Il settore dell’istruzione si conferma nel 2026 il bersaglio numero uno dei cybercriminali a livello mondiale: oltre 4.700 attacchi settimanali per organizzazione secondo Check Point Research, fino a 1.200 email di phishing al giorno secondo Barracuda, e costi di ripristino da ransomware che secondo Sophos superano i 2,2 milioni di dollari per incidente. Tre report pubblicati a ridosso della riapertura delle scuole disegnano lo stesso scenario da angolazioni diverse: prevenire non basta più, e la vera sfida per scuole, università e centri di ricerca è costruire una resilienza informatica capace di reggere l’intero ciclo dell’attacco, dal primo clic sospetto al pieno ripristino dei sistemi.
Il settore più colpito al mondo
Tra gennaio e luglio 2026 le organizzazioni del settore dell’istruzione – università, scuole e centri di ricerca – hanno subito in media 4.696 attacchi informatici alla settimana per organizzazione, l’8% in più rispetto allo stesso periodo del 2025 e oltre il doppio della media rilevata sull’insieme dei settori, ferma a 2.150 attacchi settimanali. Lo indicano i dati di Check Point Research (CPR), la divisione di Threat Intelligence di Check Point Software Technologies, secondo cui l’istruzione resta al primo posto tra i 23 settori monitorati a livello globale, circa il 70% in più rispetto al governativo, secondo in classifica.
La pressione cresce proprio a ridosso della riapertura delle scuole: a luglio 2026 gli attacchi settimanali sono saliti a una media di 4.848, il 14% in più su base annua. A livello geografico l’area Asia-Pacifico resta la più esposta in valore assoluto, con 7.452 attacchi settimanali per organizzazione, ma le crescite più marcate riguardano Europa (+18%, a 4.759 attacchi) e America Latina (+42%, a 4.299), segno di una minaccia in espansione anche verso aree finora meno colpite.
Per prepararsi al “Back to School”, spiega Check Point, i criminali informatici registrano in anticipo domini a tema scolastico: solo a luglio 2026 ne sono stati individuati 18.954 di nuova registrazione, il 5% in più rispetto a giugno. Tra questi cresce soprattutto la quota di quelli malevoli, passata da 1 su 305 a giugno a 1 su 226 a luglio. I ricercatori hanno documentato domini costruiti per ingannare – da education-gov[.]com a students-portal[.]com – oltre a campagne organizzate come una rete di dieci siti dedicati a falsi prestiti per studenti e 48 domini che imitano portali di bootcamp, insieme a PDF malevoli e falsi CAPTCHA che sfruttano brand noti come Microsoft 365, OneDrive e Spotify per sottrarre credenziali a studenti e personale scolastico.
La porta d’ingresso: email e identità compromesse
Se il volume degli attacchi racconta la scala del problema, i dati di Barracuda Networks e Sophos ne spiegano il meccanismo. Una ricerca di Barracuda condotta su un campione di 536 istituzioni educative ha intercettato, in soli tre mesi, 58,8 milioni di email di phishing: circa 1.200 messaggi fraudolenti ricevuti ogni giorno da ciascuna organizzazione. Un’indagine parallela di Barracuda su 2.000 responsabili IT e sicurezza a livello internazionale, di cui 113 del settore education, mostra che il 77% degli intervistati ha subito negli ultimi 12 mesi un incidente di sicurezza legato alle email, ma solo il 34% è riuscito a rilevare e bloccare con successo gli attacchi di phishing. Ancora più critico il dato sulla consapevolezza: le organizzazioni scolastiche hanno una probabilità quattro volte superiore alla media di non essere in grado di stabilire se abbiano davvero subito un incidente, un’incertezza che lascia intendere come parte degli attacchi resti semplicemente invisibile.
Quando le difese iniziali cedono, le conseguenze si aggravano rapidamente. Il report “State of Ransomware in Education 2026” di Sophos (report completo), basato su un’indagine condotta tra gennaio e marzo 2026 su 226 responsabili IT e cybersecurity di istituti scolastici in 17 Paesi colpiti da ransomware nell’ultimo anno, evidenzia che l’85% degli attacchi ransomware nel settore ha avuto origine da tecniche basate sull’identità – email malevole, phishing, credenziali rubate, attacchi brute force – contro una media del 79% calcolata su tutti i settori. Le email malevole restano la causa tecnica più frequente, sia nell’istruzione primaria e secondaria (31% dei casi) sia in quella superiore (29%), e per la maggioranza degli istituti – il 77% nella superiore, il 71% nell’inferiore – l’attacco ransomware subito coincide con il più grave incidente legato alle identità mai affrontato.
“Gli istituti scolastici e universitari continuano a rappresentare obiettivi interessanti perché custodiscono enormi quantità di dati personali, pur operando con risorse fortemente limitate – ha dichiarato Ross McKerchar, Chief information security officer di Sophos -. Oggi gli autori degli attacchi non hanno bisogno di forzare l’ingresso quando possono rubare le chiavi: la compromissione delle identità è diventata una delle modalità più efficaci per accedere a un’organizzazione, e l’intelligenza artificiale sta aumentando ulteriormente velocità, portata e sofisticazione di questi attacchi”.
