// SMARTWORLD — MONDO
Attacco hacker a Gruppo Spaggiari: rubati dati da un modulo collegato a Classeviva, il registro non è coinvolto
A poche settimane dall'inizio delle scuole, Gruppo Spaggiari Parma, la società dietro il registro elettronico Classeviva e le piattaforme gestionali usate da migliaia di istituti italiani, è finita nel mirino degli hacker. Il gruppo xpl0itrs rivendica di aver sottratto 6,1 TB di dati che includerebbero identificativi dei docenti, certificazioni degli studenti, cartelle cliniche e dati medici, curricula e molto altro ancora. Spaggiari, dal canto suo, non commenta questa cifra: come chiarito dall'azienda stessa, il numero descrive il peso dei file (documenti scansionati, spesso pesanti) e non l'estensione reale dei propri sistemi.
Tra i dati potenzialmente coinvolti ci sono documenti allegati dalle famiglie, come certificati medici a giustificazione di assenze, e documentazione presentata dal personale scolastico, comprese le richieste di permesso legate a condizioni di disabilità, come quelle previste dalla legge 104. Si tratta, come confermato dalla stessa azienda, di categorie particolari di dati ai sensi dell'articolo 9 del GDPR: informazioni sensibili che non hanno nulla a che fare con voti, valutazioni o pagelle, custoditi invece nel registro elettronico.
L'azienda ha risposto con una comunicazione ufficiale, aggiornata oggi con una sezione di domande e risposte, per fare chiarezza sulla portata dell'incidente. La posizione di Spaggiari, netta e più volte ribadita, è che l'attacco non ha in alcun modo coinvolto il registro elettronico Classeviva, che risiede su un'infrastruttura separata e non raggiunta, ma un componente distinto chiamato Modulistica Smart Bergantini, la piattaforma usata da scuole, personale e famiglie per compilare e inviare moduli e istanze online. L'evento, confermano, è avvenuto il 30 giugno 2026 ed è stato notificato al Garante per la protezione dei dati personali, all'Agenzia per la Cybersicurezza Nazionale e all'autorità di polizia giudiziaria.
Nella propria comunicazione, l'azienda precisa che "l'episodio ha comportato l'accesso illecito a una parte degli allegati caricati dagli utenti" e che, allo stato attuale, non risultano evidenze di utilizzo fraudolento dei dati sottratti. I servizi, chiarisce Spaggiari nella stessa nota, sono rimasti regolarmente operativi senza interruzioni, incluso il modulo interessato dall'attacco.
La stessa azienda ammette però che tra gli allegati coinvolti rientrano certificazioni sanitarie e documentazione di categorie particolari ai sensi del GDPR.
Al momento in cui scriviamo, il gruppo xpl0itrs non ha ancora rilasciato campioni verificabili dei dati. Spaggiari, dal canto suo, esclude categoricamente qualsiasi trattativa: "Non abbiamo alcun contatto con gli autori dell'attacco e non ne avremo", che esclude anche l'intenzione di pagare un riscatto.
Come sottolinea DDay.it, questo episodio riapre poi una questione strutturale e generale: ha senso che i dati di milioni di studenti, famiglie e docenti italiani siano distribuiti tra una manciata di fornitori privati, ognuno con la propria infrastruttura e i propri standard di sicurezza? In Italia non esiste una piattaforma pubblica unica per la gestione scolastica: la scelta del fornitore è demandata alle singole scuole. Un sistema pubblico centralizzato non sarebbe certo immune da attacchi, nessuna infrastruttura lo è, ma garantirebbe almeno responsabilità chiare e uno standard di sicurezza omogeneo.