“È solo una lista di nomi e di email, cosa vuoi che ci facciano?” Con i soli nomi, poco. Ma qui sono stati copiati anche i testi delle richieste di assistenza, per esempio il computer che non si accende, la password dimenticata, il proiettore dell’aula. Sono proprio i dettagli che rendono credibile un’email falsa.
Cosa è successo nelle scuole del Canton Vaud?
Qualcuno è entrato senza autorizzazione nella piattaforma dove allievi e docenti delle scuole postobbligatorie vodesi chiedono aiuto al supporto informatico, e ne ha copiato i dati. Il Cantone se n’è accorto il 26 ottobre 2026 e lo ha reso pubblico il 31 ottobre.
Secondo il comunicato ufficiale:
- sono stati copiati nomi, cognomi, indirizzi email scolastici e il contenuto delle richieste di assistenza di circa 3’500 docenti e 38’000 allievi;
- le password degli account non erano salvate sulla piattaforma, e voti e fascicoli degli allievi non sono coinvolti;
- la piattaforma è stata staccata da internet e messa in sicurezza, tutti gli utenti sono stati informati, l’Ufficio federale della cibersicurezza (UFCS) e l’autorità vodese per la protezione dei dati sono stati avvisati.
Il Cantone indica come rischio principale i messaggi di phishing mirati che si spacciano per la scuola o per il supporto informatico.
È stato un allievo?
Non si sa. Il vicedirettore generale dell’insegnamento postobbligatorio, Pedro Coelho, ha detto all’agenzia Keystone-SDA che il caso è stato trasmesso alla polizia con diversi indizi e che, al momento, molto fa pensare a una questione interna. Il Cantone ha sporto denuncia penale. Secondo la RTS, il Cantone sospetta un allievo, senza dirne età né scuola. La polizia vodese non lo ha confermato e ha annunciato una presa di posizione nei prossimi giorni.
RTS, Vaud: rubati i dati di oltre 40'000 allievi e docenti (in francese) inside-it (Keystone-SDA), attacco informatico alle scuole vodesi (in tedesco)Finché non ci sono conferme, è un’ipotesi. Ma è un’ipotesi che molti genitori si sono fatti leggendo la notizia, e per questo la seconda parte di questo articolo parla proprio di questo.
Che email false possono arrivare adesso?
Email che sembrano del supporto informatico della scuola e citano un problema che hai segnalato davvero. È la conseguenza più probabile di questa fuga: chi ha i testi delle richieste sa chi ha avuto un problema e quale.
Un esempio di come potrebbe essere (inventato, non documentato in questo caso):
«Buongiorno, la tua richiesta sul computer che non si connette al Wi-Fi della scuola è stata chiusa. Per riaprirla o valutare l’intervento, accedi entro oggi con le tue credenziali scolastiche.»
Il messaggio è credibile perché il problema era vero. Ma l’unico obiettivo è farti scrivere la password su una pagina falsa, o farti aprire un allegato.
I segnali da guardare:
- ti chiede la password, in qualsiasi forma: nel testo, in una risposta, su una pagina di «verifica». Il Cantone lo ripete: la password non si comunica mai;
- c’è fretta: «entro oggi», «altrimenti l’account viene bloccato»;
- il link porta a un indirizzo che non è quello della scuola, anche se la pagina è identica. Il lucchetto nel browser non dimostra niente: lo ha anche la maggior parte delle pagine false. Se hai un dubbio, controlla il link su sito-ok.com;
- c’è un allegato da aprire o un programma da installare «per risolvere il problema»;
- arriva da un indirizzo privato o diverso dal solito, oppure la risposta va a un altro indirizzo;
- ti chiamano al telefono dicendo di essere del supporto e ti chiedono un codice ricevuto per SMS o di installare un programma per «prendere il controllo» del computer.
Se in una richiesta di assistenza hai scritto una password, cambiala: quel testo è fra i dati copiati.
Il Metodo 3V applicato a un’email «dal supporto informatico»
| Fase | Cosa fai |
|---|---|
| Verifica: chi mi scrive davvero? | Che citi il tuo problema non prova niente: i testi delle richieste sono stati copiati |
| Validazione: la richiesta ha senso? | Un servizio informatico non ha bisogno della tua password per risolvere un problema. Se te la chiede, è falso |
| Velocità controllata: perché tanta fretta? | Una richiesta di assistenza può aspettare un giorno. La fretta serve solo a non farti controllare |
Il metodo è spiegato per intero nella guida al social engineering e nel libro «Sicurezza informatica per professionisti».
E in Ticino e in Italia?
Questa fuga di dati riguarda le scuole postobbligatorie del Canton Vaud. Ma la lezione vale ovunque. Molte scuole, anche in Ticino e in Italia, raccolgono le richieste di assistenza in un servizio online, e quei testi parlano di persone, computer e problemi veri. Un’email falsa «dal supporto» funziona in qualsiasi scuola, con o senza fuga di dati.
