ATTACCHI · FURTO DI DATI ED ESTORSIONE SENZA CIFRATURA
PowerSchool, dicembre 2024: un account del supporto e i dati di milioni di studenti
Tra il 19 e il 28 dicembre 2024 un attaccante è entrato nel portale di assistenza di PowerSchool con le credenziali di un utente del supporto e ha esfiltrato i dati di studenti e insegnanti dei distretti clienti. PowerSchool ha pagato 2,85 milioni di dollari di riscatto, ma a maggio 2025 i distretti hanno ricevuto nuove richieste.
- Vittima
- PowerSchool e i distretti scolastici clienti
- Settore
- Software per le scuole
- Paese
- Stati Uniti
- Data
- 19 dicembre 2024
- Categoria
- Furto di dati ed estorsione senza cifratura
- Causa
- Credenziali rubate o MFA assente
- Attore
- Criminale (confermato). Matthew Lane, che si è dichiarato colpevole ed è stato condannato a ottobre 2025
- Scenari di danno
- Estorsione · Notifica e responsabilità privacy · Responsabilità verso terzi · Sanzioni e indagini
Le cause in breve
- Accesso iniziale. Credenziali compromesse di un utente del supporto per PowerSource, il portale di assistenza clienti (CrowdStrike per PowerSchool).
- Estensione. Con la funzione di manutenzione remota l'attaccante è entrato nelle istanze dei clienti ed esfiltrato le tabelle di studenti e insegnanti.
- Controllo mancato. Accessi del supporto senza VPN, accesso unico e MFA, introdotti solo dopo l'incidente. Come siano state ottenute le credenziali non è noto.
L'impatto
- L'attaccante sosteneva di avere i dati di 62,4 milioni di studenti e 9,5 milioni di insegnanti da 6.505 distretti (BleepingComputer).
- Dati esposti: anagrafiche, informazioni sui genitori, numeri di previdenza sociale, dati medici; alcuni avevano decenni (K-12 Dive).
- Riscatto di 2,85 milioni di dollari pagato; dai primi di maggio 2025 nuove estorsioni ai distretti.
- Perdite per PowerSchool oltre 14 milioni di dollari secondo la procura (CyberScoop); causa dello Stato del Texas a settembre 2025.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense e assistenza legale rispondono per PowerSchool.
- Ripristino di dati e sistemiNon pertinenteNessun sistema cifrato o distrutto: non risultano malware.
- Business interruption propriaNon pertinenteLe fonti non riportano un fermo del servizio.
- Business interruption dipendente (fornitore)Non pertinenteI distretti non hanno avuto un fermo, ma un furto di dati.
- EstorsioneRispondeIl riscatto pagato con il consenso dell'assicuratore rientra nella garanzia; le richieste successive ai distretti sono sinistri nuovi, sulle polizze dei clienti.
- Notifica e responsabilità privacyRisponde con limitiNotifiche e assistenza rispondono, ma per decine di milioni di persone il costo supera i limiti; il contratto decide se paga il fornitore o il distretto.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiCause collettive e la causa del Texas rispondono fino al limite; le sanzioni civili sono assicurabili solo dove la legge lo consente.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Estorsione con dati rubati altrove. Le polizze dei distretti devono rispondere a minacce legate a dati sottratti presso un fornitore: le wording non sempre lo prevedono.
- Surroga. Il risarcimento di 14,1 milioni ordinato all'autore ha un valore pratico minimo: gran parte dei proventi non è stata trovata.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un solo account del supporto di un fornitore ha esposto i dati di decine di milioni di persone gestiti per conto di migliaia di clienti.
Segnale di cumulo per il portafoglio.
Cumulo su un fornitore verticale: migliaia di distretti, spesso piccoli enti pubblici con coperture minime.