ANALISI
PowerSchool: un account del supporto e i dati di 62 milioni di studenti
A gennaio 2025 PowerSchool ha avvisato i distretti scolastici di un furto di dati su decine di milioni di studenti e insegnanti, partito da un account del supporto. L'analisi: accessi privilegiati del fornitore, riscatto, notifiche, cause e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di gennaio 2025 · di cybercoverinsurance
A gennaio 2025 PowerSchool, uno dei principali fornitori di software gestionali per le scuole statunitensi, ha avvisato i distretti scolastici clienti di un furto di dati avvenuto a fine dicembre. L'attaccante sosteneva di aver preso i dati di 62,4 milioni di studenti e 9,5 milioni di insegnanti da 6.505 distretti. PowerSchool ha pagato un riscatto di 2,85 milioni di dollari in bitcoin. A maggio 2025 alcuni distretti hanno ricevuto nuove richieste di estorsione con gli stessi dati.
PowerSchool è il caso di scuola della violazione presso un fornitore che custodisce dati per conto di migliaia di clienti. I clienti non sono stati violati, ma sono titolari dei dati e devono gestirne le conseguenze. Per chi assume il rischio cyber, il caso tocca tre punti: l'accesso del supporto tecnico come porta d'ingresso, il riscatto che non chiude l'estorsione e i dati vecchi che nessuno aveva cancellato.
Cosa si sa
L'accesso. Secondo l'indagine di CrowdStrike pubblicata da PowerSchool, l'attaccante ha usato credenziali compromesse di un utente del supporto per entrare in PowerSource, il portale di assistenza clienti di tutti i prodotti PowerSchool. Da lì ha usato la funzione di manutenzione remota per accedere alle istanze del sistema informativo degli studenti dei clienti. L'attività va dal 19 al 28 dicembre 2024. I dati sono stati esfiltrati dalle sole tabelle di studenti e insegnanti, tra il 19 e il 23 dicembre. Non risultano malware né accessi oltre il livello applicativo (CrowdStrike per PowerSchool).
Gli accessi precedenti. CrowdStrike ha trovato attività con le stesse credenziali anche tra il 16 agosto e il 17 settembre 2024. Non ha potuto collegarla con certezza all'attaccante di dicembre né confermare se avesse toccato i dati degli studenti (CrowdStrike per PowerSchool). Dopo l'incidente l'accesso a PowerSource richiede VPN, accesso unico e autenticazione a più fattori.
I dati e il riscatto. Il 28 dicembre 2024 l'attaccante ha chiesto 2,85 milioni di dollari in bitcoin. PowerSchool ha pagato e ha ricevuto un video che mostrava la presunta cancellazione dei dati. Tra i dati: nomi, indirizzi, telefoni, password, informazioni sui genitori, numeri di previdenza sociale e dati medici. Dai primi di maggio 2025 singoli distretti hanno ricevuto richieste di estorsione da chi si presentava come ShinyHunters. Lo Stato del Texas, con oltre 880.000 residenti coinvolti, ha fatto causa a PowerSchool a settembre 2025 per pratiche ingannevoli sulla sicurezza (BleepingComputer).
Il processo. Matthew Lane, del Massachusetts, si è dichiarato colpevole a maggio 2025. A ottobre 2025 è stato condannato a quattro anni di carcere e a risarcire quasi 14,1 milioni di dollari. La procura ha indicato perdite per PowerSchool superiori a 14 milioni di dollari e circa 3 milioni di proventi illeciti non recuperati (CyberScoop). Alcuni dati esposti avevano decenni (K-12 Dive).
Cosa non è noto. Come siano state ottenute le credenziali del supporto non è stato reso pubblico. Il rapporto non dice se l'account avesse l'autenticazione a più fattori al momento dell'incidente.
L'accesso del supporto è un accesso privilegiato
Un account di assistenza apriva migliaia di clienti. La funzione di manutenzione remota serve al fornitore per aiutare i clienti. Ma un solo account di supporto bastava per entrare nelle istanze di migliaia di distretti. È un accesso privilegiato a tutti gli effetti, anche se nel linguaggio aziendale si chiama «assistenza».