Se ricevi un messaggio sospetto: in Svizzera segnalalo all’UFCS con il modulo online su report.ncsc.admin.ch (bastano pochi minuti, si può fare anche dal telefono); in Italia alla Polizia Postale. In entrambi i casi avvisa anche la scuola, perché altri potrebbero aver ricevuto lo stesso messaggio.
Mio figlio è bravo con i computer: cosa rischia se entra nei sistemi della scuola?
Rischia un procedimento penale, in Svizzera dai 10 anni e in Italia dai 14. Non importa che sia «solo per vedere se ci riesce» o che non abbia fatto danni: entrare senza permesso in un sistema protetto è già il reato.
In Svizzera
Il Codice penale svizzero del 1937 punisce l’accesso indebito a un sistema per l’elaborazione di dati: chi entra senza diritto, attraverso la rete, in un sistema altrui protetto, rischia una pena detentiva fino a tre anni o una pena pecuniaria. Per l’accesso si procede su querela di chi lo ha subito. È punito, anche senza querela, chi mette in giro o rende accessibili password o programmi sapendo, o dovendo immaginare, che servono a entrare così.
Codice penale svizzero del 21 dicembre 1937, accesso indebito a un sistema per l'elaborazione di dati (stato 1° novembre 2026)Per un ragazzo fra i 10 e i 18 anni si applica la Legge federale sul diritto penale minorile del 2003. La legge mette al primo posto la protezione e l’educazione del minore. Le sanzioni vanno dall’ammonizione (un rimprovero formale del giudice) alla prestazione personale, cioè un lavoro utile; dai 15 anni sono possibili anche una multa fino a 2’000 franchi e, per i crimini e i delitti (l’accesso indebito è un delitto), la privazione della libertà da un giorno a un anno. Il giudice può rinunciare alla punizione, per esempio se la colpa e le conseguenze sono minime, o se il ragazzo ammette i fatti e ripara il danno per quanto può, e il caso è lieve.
Legge federale sul diritto penale minorile del 20 giugno 2003 (stato 1° luglio 2025)In Italia
Il codice penale punisce l’accesso abusivo a un sistema informatico, introdotto dalla legge sui reati informatici del 1993 e rafforzato dalla legge sulla cybersicurezza del 2024. Chi entra in un sistema protetto, o ci resta contro la volontà del titolare, rischia fino a tre anni di reclusione, su querela. Le pene salgono da due a dieci anni, e si procede d’ufficio, se fra l’altro dall’intrusione deriva la sottrazione dei dati, anche solo copiandoli. Per i sistemi di interesse pubblico le pene sono ancora più alte; se il sistema di una scuola rientri in questa categoria lo valuta il giudice.
Codice penale italiano, accesso abusivo a un sistema informatico o telematico (introdotto dalla legge 23 dicembre 1993 n. 547, modificato dalla legge 28 giugno 2024 n. 90), testo su Brocardi.it Gazzetta Ufficiale, legge 28 giugno 2024 n. 90, modifiche al codice penale sull'accesso abusivoUn ragazzo fra i 14 e i 18 anni risponde se il giudice lo ritiene capace di intendere e di volere, con una pena ridotta; sotto i 14 anni non è imputabile. Il processo minorile, regolato da un decreto del 1988, prevede la messa alla prova: il processo si sospende, il ragazzo segue un percorso con i servizi sociali per i minorenni e, se va bene, il giudice dichiara estinto il reato.
Codice penale italiano, minore degli anni diciotto, testo su Brocardi.it Gazzetta Ufficiale, DPR 22 settembre 1988 n. 448 sul processo penale a carico di imputati minorenni: estinzione del reato dopo la messa alla provaIn tutti e due i Paesi, oltre al penale, restano le conseguenze a scuola, che dipendono dalle regole di ogni istituto, e quella più pesante per un ragazzo: la fiducia persa di compagni e docenti, i cui dati sono finiti chissà dove.
Come ne parlo con mio figlio senza trattarlo da criminale?
Parti dalla curiosità, che è una qualità, e metti un solo confine chiaro: il permesso. Da hacker etico lo dico così: la differenza fra un professionista della sicurezza e chi finisce davanti a un giudice non è il talento. È sapere che senza l’autorizzazione del proprietario non si entra, anche se la porta è aperta.
Tre cose da dire, con parole tue:
- «Se trovi una porta aperta, non entrare: avvisa.» Una falla trovata per caso non è una colpa. Esplorarla, copiare dati o mostrarla agli amici sì.
- «Le password degli altri non si usano, nemmeno se te le hanno date.» Né quella di un compagno, né quella che un docente ha lasciato sul post-it.
- «Se hai già fatto qualcosa, dimmelo.» Promettigli che ne parlerete con calma. Un ragazzo che teme la punizione nasconde, e nascondere peggiora tutto. Se il caso è serio, chiedi consiglio a un avvocato prima di muoverti, e non cancellate nulla dal computer.
Esiste una strada legale per chi ha talento?
Sì, e in Svizzera e in Italia è anche gratuita.
