Sophos presenta il report annuale che analizza gli attacchi informatici al settore scolastico e dell’istruzione. “State of Ransomware in Education 2026” evidenzia che le tecniche di attacco basate sull’identità, tra cui e-mail malevole, phishing, credenziali compromesse e attacchi brute force, sono state all’origine dell’85% degli attacchi ransomware contro le organizzazioni del settore dell’istruzione.
Il dato supera la media generale di tutti i settori, pari al 79%, evidenziando il ruolo che la compromissione delle identità continua a svolgere negli incidenti ransomware ai danni degli istituti di istruzione inferiore e superiore.
Il report evidenzia inoltre che le e-mail malevole hanno rappresentato la principale causa tecnica degli attacchi ransomware sia nell’istruzione inferiore (31%) sia in quella superiore (29%). Il 77% degli istituti di istruzione superiore e il 71% di quelli di istruzione inferiore hanno inoltre dichiarato che l’incidente ransomware subito è stato anche l’attacco basato sull’identità più grave che abbiano dovuto affrontare.
Il settore dell’istruzione presenta anche tempi di ripristino più lunghi: rispetto alla media generale, gli istituti scolastici hanno una probabilità quasi due volte superiore di impiegare da uno a tre mesi per ripristinare completamente le attività. L’istruzione inferiore ha registrato la percentuale più elevata di tempi di ripristino pari o superiori a un mese: il 31% degli istituti ha impiegato almeno un mese per tornare pienamente operativo, più di qualsiasi altro settore.
«Gli istituti scolastici e universitari continuano a rappresentare obiettivi interessanti perché custodiscono enormi quantità di dati personali, pur operando con risorse fortemente limitate», ha dichiarato Ross McKerchar, Chief Information Security Officer di Sophos. «Oggi gli autori degli attacchi non hanno bisogno di forzare l’ingresso quando possono rubare le chiavi. La compromissione delle identità è diventata una delle modalità più efficaci per accedere a un’organizzazione e l’AI sta aumentando ulteriormente la velocità, la portata e il livello di sofisticazione di questi attacchi. Gli istituti più resilienti sono quelli che considerano la protezione delle identità un elemento fondamentale della propria strategia di sicurezza e la affiancano a funzionalità integrate di rilevamento e risposta, capaci di bloccare le minacce prima che si trasformino in incidenti su vasta scala».
Ulteriori dati evidenziati nel report:
- Le organizzazioni del settore dell’istruzione hanno segnalato criticità operative più rilevanti rispetto alla media generale di tutti i settori. Oltre la metà (53%) degli istituti di istruzione superiore ha dichiarato di non disporre delle competenze o dell’esperienza necessarie per rilevare e bloccare gli attacchi in tempo, rispetto al 35% registrato considerando tutti i settori. Gli istituti di istruzione inferiore hanno invece indicato più frequentemente come fattori determinanti l’errore umano (52%), la mancanza di protezione (47%), lacune di sicurezza non note (42%) e una capacità operativa limitata (41%).
- I tassi di crittografia dei dati sono più che raddoppiati nell’istruzione inferiore. La percentuale di istituti di istruzione inferiore i cui dati sono stati crittografati durante un attacco ransomware è più che raddoppiata su base annua, passando dal 29% nel 2025 al 61% nel 2026. Nell’intero settore dell’istruzione, il 58% degli attacchi ransomware ha comportato la crittografia dei dati.
- Il ripristino dei dati si è basato in larga misura sui backup. Oltre tre quarti (77%) degli istituti di istruzione inferiore e il 69% di quelli di istruzione superiore hanno ripristinato i dati crittografati utilizzando i backup, percentuali entrambe superiori alla media generale di tutti i settori, pari al 66%.
- Le richieste di riscatto restano elevate. Per le organizzazioni del settore dell’istruzione, la richiesta mediana è stata di 775.200 dollari, superiore alla mediana generale di 698.000 dollari calcolata su tutti i settori. Nello stesso periodo, i pagamenti effettuati sono invece aumentati di 15.000 dollari rispetto ai dati del report 2025.
- I costi di ripristino sono aumentati e i tempi sono rimasti lunghi. Nell’intero settore dell’istruzione, i costi medi di ripristino da un attacco ransomware hanno raggiunto i 2,26 milioni di dollari, superando la media generale di tutti i settori, pari a 1,7 milioni di dollari. Oltre un quarto (26%) delle organizzazioni del settore ha impiegato da uno a tre mesi per riprendersi completamente da un attacco, quasi il doppio rispetto alla media generale del 14%.
- Le conseguenze degli attacchi ransomware sui team IT e di sicurezza sono diventate più pesanti. Oltre la metà (53%) dei team degli istituti di istruzione superiore ha segnalato una maggiore pressione da parte dell’alta dirigenza, rispetto al 40% registrato considerando tutti i settori. Circa il 39% delle organizzazioni del settore dell’istruzione ha inoltre riportato assenze del personale dovute a stress o problemi di salute mentale in seguito a un attacco ransomware, contro il 29% della media generale. Il settore ha infine registrato un maggiore avvicendamento ai vertici: dopo un attacco, la leadership è stata sostituita nel 29% dei team dell’istruzione superiore e nel 27% di quelli dell’istruzione inferiore, rispetto a una media generale del 21%.
I risultati si basano su un’indagine indipendente condotta tra 226 responsabili IT e della cybersecurity del settore dell’istruzione in 17 Paesi, le cui organizzazioni sono state colpite da ransomware nel corso dell’ultimo anno. La ricerca è stata condotta tra gennaio e marzo 2026. Ai fini del presente report, le fasce d’età sono suddivise tra istruzione primaria e secondaria (generalmente fino ai 18 anni) e istruzione superiore (generalmente oltre i 18 anni). Questo è il sesto anno consecutivo in cui Sophos monitora questi dati.
