Un’ondata di attacchi informatici ha colpito più di una dozzina di distretti scolastici primari e secondari nell’attuale periodo di rientro a scuola, a seguito di un picco degli attacchi alle scuole statunitensi in generale registrato nella prima metà del 2023. E Doug Levin, per esempio, non ne è affatto sorpreso.
In qualità di cofondatore e direttore nazionale di K12 Security Information eXchange (K12 SIX), un’organizzazione senza scopo di lucro di primo piano nel settore dell’istruzione, Levin (nella foto, a destra) guida l’elaborazione delle migliori pratiche in materia di sicurezza informatica per contribuire a proteggere le scuole dalle minacce informatiche.
Proprio come Tom Cruise nell’ultimo film Mission: Impossible , alle prese con un’intelligenza artificiale aggressiva , Levin si ritrova sempre più coinvolto in una battaglia informatica tra uomo e macchina, nel tentativo di difendere i distretti scolastici dagli attacchi informatici, ma senza quelle auto sportive e quelle moto mozzafiato che Cruise ha la possibilità di guidare. Il bilancio dell’organizzazione senza scopo di lucro di Levin, dopotutto, ha i suoi limiti.
Quest'anno il ransomware “ ” sta mettendo a dura prova il settore dell'istruzione. Da gennaio a giugno, oltre 120 istituti scolastici — sia scuole primarie e secondarie che istituti di istruzione superiore — sono stati vittime di attacchi ransomware, rispetto a un totale di 188 su 2022, secondo un recente rapporto intitolato “ ” ( ) pubblicato dalla Global Resilience Federation. E tali cifre sono destinate a peggiorare a causa dell’intelligenza artificiale, che verrà utilizzata sempre più spesso da bande di hacker (e, senza dubbio, da adolescenti scontenti), affermano gli esperti.
La situazione è particolarmente difficile nel settore dell’istruzione primaria e secondaria, che, secondo l’Agenzia statunitense per la sicurezza informatica e la protezione delle informazioni (CISA), subisce in media più di un incidente informatico per ogni giorno scolastico. Quest’anno potremmo superare tale dato: solo nel mese di agosto, le bande di autori di ransomware hanno rivendicato la responsabilità di 11 nuovi attacchi ai sistemi scolastici primari e secondari, compresi distretti nel New Jersey, in Colorado, nello Stato di Washington e nelle zone rurali dell’Alaska, come rileva un’analisi dell’ pubblicata da The 74, un sito di informazione senza scopo di lucro dedicato all’istruzione. Questo mese si è verificata una violazione dei sistemi informatici delle scuole pubbliche della contea di Hillsborough, in Florida — il settimo distretto scolastico più grande degli Stati Uniti — e un attacco ransomware ai danni del distretto scolastico di Chambersburg, in Pennsylvania, che ha causato la chiusura delle scuole per tre giorni.
[Legga anche: Che cos’è la resilienza informatica?] (si apre in una nuova scheda)
La situazione è altrettanto grave nel Regno Unito, dove una serie di attacchi informatici ha colpito almeno quattro campus dall’inizio dell’anno scolastico.
Cosa deve fare, quindi, un dirigente scolastico o un docente quando si verifica un attacco ransomware? “Non pagate il riscatto”: è quanto raccomandano sia la CISA che l’FBI (Federal Bureau of Investigation). Va bene… ma poi cosa succede? In un’intervista esclusiva con il “Focal Point” di , Levin (che è stato appena nominato quest’anno membro del Comitato consultivo per la sicurezza informatica della CISA) illustra le vulnerabilità specifiche delle scuole e indica alcune risorse utili per rafforzare le difese in vista dell’inevitabile attacco informatico.
[La seguente intervista è stata modificata per motivi di chiarezza e lunghezza.]
Ogni organizzazione colpita da un ransomware ne risente, ma per le scuole la situazione è particolarmente difficile. Quali sono le criticità specifiche del settore dell’istruzione?
A mio avviso, vi sono tre aspetti principali che rendono unici gli attacchi ransomware ai danni dei sistemi scolastici.
