C’è un dato che continua a tornarmi in mente da quando ho rilasciato l’intervista per Orizzonte Scuola. Non è il più grande numericamente, ma è quello che racconta meglio la trasformazione in atto: l’Italia supera del 53% la media mondiale negli attacchi informatici al settore educativo.
Non stiamo parlando di essere leggermente sopra la media. Stiamo parlando di un targeting specifico, deliberato. I cybercriminali hanno identificato nelle scuole italiane una combinazione particolare di fattori: infrastrutture vulnerabili, dati preziosi e capacità di risposta limitate. E stanno agendo di conseguenza.
La falsa tranquillità del “non abbiamo niente di importante”
Negli ultimi anni, visitando decine di istituti scolastici, ho sentito questa frase innumerevoli volte. È una percezione comprensibile ma profondamente sbagliata. Una scuola media custodisce informazioni sanitarie di centinaia di studenti, situazioni familiari complesse, valutazioni che possono influenzare percorsi di vita, progetti individualizzati per alunni con esigenze specifiche.
Per un criminale informatico, questi dati non sono solo “utili”. Sono oro. L’Università di Pisa l’ha scoperto quando il gruppo BlackCat ha chiesto 4,5 milioni di dollari per restituire l’accesso ai propri sistemi. Quella cifra non era casuale: era calcolata sul valore effettivo delle informazioni sottratte e sul costo del danno reputazionale.
Quando il Garante smette di avvertire e inizia a sanzionare
Il 2025 ha segnato una svolta netta. Un asilo nido di Rho multato con 10.000 euro per aver pubblicato foto inappropriate di bambini. Un Istituto Comprensivo di Milano sanzionato per aver esposto dati sulle assenze dei docenti. Una scuola di Fasano penalizzata per acronimi come “BES” o “DSA” visibili nel registro elettronico.
Quello che colpisce di queste sanzioni non è tanto l’importo, quanto il messaggio sottostante: il Garante ha stabilito che l’interesse superiore del minore prevale su qualsiasi consenso genitoriale. Anche se i genitori firmano un’autorizzazione, pubblicare contenuti inappropriati genera una sanzione. È una rivoluzione copernicana nella gestione della privacy scolastica, e molti dirigenti non se ne sono ancora accorti.
La regola pratica che condivido con ogni scuola che seguo è semplice: prima di pubblicare qualunque dato online, chiedetevi se esiste una legge specifica che vi obbliga a farlo. Se la risposta è “no” o “non sono sicuro”, non pubblicate. Nella maggior parte dei casi, questa singola domanda previene il 90% delle violazioni.
L’intelligenza artificiale entra ufficialmente a scuola
Il Decreto 166 del 2025 ha formalizzato qualcosa che era già realtà: l’intelligenza artificiale è nelle aule. Ma qui emerge un paradosso che trovo particolarmente preoccupante. Molte scuole stanno usando strumenti come ChatGPT o altri LLM senza sapere che, dall’estate 2025, questi sistemi utilizzano automaticamente tutti i dati inseriti per addestrare i loro modelli.
Immaginate un docente che carica nella chat i dati di valutazione di una classe, magari con nomi e cognomi, per farsi aiutare nell’analisi. Quei dati non spariscono dopo la conversazione. Diventano parte del training set del modello, potenzialmente accessibili a chiunque sappia interrogare il sistema nel modo giusto.
La soluzione non è evitare l’AI. Sarebbe impossibile e controproducente. La soluzione è usare le versioni certificate per l’education, come Microsoft Copilot for Education o Google Gemini for Education, che offrono garanzie contrattuali precise sul non utilizzo dei dati per training. Costano leggermente di più, ma la differenza di prezzo è irrisoria rispetto al costo di una violazione che coinvolge centinaia di studenti.