Il conto del ransomware: mesi di fermo e milioni di costi
I numeri sul recovery restituiscono la dimensione economica e organizzativa del problema. Secondo Sophos, il 58% degli attacchi ransomware nel settore istruzione si è concluso con la cifratura dei dati; nella scuola primaria e secondaria la quota di istituti colpiti da crittografia è più che raddoppiata in un anno, dal 29% del 2025 al 61% del 2026. Il ripristino si è basato soprattutto sui backup – usati dal 77% degli istituti dell’istruzione inferiore e dal 69% di quelli superiori, percentuali superiori alla media generale del 66% – ma i tempi restano lunghi: le scuole hanno una probabilità quasi doppia, rispetto alla media di tutti i settori, di impiegare da uno a tre mesi per tornare pienamente operative, e nell’istruzione inferiore il 31% ha avuto bisogno di almeno un mese, la quota più alta tra tutti i settori analizzati.
Anche sul fronte economico l’istruzione paga un prezzo superiore alla media: la richiesta di riscatto mediana è stata di 775.200 dollari, contro i 698.000 dollari calcolati sull’insieme dei settori, mentre il costo medio di ripristino da un attacco ransomware ha raggiunto 2,26 milioni di dollari, contro 1,7 milioni della media generale. Il 26% delle organizzazioni ha impiegato da uno a tre mesi per il pieno recupero, quasi il doppio della media del 14%. Il report segnala anche un impatto sulle persone: il 39% delle organizzazioni ha registrato assenze di personale per stress o problemi di salute legati a un attacco, contro il 29% della media, e nel 27-29% dei casi, a seconda del grado scolastico, la leadership IT è stata sostituita dopo l’incidente, contro una media generale del 21%.
Rilevare e rispondere: il nodo dei tempi e delle competenze
I dati di Barracuda sui tempi di reazione aiutano a capire perché il recovery risulti così oneroso per le scuole. Nella gestione di un incidente email entro le 24 ore, il settore education si colloca sistematicamente sotto la media di tutti i settori: rileva attività sospette entro un giorno nel 65% dei casi (contro il 69% medio), la investiga nel 58% (contro il 66%), la contiene nel 62% (contro il 68%) e mette in sicurezza gli account entro un giorno solo nel 56% dei casi, contro il 64% della media. Quasi un’organizzazione su cinque (18%) impiega fino a una settimana per tornare alla normale operatività, il doppio della media globale del 9% e il dato peggiore tra tutti i settori censiti da Barracuda.
A pesare, secondo gli stessi intervistati, sono soprattutto il fattore umano e la carenza di competenze specialistiche: il 53% indica il comportamento degli utenti e l’errore umano tra le cause principali degli incidenti, contro il 48% della media, il 36% lamenta una carenza di competenze nella risposta agli incidenti e nel processo decisionale sotto pressione, e il 33% fatica a reagire rapidamente durante un attacco in corso. Sophos conferma il quadro dal lato dell’istruzione superiore, dove il 53% degli istituti dichiara di non disporre delle competenze necessarie per rilevare e bloccare gli attacchi in tempo, contro il 35% della media di tutti i settori; nell’istruzione inferiore pesano invece l’errore umano (52%), la mancanza di protezione (47%) e le lacune di sicurezza non note (42%).
Verso la resilienza: prevenzione, rilevamento e un ruolo crescente per l’AI
Di fronte a questo scenario, i tre report convergono su un punto: la sola prevenzione non basta più, e la cyber resilienza va costruita lungo l’intero ciclo dell’incidente, dalla formazione del personale al recovery. Check Point Research raccomanda alle istituzioni educative di formare periodicamente personale e studenti al riconoscimento del phishing, verificare gli indirizzi dei siti prima di inserire credenziali, attivare l’autenticazione a più fattori su email e sistemi accademici, aggiornare regolarmente dispositivi e piattaforme, monitorare la registrazione di nuovi domini a tema istruzione e rivedere periodicamente le autorizzazioni di accesso ai dati sensibili.
Sul fronte della risposta e del ripristino, i dati di Sophos indicano nei backup testati e in una strategia di identity protection integrata con capacità di rilevamento e risposta gli strumenti più efficaci per contenere i danni prima che un incidente si trasformi in una crisi su larga scala. Anche l’intelligenza artificiale, se finora ha soprattutto reso più sofisticati gli attacchi, comincia a essere vista dalle scuole come una leva difensiva: secondo Barracuda, il 41% dei responsabili IT del settore education ritiene che strumenti di rilevamento e investigazione basati su AI potrebbero migliorare l’efficacia della sicurezza – la percentuale più alta tra tutti i settori intervistati, contro una media globale del 32%.
Un settore esposto, ma con leve concrete di difesa
Tra il volume record di attacchi registrato da Check Point, la centralità delle identità compromesse documentata da Sophos e i tempi di risposta più lenti rilevati da Barracuda, il quadro che emerge dai tre report è quello di un settore strutturalmente esposto, ma che dispone anche di leve concrete per ridurre il danno: formazione continua, autenticazione forte, backup testati e capacità di rilevamento più rapide. Con l’avvio del nuovo anno scolastico e l’aumento dell’attività digitale che lo accompagna, costruire una cyber resilienza end-to-end – capace di prevenire, rilevare, rispondere e ripristinare – si conferma per scuole e università una priorità non più rinviabile.