«I sistemi scolastici custodiscono un vero e proprio tesoro di informazioni sensibili non solo sugli studenti e sul personale attuali, ma anche su coloro che sono stati associati al sistema scolastico in passato, inclusi volontari, fornitori [e] membri del consiglio scolastico.»Doug Levin, cofondatore e direttore nazionale di K12 SIX
In primo luogo, in molti casi gli attacchi ransomware comportano anche l’esfiltrazione di dati, e i sistemi scolastici custodiscono una vera e propria miniera di informazioni sensibili non solo sugli studenti e sul personale attuali, ma anche su coloro che in passato sono stati associati al sistema scolastico, inclusi volontari, fornitori, membri del consiglio scolastico e altri.
Si tratta di un numero considerevole di conti bancari e di numeri di previdenza sociale.
I dati in possesso possono inoltre comprendere qualsiasi informazione, dalle perizie psicologiche e mediche ai precedenti penali, alle questioni legali, alle problematiche relative alla situazione abitativa legate alla mancanza di una dimora fissa, alle famiglie disgregate o agli ordini di protezione, allo status di immigrazione, all’identità di genere e religiosa, ecc. Oltre a essere vittime di furti d’identità tramite frodi creditizie o fiscali, le vittime potrebbero subire anche altri danni a causa della natura dei dati raccolti dalle scuole.
In secondo luogo, le scuole dispongono di risorse estremamente limitate. Nel calcolare i costi a medio e lungo termine legati alla risposta agli attacchi e al ripristino dei dati in seguito ad attacchi ransomware, i sistemi scolastici vittime di tali attacchi potrebbero finire per spendere milioni di dollari per il ripristino dei propri sistemi. Si tratta di fondi che finiscono inevitabilmente per essere sottratti ad altre priorità del sistema scolastico, quali l’ e l’insegnamento e l’apprendimento.
In terzo luogo, quando un sistema scolastico viene messo fuori uso da un ransomware, talvolta è costretto a chiudere i battenti. Quando gli studenti non possono recarsi a scuola, i genitori e chi se ne prende cura devono trovare soluzioni alternative; gli studenti potrebbero non poter usufruire dei pasti scolastici o di altre risorse scolastiche e, naturalmente, il loro percorso formativo subisce un’interruzione.
Abbiamo appreso che le scuole tendono a registrare un aumento degli attacchi informatici con l’arrivo dell’autunno, quando ricomincia la scuola, arrivano i nuovi studenti e la situazione è in continuo mutamento.
L’inizio dell’anno scolastico rappresenta infatti un periodo particolarmente impegnativo per i sistemi scolastici. Gli autori degli attacchi hanno dimostrato di essere consapevoli del fatto che i sistemi scolastici sono particolarmente vulnerabili all’inizio dell’anno scolastico e durante le vacanze scolastiche, come quelle del Giorno del Ringraziamento. In tali circostanze, il personale informatico degli istituti scolastici primari e secondari potrebbe non essere in grado di monitorare le reti scolastiche con la stessa attenzione e il personale potrebbe prestare meno attenzione nel reagire alle tentazioni di phishing.
La Vice Society è una banda informatica nota per i suoi attacchi alle scuole. Esistono elementi che consentano di comprendere perché Vice si concentri sul settore dell’istruzione? Questi ragazzi sono stati puniti dai loro presidi una volta di troppo? Voglio dire, considerando tutti i possibili obiettivi, molti dei quali con conti in banca ben più consistenti, perché concentrarsi proprio sulle scuole?
Vice Society è solo uno dei tanti gruppi criminali stranieri che prendono di mira il settore dell’istruzione con attività di criminalità informatica. Sebbene non si tenda a considerare i sistemi scolastici come organizzazioni benestanti, questi gruppi hanno constatato che, date le difese relativamente poco sviluppate di cui dispongono, essi offrono un buon ritorno economico in caso di attacchi informatici. La loro motivazione principale è il denaro e — che prendano di mira scuole o ospedali — non si curano affatto delle più ampie ripercussioni dei loro attacchi.
Cosa possono fare, quindi, i dirigenti scolastici per potenziare le proprie difese informatiche? Da dove si comincia?
While there is no shortage of guidance for organizations looking to shore up their cybersecurity risk management practices, we’d encourage school systems to look for K-12–specific guidance.
Noi di K12 SIX abbiamo elaborato una serie di misure di sicurezza informatica di base che, a nostro avviso, ogni sistema scolastico dovrebbe adottare. (Clicchi qui per saperne di più.)
Invitiamo inoltre i dirigenti scolastici ad avvalersi dei consigli e delle linee guida della serie “ K-12–specific ” elaborate dalla CISA. (Clicchi qui per consultare le linee guida federali.)