SPID: una transizione tecnicamente riuscita, socialmente problematica
L’implementazione di SPID per l’accesso ai registri elettronici rappresenta un caso interessante di come una buona idea possa generare conseguenze impreviste. Dal punto di vista tecnico, la transizione è stata un successo. I principali fornitori hanno completato l’integrazione, e il sistema funziona.
Il problema è altrove. Con i fondi pubblici bloccati per lungaggini burocratiche, i provider hanno iniziato a applicare tariffe annuali alle famiglie. Parliamo di cifre contenute, tra i 5 e i 6 euro all’anno, ma per una famiglia con due figli significano 12-15 euro solo per accedere ai servizi scolastici di base.
Questo crea disparità territoriali significative. La Lombardia ha oltre il 90% delle famiglie già autonome digitalmente. Il sud Italia si ferma al 40%. Stiamo introducendo, involontariamente, un digital divide nell’accesso ai servizi educativi fondamentali. È un controsenso in un paese che dovrebbe perseguire l’inclusione digitale.
L’ingegneria sociale diventa chirurgica
Le minacce più sofisticate che ho osservato quest’anno non sono quelle tecnologiche. Sono quelle umane. Il caso dell’Università di Padova, con circa 200 credenziali compromesse attraverso domini che replicavano perfettamente il portale ufficiale, dimostra il livello di precisione raggiunto.
Ma ciò che mi preoccupa di più sono le campagne ibride documentate da CERT-AGID: email false inviate da domini @istruzione.it realmente compromessi. I cybercriminali non attaccano più a caso. Studiano gli organigrammi, le PEC istituzionali, le procedure interne. Costruiscono attacchi personalizzati che sono quasi impossibili da distinguere da comunicazioni legittime.
La formazione tradizionale contro il phishing non funziona più. Dire “attenti alle email sospette” in una riunione collegiale è inefficace quanto spiegare la teoria del nuoto senza mai entrare in acqua. Servono simulazioni reali, continue, che creino una memoria muscolare di sicurezza. E soprattutto serve una cultura organizzativa dove ammettere di aver ricevuto un tentativo di truffa non sia motivo di imbarazzo, ma un’occasione di apprendimento collettivo.
Il triangolo della sopravvivenza digitale
Quando lavoro con una nuova scuola, la prima cosa che verifico è quello che chiamo il “triangolo della sopravvivenza digitale”: un DPO operativo e aggiornato, un sistema di backup testato mensilmente, e formazione anti-phishing per tutto il personale.
Senza questi tre elementi, un istituto è vulnerabile. E con 8.593 attacchi settimanali per organizzazione educativa, la vulnerabilità non è una possibilità teorica. È una certezza statistica.
Il backup, in particolare, è l’elemento più sottovalutato. Molte scuole hanno backup, ma poche li testano regolarmente. Scoprire che il backup non funziona nel momento in cui serve è come scoprire che l’estintore è vuoto mentre la casa brucia.
L’autenticazione multi-fattore sui sistemi critici costa 2-3 euro per utente al mese. Una sanzione del Garante parte da 2.000 euro. Un attacco ransomware può bloccare l’attività didattica per settimane. La matematica è semplice, ma la percezione del rischio rimane distorta.
Guardare avanti senza catastrofismo
Rileggendo questa riflessione, mi rendo conto che i toni potrebbero sembrare cupi. Ma la verità è che sono realista, non pessimista. Ogni minaccia che ho descritto ha una contromisura precisa, tecnicamente ed economicamente sostenibile. Le scuole che implementano seriamente i principi di sicurezza che abbiamo discusso raccontano storie molto diverse: personale più consapevole, famiglie più fiduciose, dirigenti che affrontano l’anno scolastico con serenità invece che con ansia.
Il futuro digitale della scuola italiana si decide oggi, nelle scelte operative di ogni dirigente, di ogni DSGA, di ogni docente che clicca o non clicca su un link. La domanda non è se avremo problemi. La domanda è se saremo pronti a gestirli quando arriveranno.
E possiamo esserlo. Basta volerlo.