Chi stampa i libri di scuola dei tuoi figli tiene anche i loro dati?
Il 16 agosto il gruppo ransomware Qilin ha rivendicato un attacco a Zanichelli Editore, uno dei nomi storici dell'editoria italiana, e a Loescher, casa editrice torinese specializzata in libri di testo scolastici e dal 2014 parte dello stesso gruppo. Gli attaccanti dichiarano di aver sottratto circa 300 gigabyte di dati, qualcosa come 270mila file, e hanno fissato al primo settembre la scadenza per la trattativa: se non arriva un pagamento, minacciano di pubblicare tutto online.
Come funziona la doppia estorsione
Qilin non si limita a cifrare i sistemi per bloccare l'azienda. Prima entra in rete, copia quello che trova di utile - contratti, contabilità, dati di dipendenti e fornitori, magari anche informazioni legate alle scuole clienti - e solo dopo lancia la cifratura. Questo significa che pagare il riscatto, ammesso che l'azienda lo faccia, non cancella il rischio: i dati sono già usciti, e restano nelle mani di chi li ha rubati indipendentemente da cosa succede dopo.
Non è un caso isolato
Zanichelli e Loescher si aggiungono a una lista che in Italia si allunga da mesi. Tra luglio e la terza settimana di agosto sono state contate 34 rivendicazioni contro organizzazioni italiane, firmate da gruppi diversi come Qilin, LockBit5, TheGentlemen e DragonForce: segno che il mercato criminale del ransomware nel nostro Paese non è più in mano a una sigla sola, ma a una decina di gruppi che si spartiscono bersagli di ogni settore e dimensione.
Perché il settore scuola è un bersaglio comodo
Le case editrici scolastiche non gestiscono solo libri: hanno piattaforme digitali, portali per insegnanti, dati di migliaia di istituti e spesso anni di stratificazione tecnologica con sistemi vecchi collegati a quelli nuovi. È lo stesso schema che a metà agosto ha colpito altri fornitori del mondo scuola: tanti punti di accesso, aggiornamenti non sempre uniformi, e un valore dei dati - anagrafiche di minori comprese - che li rende appetibili anche a chi non cerca un riscatto miliardario ma vuole un bersaglio facile da colpire.
Vedo lo stesso copione da anni: aziende che pensano "chi vuoi che attacchi noi, mica siamo una banca" e che invece finiscono nella lista di Qilin o di un gruppo qualunque perché avevano un RDP esposto su internet o un fornitore IT con accessi troppo larghi. Un editore scolastico non fa soldi, fa libri - eppure ha in pancia dati di scuole, insegnanti, contratti, magari anche minori. Per un criminale non conta cosa produci, conta cosa puoi pagare pur di non vedere quei dati online, e quanto è facile entrare. Questo è il punto che in tanti anni di consulenza continuo a dover ripetere: la sicurezza non è proporzionale al fatturato, è proporzionale a quanto sei esposto.
Se lavori con dati di terzi - clienti, studenti, pazienti, non importa - la domanda da farti non è "pagherò il riscatto" ma "sono pronto a scoprire che i miei dati sono già fuori mentre ancora sto litigando con l'IT per capire cos'è successo". Backup offline testati, segmentazione della rete, MFA ovunque e soprattutto un piano di incident response scritto prima che serva: sono le cose più noiose del mio lavoro e anche le più ignorate, finché non arriva la nota di riscatto sullo schermo. A quel punto, la differenza tra un'azienda che si rialza in due giorni e una che ci mette mesi non è la tecnologia che ha comprato, è se aveva già deciso cosa fare in quella situazione.