Spaggiari, i dati non sono più in vendita: dopo la scadenza il leak va in 404. Pagato riscatto?

🛡️ Executive Summary

• xpl0itrs ha rivendicato 6,1 TB sottratti a Gruppo Spaggiari; il 28 agosto l’offerta da 50 mila dollari non risulta più raggiungibile e il link restituisce 404.
• Spaggiari circoscrive l’intrusione del 30 giugno a Modulistica Smart di Bergantini ed esclude il coinvolgimento di ClasseViva, credenziali e sistemi gestionali.
• Il rischio residuo riguarda PDF contenenti anche dati sanitari e documentazione personale: l’azienda ha notificato Garante, ACN e polizia giudiziaria.

Il 28 agosto 2026 il materiale rivendicato contro Gruppo Spaggiari Parma S.p.A. non risulta più disponibile attraverso il canale pubblico utilizzato da xpl0itrs per venderlo a 50 mila dollari. L’aggiornamento osservato da ransomNews mostra la scomparsa dell’opzione di acquisto e un collegamento al leak che restituisce 404, dopo una scadenza fissata al 27 agosto. Il dato non dimostra però che i file siano stati cancellati o che non possano circolare altrove. Spaggiari conferma un accesso non autorizzato avvenuto il 30 giugno sul modulo Modulistica Smart di Bergantini, ma esclude il coinvolgimento del registro elettronico ClasseViva, delle credenziali e degli altri gestionali. Il nodo principale resta quindi la possibile circolazione di documentazione appartenente a studenti, famiglie e personale scolastico.

Dal prezzo di 50 mila dollari alla pagina 404

Nelle informazioni raccolte prima della scadenza, la scheda relativa a Gruppo Spaggiari presentava il materiale come disponibile alla vendita per 50 mila dollari, accompagnato da un campione scaricabile. Gli attaccanti attribuivano al dataset un volume complessivo di circa 6,1 TB e sostenevano che il materiale provenisse da migliaia di istituti scolastici. Nelle descrizioni criminali comparivano riferimenti a certificazioni, curriculum, documenti personali e materiale sanitario. Il 28 agosto, dopo la scadenza indicata il giorno precedente, la possibilità di acquisto non risulta più visibile e il percorso osservato per il download restituisce una pagina 404. Questo cambiamento è significativo sul piano operativo, ma non permette di stabilire cosa sia realmente accaduto al dataset. La scomparsa da un leak site può derivare da una vendita privata, da uno spostamento dell’archivio, da una decisione tattica degli attaccanti o semplicemente da modifiche all’infrastruttura criminale. Non equivale quindi alla distruzione dei dati né certifica la chiusura dell’incidente. Anche la scheda dedicata a xpl0itrs su ransomware.live descrive un attore relativamente recente, per il quale le rivendicazioni pubbliche richiedono ancora particolare prudenza nell’attribuzione e nella quantificazione degli impatti.

Spaggiari conferma l’intrusione del 30 giugno ma delimita il perimetro

Il punto fermo arriva dalla comunicazione ufficiale pubblicata da Gruppo Spaggiari, aggiornata fino al 26 agosto 2026. La società afferma di aver rilevato il 30 giugno un accesso non autorizzato al modulo Modulistica Smart Bergantini, utilizzato per compilare istanze amministrative e allegare documenti. Secondo la ricostruzione aziendale, gli attaccanti avrebbero copiato file archiviati nel modulo senza riuscire a raggiungere il registro elettronico ClasseViva, i software di segreteria o le tabelle contenenti credenziali. Spaggiari sostiene inoltre che l’architettura separata dei sistemi abbia impedito una propagazione dell’intrusione e che i servizi siano tornati pienamente operativi dal 17 luglio, senza interruzioni successive. L’azienda dichiara di aver notificato il data breach al Garante per la protezione dei dati personali, inviato una segnalazione all’Agenzia per la Cybersicurezza Nazionale e presentato denuncia alla polizia giudiziaria. Sul riscatto, la posizione dichiarata è netta: nessun pagamento e nessun contatto con gli autori dell’attacco.

Leggi anche: TeamSystem, data breach su Contabilità in Cloud con IBAN e movimentazioni esfiltrati

Sei terabyte non significano necessariamente compromissione dell’intero ecosistema

Il contrasto tra la versione degli attaccanti e quella dell’azienda riguarda soprattutto la dimensione e la natura dell’archivio sottratto. xpl0itrs parla di 6,1 TB, oltre 3.000 scuole e una grande quantità di materiale personale. Spaggiari non conferma le cifre e sottolinea che Modulistica Smart è essenzialmente un archivio documentale: file PDF, scansioni e allegati possono generare rapidamente volumi molto elevati senza implicare il compromesso dell’intera infrastruttura applicativa. La società conferma però che i documenti possono contenere dati anagrafici, recapiti, certificazioni sanitarie e documentazione a supporto di istanze del personale.

