Nell'85% degli attacchi ransomware subìti dal settore education la causa è da ricondurre alle identità e i costi medi di ripristino toccano i 2,26 milioni di dollari, ben oltre gli 1,7 milioni della media generale. Sono i due dati più significativi dello State of Ransomware in Education 2026 di Sophos, che si basa sulle interviste condotte tra gennaio e marzo su 226 a responsabili IT e cybersecurity di scuole e università colpite dal ransomware nei dodici mesi precedenti, in 17 Paesi.

La pubblicazione arriva nei giorni in cui migliaia di istituti scolastici riprendono le attività dopo la pausa estiva, e che è tipicamente caratterizzato da un presidio insufficiente delle reti scolastiche e da uno stress altissimo dato dal reset di massa delle credenziali, accessi ai registri elettronici e altro: un terreno di caccia perfetto per i cybercriminali.

Il report distingue tra istruzione inferiore (scuole primarie e secondarie) e istruzione superiore (università e college). La prima fascia si presenta come un settore che sta pagando il conto della sua superficie d'attacco allargata; in questo caso la causa tecnica principale degli attacchi resta l'email malevola, seguita da phishing e credenziali compromesse. Le vulnerabilità sfruttate, che nel 2025 avevano toccato il 35% nell'istruzione superiore, sono scese al 13%, ma gli esperti mettono in preventivo una nuova risalita degli exploit man mano che i modelli AI di frontiera scopriranno vulnerabilità inedite e senza patch.

Sommando le tecniche riconducibili all'identità, email malevola, phishing, credenziali rubate e attacchi brute force, si arriva a quell'85% complessivo che rappresenta il dato più alto mai registrato per il comparto education, con un picco dell'86% nell'istruzione superiore. Tradotto: circa sei attacchi su sette contro scuole e atenei partono da un'identità compromessa.

In particolare, nel periodo in esame applicazioni e sistemi esposti risultano il punto di ingresso più comune, al 40%, seguiti da dispositivi utente (34%) e firewall (20%), che sono valori sostanzialmente allineati alla media di tutti i settori. In altre parole, ciò significa che l'education sta ereditando gli stessi punti deboli di tutti gli altri comparti, ma con l’aggravante di risorse più scarse. Il link tra attacchi alle identità e ransomware trova conferma in un ulteriore dato inedito: il 71% delle vittime nell'istruzione inferiore e il 77% di quelle nell'istruzione superiore hanno confermato che l'incidente ransomware coincideva con il loro attacco più grave contro le identità.

Andando più a fondo nell’analisi, il 98% dei provider education colpiti tramite credenziali compromesse, al momento dell’attacco aveva MFA attiva in qualche forma, ossia applicazioni push based (64%) e one time password (53%). Il problema è che l’MFA da sola non basta se non è applicata in modo uniforme su tutti i punti di accesso critici, che includono VPN, console di amministrazione dei firewall e applicazioni legacy.

Sul fronte firewall, nel 65% dei casi hanno identificato l'attacco prima che il ransomware venisse effettivamente dispiegato, ma nel 51% delle occasioni i dati sono stati cifrati comunque perché i dispositivi raccolgono i segnali corretti ma spesso non dialogano con gli altri strumenti di sicurezza in maniera efficace, quindi il segnale non si converte in un blocco tempestivo.

Sul piano della cifratura effettiva, nell’istruzione inferiore quest’anno è più che raddoppiata; solo il 37% degli attacchi è stato fermato prima della cifratura, ed è tornata a crescere anche la doppia estorsione. L'istruzione superiore mostra invece un andamento più stabile, con il passaggio dal 58% al 54%. I backup restano la strategia dominante per il recupero dati: il 77% degli istituti di istruzione inferiore e il 69% di quelli di istruzione superiore hanno ripristinati i dati cifrati partendo dalle copie di sicurezza. Sul fronte del pagamento dei riscatti c’è una buona notizia: la quota di chi paga scende per il secondo anno consecutivo, il che segnala una maggiore resilienza.

Detto questo, le richieste di riscatto restano elevate: la mediana per l'education si attesta a 775.200 dollari, con metà delle richieste pari o superiori a un milione di dollari e un quarto che supera i cinque milioni. Scendendo più nel dettaglio, la richiesta mediana nell'istruzione inferiore scende da 1,03 milioni a 737.600 dollari, mentre in quella superiore sale da 697.086 a 889.200 dollari. Tra gli istituti che hanno pagato, il 40% ha negoziato al ribasso, un altro 40% ha versato più della richiesta iniziale e il restante 20% ha pagato esattamente quanto chiesto.

Come accennato in apertura, i costi di ripristino, esclusi gli eventuali riscatti, raggiungono 2,46 milioni di dollari nell'istruzione inferiore e 1,99 milioni in quella superiore. L’incremento più marcato riguarda proprio l'istruzione superiore, che nel 2025 aveva registrato uno dei costi più bassi tra tutti i settori (0,90 milioni) e quest'anno ha più che raddoppia. I tempi seguono lo stesso schema: il 27% degli istituti di istruzione inferiore e il 25% di quelli di istruzione superiore hanno impiegato da uno a tre mesi per tornare pienamente operativi, contro il 14% della media generale, mentre il 31% dell'istruzione inferiore ha superato il mese di inattività, la quota più alta tra tutti i settori censiti.

Il conto si misura anche in termini umani. Il 53% dei team di security dell'istruzione superiore ha segnalato una pressione crescente da parte dei vertici dopo l'attacco, contro il 40% della media generale, insieme a più frequenti cambi di struttura organizzativa (43% contro 32%). Nell'istruzione inferiore prevale invece un mix di riconoscimento e sovraccarico: il 49% dei team ha ricevuto più riconoscimenti dai responsabili, ma il 43% ha visto un aumento stabile del carico di lavoro. In entrambi i comparti, circa quattro team su dieci hanno registrato assenze per stress o problemi di salute mentale, contro il 29% della media generale, e la sostituzione della leadership dopo l'incidente ha interessato più di un quarto dei team, contro il 21% medio.

Risulta ovvio che la priorità operativa sia il rafforzamento della gestione delle identità, con audit regolari delle credenziali umane e non umane e adozione di soluzioni di identity threat detection and response, associate a un'estensione dell'MFA a tutti i punti di accesso. Gli esperti caldeggiano inoltre il collegamento della telemetria dei firewall agli strumenti XDR e MDR, così da trasformare i segnali di rilevamento precoce in blocchi effettivi.