Chi stampa i libri di scuola dei tuoi figli tiene anche i loro dati?
Il 16 agosto il gruppo ransomware Qilin ha rivendicato un attacco a Zanichelli Editore, uno dei nomi storici dell'editoria italiana, e a Loescher, casa editrice torinese specializzata in libri di testo scolastici e dal 2014 parte dello stesso gruppo. Gli attaccanti dichiarano di aver sottratto circa 300 gigabyte di dati, qualcosa come 270mila file, e hanno fissato al primo settembre la scadenza per la trattativa: se non arriva un pagamento, minacciano di pubblicare tutto online.
Come funziona la doppia estorsione
Qilin non si limita a cifrare i sistemi per bloccare l'azienda. Prima entra in rete, copia quello che trova di utile - contratti, contabilità, dati di dipendenti e fornitori, magari anche informazioni legate alle scuole clienti - e solo dopo lancia la cifratura. Questo significa che pagare il riscatto, ammesso che l'azienda lo faccia, non cancella il rischio: i dati sono già usciti, e restano nelle mani di chi li ha rubati indipendentemente da cosa succede dopo.
Non è un caso isolato
Zanichelli e Loescher si aggiungono a una lista che in Italia si allunga da mesi. Tra luglio e la terza settimana di agosto sono state contate 34 rivendicazioni contro organizzazioni italiane, firmate da gruppi diversi come Qilin, LockBit5, TheGentlemen e DragonForce: segno che il mercato criminale del ransomware nel nostro Paese non è più in mano a una sigla sola, ma a una decina di gruppi che si spartiscono bersagli di ogni settore e dimensione.
Perché il settore scuola è un bersaglio comodo
Le case editrici scolastiche non gestiscono solo libri: hanno piattaforme digitali, portali per insegnanti, dati di migliaia di istituti e spesso anni di stratificazione tecnologica con sistemi vecchi collegati a quelli nuovi. È lo stesso schema che a metà agosto ha colpito altri fornitori del mondo scuola: tanti punti di accesso, aggiornamenti non sempre uniformi, e un valore dei dati - anagrafiche di minori comprese - che li rende appetibili anche a chi non cerca un riscatto miliardario ma vuole un bersaglio facile da colpire.
💬 Il mio commento
Quello che mi fa riflettere di più in questa storia non è Qilin in sé, ma quanto sia comune pensare "chi vuoi che attacchi noi, mica siamo una banca" — e quanto spesso questo ragionamento si riveli sbagliato. Un editore scolastico non maneggia soldi come una banca, ma ha in pancia dati di scuole, insegnanti, magari anche minori: per chi fa ransomware non conta cosa produci, conta quanto sei disposto a pagare pur di non vederli online. Non so dire con certezza come sia avvenuto l'attacco in questo caso specifico — non lo hanno reso pubblico — ma la dinamica è quella che vedo ricorrere spesso: un accesso esposto, un fornitore con permessi troppo larghi, qualcosa di banale che nessuno aveva controllato.
Se lavorate con dati di terzi — clienti, studenti, pazienti — la domanda che mi sembra più utile non è "pagherò il riscatto" ma "sono pronto a scoprire che i miei dati sono già fuori mentre ancora sto capendo cos'è successo". Backup offline testati, segmentazione, MFA, un piano scritto prima che serva: non garantisco che bastino sempre — nessuno può — ma fanno la differenza tra rialzarsi in due giorni o metterci mesi.