corriere.it, 11 maggio 2026
Hacker rubano i dati di 275 milioni di docenti e alunni
Un attacco hacker che ha colpito quasi novemila scuole e che ha portato al furto di oltre 3 terabyte di dati appartenenti a 275 milioni di insegnanti e studenti di tutto il mondo. Si riassume con questi numeri il colpo che il gruppo di cybercriminali ShinyHunters ha messo a segno contro un software per l’istruzione – Canvas dell’azienda statunitense Instructure – usato da università e scuole di tutto il globo.
Gli hacker hanno chiesto all’azienda di pagare un riscatto in bitcoin per evitare che i dati di milioni di utenti vengano pubblicati online. La data di scadenza per il pagamento è il 12 maggio. Come riporta l’azienda colpita, nel data breach sarebbero stati compromessi dati come «gli username, gli indirizzi email, i nomi dei corsi, le informazioni di immatricolazione e i messaggi».
«ShinyHunters ha violato Instructure (di nuovo)», si legge in un messaggio comparso nella pagina di accesso al software. «Invece di contattarci per risolvere, ci hanno ignorato e hanno fatto alcune “patch di sicurezza"». Secondo quanto ricostruito da Halcyon, centro di ricerca che si occupa di ransomware, la compromissione dei sistemi di Instructure è cominciata il 25 aprile, quando ShinyHunters è riuscita a sfruttare una vulnerabilità degli account Free-For-Teacher, la versione gratuita del software. Solo quattro giorni più tardi l’azienda ha individuato l’attacco. Come misura di “contenimento”, le funzionalità di Free-For-Teacher sono state momentaneamente disabilitate, salvo poi essere ripristinate poco dopo.
Canvas, il software per l’istruzione colpito da un attacco hacker
Ma intanto il danno era stato già fatto e i dati sono finiti nelle mani del gruppo di cybercriminali. I quali, dopo aver tentato (fallendo) di intavolare una trattativa con Instructure con data di scadenza al 6 maggio, ha deciso di rinnovare la richiesta di riscatto, questa volta rivolgendosi alle singole istituzioni accademiche colpite.
Così il 7 maggio un messaggio è comparso sulla pagina di login a Canvas per oltre 300 istituti coinvolti nell’attacco. «Se qualche scuola nella lista di quelle coinvolte è interessata a prevenire la pubblicazione dei suoi dati, per favore consultate una società di consulenza informatica e contattateci privatamente per negoziare un accordo», si legge nel messaggio. L’onere del pagare il riscatto, insomma, sembra che ora sia passato alle singole università, circa 9.000 nel mondo, concentrate soprattutto negli Stati Uniti, nell’America del Sud e in Australia. Nell’elenco pubblicato dal gruppo hacker (qui la versione salvata su Archive.org) comparirebbe anche l’italiana Luiss. Tuttavia, l’università romana comunica di non avere trovato prove del data breach nei propri sistemi: «Luiss ha attivato i servizi di sicurezza informatica di Ateneo per verificare eventuali impatti, al momento non sono state rilevate evidenze», ha riferito al Corriere un portavoce.
Nel mentre si moltiplicano le testimonianze di insegnanti e studenti che sono stati direttamente coinvolti, nelle prime ore dall’intervento riparativo di Instructure, dal momentaneo spegnimento del software. Come riporta l’emittente britannica Bbc, la Mississipi State University è stata costretta a rimandare gli esami finali per consentire agli studenti di recuperare i propri lavori salvati sulla piattaforma, mentre università come la Penn State University e l’Idaho State University hanno direttamente cancellato le sessioni di esame.