Studenti responsabili dei cyberattacchi alle loro scuole

L’Information Commissioner’s Office (ICO), equivalente britannico del garante della privacy in Italia, ha evidenziato che oltre la metà degli attacchi informatici subiti dalle scuole sono opera degli stessi studenti. Molti di essi sono giovanissimi e spesso i data breach sono stati facilitati da scarse protezioni di sicurezza.

Diverse intrusioni, ma nessuno ha cambiato i voti

ICO ha analizzato circa 215 data breach segnalati dalle scuole nel Regno Unito tra gennaio 2022 e agosto 2024. Il 57% delle intrusioni è risultato opera degli studenti. Il 97% di essi ha effettuato l’accesso ai sistemi informatici dopo aver rubato le password, nella maggioranza dei casi troppo deboli o addirittura scritte su un foglio di carta.

La National Crime Agency (NCA) ha scoperto che un bambino su cinque di età compresa tra 10 e 16 anni è coinvolto in attività illegali online. Il più giovane hacker, individuato l’anno scorso, ha sette anni. Queste capacità vengono spesso utilizzate per accedere ai sistemi informatici delle rispettive scuole. Molti attacchi interni vengono effettuati per sfida, notorietà e divertimento.

Il 23% dei 215 data breach è stato facilitato da scarse pratiche di protezione dei dati (accesso o utilizzo dei dati da parte del personale scolastico senza una legittima necessità, dispositivi lasciati incustoditi, studenti autorizzati ad utilizzare i dispositivi del personale), il 20% è stato causato dall’invio di dati ai dispositivi personali e il 17% da configurazioni o diritti di accesso errati ai sistemi. Solo nel 5% dei casi sono state utilizzate tecniche sofisticate per aggirare i controlli di sicurezza e di rete.

ICO ha descritto due casi specifici. Tre studenti sono riusciti ad accedere al sistema di gestione delle informazioni di una scuola secondaria contenente i dati personali di oltre 1.400 studenti. Gli studenti hanno ammesso che volevano mettere alla prova le proprie competenze, utilizzando strumenti scaricati da Internet per violare password e protocolli di sicurezza Due di essi erano anche iscritti ad un forum di hacker.

Un altro studente ha invece modificato e cancellato i dati personali di oltre 9.000 persone (personale, studenti e candidati), tra cui nome, indirizzo di residenza, registri scolastici, dati sanitari e contatti di emergenza. Al momento non sembrano esserci casi di studenti che hanno modificato i voti scolastici, come nel film cult WarGames del 1983.

Il garante della privacy britannico ha consigliato alle scuole di migliorare le misure di sicurezza e ai genitori di parlare con i figli mettendoli in guardia sulle conseguenze. Un divertimento può diventare un’attività illegale e pericolosa.