 allievi e 3500 docenti, ha comunicato il Canton Vaud sabato 31 ottobre. L’accesso non autorizzato era stato scoperto lunedì 26 ottobre. Per le persone interessate, il rischio principale è ora quello di ricevere messaggi ingannevoli ma credibili, concepiti per sottrarre altre informazioni o password.

Dopo la scoperta, la piattaforma è stata immediatamente scollegata da Internet e messa in sicurezza. Gli utenti sono stati informati. L’accaduto è stato notificato all’Ufficio federale della cibersicurezza e all’autorità competente per la protezione dei dati. Il Cantone intende inoltre sporgere denuncia penale. Non è ancora chiaro chi sia responsabile dell’attacco.

Quali dati sono stati copiati

Il sistema colpito è quello attraverso cui allievi e docenti degli istituti della formazione postobbligatoria chiedono assistenza in caso di problemi informatici. Sono stati copiati nomi, cognomi e indirizzi e-mail scolastici. È stato compromesso anche il contenuto delle richieste inoltrate al servizio di supporto. Il furto, dunque, non si limita a un elenco di nominativi e recapiti.

Il Cantone sottolinea che non sono coinvolti dati sensibili. Informazioni scolastiche come i voti o i dossier degli allievi non sono state rubate. Sulla piattaforma attaccata non vengono inoltre memorizzate le password degli account. È una distinzione importante: questo accesso non significa che gli aggressori abbiano ottenuto direttamente anche le credenziali per entrare negli account scolastici.

Il fatto che voti e password siano esclusi dal furto non rende però inutili le informazioni copiate. Nomi e indirizzi e-mail possono servire a contattare in modo mirato le persone coinvolte. I contenuti di precedenti richieste di assistenza potrebbero rendere quei messaggi ancora più convincenti. Le informazioni finora disponibili non precisano quali dettagli fossero contenuti nelle richieste sottratte.

Perché ora serve particolare prudenza

Il Cantone invita espressamente allievi e docenti a prestare attenzione a possibili tentativi di phishing. Con questa tecnica, gli aggressori possono fingersi un interlocutore conosciuto per indurre il destinatario a comunicare le proprie credenziali. Un messaggio può sembrare autentico se riporta il nome corretto e si inserisce in un contesto scolastico o tecnico familiare.

Proprio il riferimento all’assistenza informatica può avere un peso. Chi ha già segnalato un problema tecnico potrebbe aspettarsi una risposta o una richiesta di intervenire per risolverlo. Si tratta di un possibile scenario di abuso, non della prova che i dati rubati siano già stati utilizzati in questo modo.

Le raccomandazioni del Cantone sono quindi semplici e concrete: non comunicare mai le proprie password, diffidare dei messaggi insoliti o che impongono particolare urgenza e segnalare le comunicazioni sospette. Il punto essenziale è non considerare una formula di saluto personalizzata o la conoscenza di un indirizzo e-mail scolastico come una garanzia dell’affidabilità del mittente.

Scollegare la piattaforma da Internet è stata una misura di protezione immediata. Non permette però di recuperare i dati già copiati. Per gli interessati, la vigilanza resta dunque importante anche dopo la messa in sicurezza tecnica. L’assenza di password sul sistema colpito non basta a escludere successivi tentativi di inganno.

Un altro furto di dati in Svizzera

Il caso vodese si aggiunge ad altri recenti furti di dati in Svizzera. Sono stati colpiti anche un fornitore di servizi informatici della Cassa pensioni della Confederazione Publica e la piattaforma di commercio online Ricardo. Questi episodi non consentono però di dedurre né che gli autori siano gli stessi né che esista un collegamento diretto con l’attacco alla piattaforma scolastica vodese.

Per l’esperta di cibersicurezza Solange Ghernaouti, episodi di questo genere segnalano la vulnerabilità delle infrastrutture digitali e carenze in materia di sicurezza, protezione e prevenzione. La sua valutazione richiama un problema di fondo: anche sistemi che non custodiscono i dossier scolastici o del personale possono raccogliere informazioni interessanti per chi attacca.

Tra le possibili motivazioni, Ghernaouti indica l’arricchimento criminale. I dati personali possono essere rivenduti e impiegati per creare profili, ricattare o commettere truffe. L’esperta considera possibili anche intenti politici, come destabilizzare la società civile e indebolire la fiducia nelle istituzioni. Nessuna di queste spiegazioni è tuttavia dimostrata per il caso specifico del Canton Vaud.

I prossimi passi e le questioni aperte

Con la notifica agli uffici federali competenti e all’autorità per la protezione dei dati, l’accaduto è stato segnalato alle autorità anche al di fuori dell’ambito delle scuole coinvolte. Il passo successivo annunciato è la denuncia penale. Restano aperte, in particolare, due domande: chi abbia ottenuto l’accesso e che cosa accadrà alle informazioni copiate.

Per la comunità scolastica vodese, il messaggio resta quindi duplice. Voti e dossier degli allievi non fanno parte dei dati rubati, mentre le password non erano memorizzate sulla piattaforma. I nomi, gli indirizzi e i contenuti delle richieste di assistenza sottratti impongono comunque prudenza. Chi riceverà una comunicazione inattesa sul proprio account scolastico o su un problema tecnico non dovrebbe confondere la familiarità del messaggio con la sua autenticità.