Una parte di questi dati rientra nelle categorie particolari disciplinate dall’articolo 9 del GDPR. Spaggiari precisa inoltre che il modulo non è collegato al Servizio sanitario nazionale né al Fascicolo sanitario elettronico, ma ammette che gli utenti possono aver caricato certificati medici, ad esempio per giustificare assenze. Anche eventuali pagelle o documenti contenenti valutazioni potrebbero essere presenti soltanto se caricati manualmente come allegati, non perché estratti direttamente da ClasseViva. La distinzione è importante: l’incidente riguarda, secondo la ricostruzione disponibile, documenti memorizzati in Modulistica Smart e non il registro elettronico nel suo complesso.

xpl0itrs punta sull’estorsione dei dati più che sul blocco dei servizi

Il caso Spaggiari mostra inoltre un modello di monetizzazione nel quale il valore dell’attacco non dipende necessariamente dalla cifratura dell’infrastruttura. Non risultano infatti blackout prolungati di ClasseViva o una cifratura generalizzata dei sistemi aziendali. La pressione passa invece dalla copia e dalla possibile vendita dei documenti esfiltrati, trasformando la riservatezza dei dati in leva estorsiva. L’offerta pubblica da 50 mila dollari suggerisce un tentativo di monetizzazione diretta dell’archivio dopo il mancato pagamento da parte della vittima. Il prezzo, relativamente contenuto rispetto alle dimensioni dichiarate del dataset, può essere letto come un incentivo a trovare rapidamente un acquirente, ma non esistono elementi pubblici sufficienti per stabilire se la vendita sia effettivamente avvenuta. Allo stesso modo, il passaggio al 404 non permette di distinguere tra ritiro tattico e conclusione di una transazione privata. In questo tipo di incidenti il vero problema inizia spesso dopo l’esfiltrazione: un archivio sottratto può essere copiato infinite volte e riutilizzato per campagne successive, anche molto tempo dopo la chiusura della fase estorsiva. È la stessa logica della persistenza criminale dopo i data breach, nella quale le informazioni dei clienti diventano materiale per phishing e frodi successive.

Minori, certificati medici e documenti scolastici aumentano il rischio successivo

Il potenziale impatto sui soggetti interessati non dipende quindi soltanto dalla pubblicazione dell’intero dataset. Un singolo documento può contenere informazioni sufficienti per rendere estremamente credibile una campagna di phishing mirato, una frode o un tentativo di impersonificazione. Nel caso della modulistica scolastica possono comparire nomi, indirizzi, recapiti, riferimenti all’istituto frequentato, documentazione amministrativa e, in alcuni casi, certificati sanitari. Gruppo Spaggiari invita esplicitamente famiglie e personale a prestare attenzione a email, SMS e telefonate che richiamino pratiche scolastiche e chiedano dati personali o pagamenti. La raccomandazione è coerente con il rischio già osservato nelle campagne italiane che sfruttano servizi pubblici e informazioni personali per rendere più convincenti i messaggi fraudolenti. Il problema non si risolve quindi con il semplice cambio della password di ClasseViva, che secondo l’azienda non risulta compromessa: un PDF già copiato resta utilizzabile indipendentemente dalle credenziali dell’account.

La disciplina applicabile ai data breach impone inoltre una valutazione specifica del rischio per gli interessati. Il Garante privacy ricorda che la notifica deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, salvo che sia improbabile un rischio per i diritti e le libertà delle persone fisiche. Spaggiari sostiene di aver adempiuto agli obblighi nei termini e di aver successivamente integrato la notifica. La società ha inoltre attivato il canale [email protected] per verifiche individuali sulla possibile presenza di documenti riferibili a studenti, famiglie o personale.

Continua con:

• Perimetro cibernetico, NIS2 e silenzi istituzionali: due casi italiani in quindici giorni
• ACN tra NIS2 e sovranità tecnologica: il confronto con Luca Nicoletti

Il 404 chiude la vendita pubblica, non il rischio del data breach

Al momento esistono tre elementi relativamente solidi: Spaggiari conferma l’accesso non autorizzato a Modulistica Smart, xpl0itrs ha rivendicato pubblicamente il furto di dati e il collegamento osservato il 28 agosto non permette più di raggiungere il pacchetto precedentemente offerto in vendita. Rimangono invece irrisolte tre questioni decisive. Non esiste una verifica indipendente dell’intero contenuto dei 6,1 TB rivendicati; non è possibile stabilire se una copia completa sia già stata trasferita attraverso canali privati; non è stato pubblicato un advisory tecnico che chiarisca il vettore iniziale, eventuali vulnerabilità sfruttate o indicatori di compromissione.

Per questo la descrizione più precisa resta quella di un data breach circoscritto, secondo l’azienda, a un archivio documentale della piattaforma Bergantini, con una rivendicazione criminale molto più ampia ancora da verificare integralmente. La scomparsa della vendita pubblica riduce la visibilità immediata del materiale, ma non neutralizza il rischio derivante da copie già sottratte. Per scuole, famiglie e personale la minaccia concreta resta soprattutto quella dell’uso secondario dei documenti: phishing mirato, impersonificazione, richieste di pagamento e frodi costruite sfruttando informazioni che una vittima può riconoscere come autentiche.