Il controllo arrivato dopo dice cosa mancava prima. Dopo l'incidente PowerSchool ha introdotto VPN, accesso unico e autenticazione a più fattori per PowerSource, e controlli di accesso a tempo (K-12 Dive). Per chi assume il rischio, la domanda va posta al fornitore prima del sinistro: chi del supporto può entrare nei dati dei clienti, da dove e con quali controlli.
Gli accessi di agosto sono un segnale. Le stesse credenziali erano state usate mesi prima. Se un accesso anomalo non viene notato ad agosto, il furto di dicembre non trova ostacoli. Il tempo tra la prima intrusione e la scoperta pesa sul costo del sinistro.
Il riscatto non chiude l'estorsione
Il pagamento ha comprato un video, non la sicurezza. PowerSchool ha pagato 2,85 milioni di dollari e ha ricevuto un video della cancellazione. Cinque mesi dopo, i distretti hanno ricevuto nuove richieste con gli stessi dati. È la stessa lezione di Change Healthcare: un riscatto non garantisce né la cancellazione né la fine delle richieste.
L'estorsione si sposta sui clienti. La seconda ondata non ha colpito il fornitore, ma i distretti. Per le polizze dei clienti è un sinistro nuovo, con un'origine presso un terzo. Le garanzie di estorsione dei clienti devono rispondere a una minaccia legata a dati rubati altrove, ed è una situazione che le wording non sempre prevedono.
Il risarcimento ordinato dal giudice non è un recupero. Lane è stato condannato a risarcire 14,1 milioni, ma gran parte dei proventi non è stata trovata (CyberScoop). Per l'assicuratore di PowerSchool, la surroga verso l'autore del reato ha un valore pratico minimo.
Chi paga le notifiche
I clienti sono titolari dei dati. I distretti scolastici affidano a PowerSchool i dati di studenti e insegnanti, ma restano titolari. Gli obblighi verso le famiglie, e spesso verso le autorità, ricadono su di loro. Anche quando il fornitore si fa carico delle comunicazioni, il distretto deve verificare, rispondere ai genitori e gestire il rischio reputazionale.
Il contratto decide chi paga. Le spese di notifica, assistenza e monitoraggio possono essere a carico del fornitore se il contratto lo prevede. Se il contratto è silente o ha limiti bassi, il costo resta al cliente e alla sua polizza. Per un ente pubblico con risorse limitate, la differenza è grande.
I dati vecchi aumentano il danno senza dare valore. Alcuni dati esposti avevano decenni (K-12 Dive). Ex studenti ormai adulti, con numeri di previdenza sociale e dati medici, sono persone da notificare e possibili ricorrenti. Conservare dati che non servono più aumenta l'esposizione senza alcun beneficio operativo.
Le cause e il regolatore
Lo Stato del Texas ha aperto la strada. La causa del procuratore generale del Texas contesta pratiche ingannevoli sulla sicurezza, non solo la violazione (BleepingComputer). Per il fornitore, l'esposizione non è solo verso le persone coinvolte, ma anche verso le autorità degli Stati, con richieste di sanzioni civili.
Le cause collettive sono già arrivate. PowerSchool affronta più cause per negligenza e notifica tardiva (K-12 Dive). Per chi assume il rischio di un fornitore di software con dati di milioni di persone, la responsabilità civile verso terzi è la voce che domina il sinistro.
Cosa portare nei rinnovi
Impatto per gli assicuratoriAlto
Un solo account del supporto di un fornitore ha esposto i dati di decine di milioni di persone gestiti per conto di migliaia di clienti.
Sul lato portafoglio, il caso PowerSchool suggerisce di mappare i fornitori verticali che custodiscono dati per interi settori: gestionali scolastici, software per studi medici, piattaforme per enti locali. Un solo incidente presso uno di loro produce sinistri di notifica e responsabilità in centinaia o migliaia di assicurati, spesso piccoli enti pubblici con coperture minime.