Il 20 ottobre 2026 l'Università del Salento ha informato i propri iscritti di una violazione dei dati: secondo le ricostruzioni di diverse testate locali e nazionali, nomi, cognomi e indirizzi email istituzionali di circa 20.000 studenti sono stati sottratti con un accesso informatico non autorizzato e poi diffusi su piattaforme del dark web. L'ateneo afferma di aver avuto conoscenza dell'incidente il 27 settembre, circa tre settimane prima della comunicazione agli interessati. Il caso è utile da analizzare perché, pur non riguardando dati "pesanti" come le password, mostra bene dove si concentra il rischio reale di una violazione di questo tipo.

Cosa è successo

I fatti accertati, per come riportati dalle fonti e dalle dichiarazioni dell'ateneo, sono pochi e vanno tenuti distinti dalle ipotesi:

  • il 27 settembre 2026 l'ateneo dichiara di essere venuto a conoscenza dell'accesso non autorizzato ai propri sistemi;
  • i dati coinvolti sono nome, cognome e indirizzo email istituzionale (nel dominio degli studenti); l'ateneo precisa che non emergono evidenze di sottrazione di password o credenziali di autenticazione, e una fonte indica che nemmeno le date di nascita sono coinvolte;
  • il 20 ottobre parte la comunicazione formale agli iscritti, che richiama l'art. 34 GDPR;
  • la violazione risulta segnalata al Garante per la protezione dei dati personali e all'Agenzia per la cybersicurezza nazionale;
  • la cifra di circa 20.000 studenti è riportata dai media ma, secondo una delle fonti consultate, non risulta confermata ufficialmente nel dettaglio.

Non sono noti, al momento, né il vettore d'attacco né l'autore: le fonti che abbiamo letto non riportano alcuna rivendicazione e l'ateneo non ha pubblicato dettagli tecnici. Chiunque affermi oggi di conoscere la causa tecnica sta formulando un'ipotesi, non riportando un fatto.

Perché anche "solo" nome ed email contano

Un elenco di nomi con indirizzo istituzionale può sembrare un danno minore. Per chi attacca è invece una base di lavoro eccellente per il phishing mirato. Sapere che una persona è iscritta a quel particolare ateneo permette di costruire messaggi credibili: scadenza delle tasse, rinnovo dell'iscrizione, esiti d'esame, "verifica delle credenziali della casella". L'indirizzo è reale, l'ateneo è reale, il destinatario è un giovane abituato a ricevere comunicazioni burocratiche via email. Il tasso di successo di campagne di questo tipo è molto superiore a quello del phishing generico.

C'è poi un rischio di secondo livello: se le email istituzionali sono protette solo da password, il passo successivo di un attaccante è provare ad accedere alle caselle con tecniche di credential stuffing, usando password trapelate da altri incidenti. Per questo, anche in assenza di prove di accesso alle caselle, è ragionevole che gli studenti attivino l'autenticazione a due fattori dove disponibile e non riutilizzino la stessa password altrove.

Cosa significa per le aziende italiane

Il caso riguarda un ateneo, ma le lezioni valgono per qualunque organizzazione che gestisce anagrafiche di clienti, utenti o dipendenti, comprese PMI e pubbliche amministrazioni.

Primo: il tempo. Tra la conoscenza dell'incidente (27 settembre) e l'informativa agli interessati (20 ottobre) passano circa tre settimane. Questo non significa di per sé che ci sia stata una violazione degli obblighi: il GDPR chiede la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza (art. 33), mentre la comunicazione agli interessati (art. 34) è richiesta quando la violazione presenta un rischio elevato per i loro diritti e va fatta "senza ingiustificato ritardo". Non sappiamo quando l'ateneo abbia notificato il Garante né come abbia valutato il rischio, e le sole fonti giornalistiche non bastano per giudicare. Ma il caso ricorda che il tempo di verifica interna e il tempo di comunicazione sono due orologi diversi, e che la decisione di comunicare agli interessati va documentata.

Secondo: il doppio binario. Per i soggetti che rientrano nell'ambito NIS2 (D.lgs. 138/2024), la notifica dell'incidente significativo all'ACN tramite CSIRT Italia segue tempi propri (pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese) e si affianca alla notifica al Garante per i dati personali. Le due notifiche devono raccontare gli stessi fatti con la stessa cronologia: incoerenze tra le versioni, spesso scritte da funzioni diverse, sono uno dei punti deboli ricorrenti. Va detto che l'applicabilità della NIS2 a un singolo ateneo dipende dalla sua qualificazione come soggetto essenziale o importante; qui il punto è metodologico, non una valutazione sul caso.

Terzo: la comunicazione agli interessati. L'ateneo ha indicato ai propri studenti azioni pratiche (verificare il mittente, non aprire allegati sospetti, accedere ai servizi digitando l'indirizzo ufficiale). È un buon modello: un'informativa efficace non si limita a citare la norma ma dice alle persone cosa fare, in linguaggio comprensibile.

Quarto: i dati "minori" non esistono. Molti piani di risposta agli incidenti classificano come gravi solo le violazioni di dati sanitari o finanziari. Un elenco di anagrafiche con email, soprattutto se riferito a una popolazione ben definita, è già sufficiente per campagne di truffa mirate e va trattato di conseguenza nella valutazione del rischio.

Cosa fare subito

Per chi è studente o dipendente di un ateneo o di un'organizzazione colpita:

  • diffidare di email su tasse, iscrizioni, borse di studio o "verifica account", anche se il mittente sembra credibile; controllare l'indirizzo completo e non solo il nome visualizzato;
  • non cliccare link ricevuti via email: aprire i servizi digitando direttamente l'indirizzo del portale ufficiale;
  • attivare l'autenticazione a più fattori su email e portali dove è disponibile e usare password uniche;
  • in caso di dubbio, contattare la segreteria attraverso i canali ufficiali.

Per le organizzazioni che gestiscono anagrafiche:

  • verificare che la procedura di data breach preveda chi valuta il rischio, entro quanto tempo, e come si documenta la scelta di comunicare o non comunicare agli interessati;
  • predisporre in anticipo modelli di informativa agli interessati con indicazioni operative concrete;
  • coordinare notifiche a Garante e, se applicabile, ad ACN/CSIRT Italia con un unico responsabile della cronologia dei fatti;
  • adottare filtri anti-phishing e DMARC sul dominio istituzionale per ridurre il rischio di impersonificazione;
  • monitorare i canali dove compaiono dati rubati, per sapere in anticipo cosa circola.

In sintesi

Il caso Unisalento non è eclatante per i dati sottratti, ma è istruttivo per ciò che ne segue: phishing mirato, gestione dei tempi, qualità dell'informativa. Restano da chiarire vettore e dimensioni reali: ne daremo conto se emergeranno elementi nuovi.