- Le gare di sicurezza informatica (si chiamano CTF, «cattura la bandiera»): sono sfide su sistemi costruiti apposta per essere attaccati. In Svizzera la Swiss Hacking Challenge, legata all’associazione Swiss Cyber Storm, ha ogni anno una qualificazione online fra marzo e aprile, gratuita e aperta a tutti; i migliori vanno in finale, da cui si sceglie la squadra nazionale. In Italia le Olimpiadi Italiane di Cybersicurezza (OliCyber.IT) sono gratuite per gli studenti delle superiori delle scuole che aderiscono al programma, e CyberChallenge.IT è dedicata ai ragazzi fra i 16 e i 24 anni; entrambe sono organizzate dal Cybersecurity National Lab del CINI, con il supporto dell’Agenzia per la Cybersicurezza Nazionale.
- La segnalazione responsabile: chi trova per caso una falla la segnala al proprietario del sistema, quindi alla scuola. In Svizzera puoi rivolgerti all’UFCS, che avvisa l’organizzazione; anche in forma anonima. Le regole dell’UFCS sono una buona scuola di etica anche per un ragazzo: non scaricare né modificare dati oltre lo stretto necessario per mostrare il problema, non esplorare il sistema, non toccare i dati degli altri, non parlarne in pubblico prima che la falla sia chiusa. Per i sistemi della Confederazione, l’UFCS non persegue chi rispetta queste regole in buona fede; per i sistemi di altri (come una scuola cantonale o comunale) questa promessa non vale, e per questo il primo passo è sempre il proprietario.
- Più avanti, i programmi «bug bounty»: aziende ed enti pubblici pagano gli hacker etici che trovano falle con il loro permesso. Anche la Confederazione li ha usati, come racconto nell’articolo su cosa significa davvero la parola hacker.
Cosa può imparare una scuola da questo caso?
Che i dati non stanno solo nel registro dei voti. Una piattaforma di assistenza sembra innocua, ma contiene nomi, indirizzi email e problemi raccontati con parole proprie: materiale perfetto per chi vuole scrivere email false.
- Accessi: ognuno vede solo ciò che gli serve. Un allievo o un collaboratore non dovrebbe poter leggere le richieste degli altri. Chi ha accessi da amministratore usa la verifica in due passaggi (un codice o una conferma sul telefono oltre alla password).
- Separazione: i sistemi usati dagli allievi e quelli degli amministratori restano separati, e le richieste di assistenza non contengono password scritte in chiaro.
- Tracce: registrare chi accede e quando permette di accorgersi in fretta di un’intrusione e di capire cosa è uscito.
- Un canale per segnalare: allievi e docenti devono sapere a chi dire «ho trovato un problema» senza temere di essere puniti per averlo detto. Una scuola che premia la segnalazione riceve le falle prima che le usi qualcun altro.
- Comunicare presto e chiaro: avvisare tutti, dire cosa è stato preso e cosa no, ricordare che la scuola non chiede mai la password via email.
Domande frequenti
Mio figlio studia in Ticino o in Italia: i suoi dati sono coinvolti?
No, secondo quanto comunicato la fuga riguarda la piattaforma di assistenza delle scuole postobbligatorie del Canton Vaud. Il consiglio però vale per tutti: un'email «dal supporto informatico» che chiede la password è falsa, in qualsiasi scuola. Nel dubbio si apre il portale da soli o si chiede in segreteria.
La scuola mi chiede di cambiare la password: è una truffa?
Non per forza: dopo un incidente una scuola può chiederlo davvero. Il punto è come lo fai. Non usare il link dell'email: apri tu il portale della scuola dal segnalibro e cambia lì la password. Se la pagina ti chiede anche quella vecchia, va bene; se te la chiede un'email o una persona al telefono, no.
Mio figlio passa le serate a «smanettare»: devo preoccuparmi?
No, la passione per i computer non è un indizio di reato. Chiedigli cosa fa, fatti mostrare un progetto, interessati. Il segnale che deve farti parlare con lui è un altro: password non sue, accessi a sistemi della scuola o di altri, programmi per entrare in account altrui. Lì il discorso è sul permesso, non sulla passione.
Mio figlio ha trovato per caso una falla nel sito della scuola: cosa facciamo?
Fermatevi lì: niente altre prove e niente dati scaricati. Scrivete insieme alla direzione cosa ha visto, quando e da quale dispositivo, senza pubblicarlo da nessuna parte. In Svizzera potete anche rivolgervi all'UFCS, che avvisa l'organizzazione; anche in forma anonima. Ricordate che la protezione promessa dall'UFCS vale per i sistemi della Confederazione, non per quelli di una scuola.
Il caso vodese è ancora aperto e la polizia deve ancora parlare. Ma la conversazione con tuo figlio non ha bisogno di aspettare la sentenza: stasera bastano cinque minuti e una parola, permesso. Per capire perché «hacker» non è per forza un insulto, e come si diventa uno di quelli bravi, leggi da dove viene la cattiva fama della parola hacker.
