Incident chez Spaggiari : confirmé, revendications à vérifier

Un incident confirmé le 30 juin

Gruppo Spaggiari Parma indique qu'un événement informatique est survenu le 30 juin 2026. Dans sa communication officielle, l'entreprise précise avoir notifié une violation de données personnelles au Garante italien, signalé l'affaire à l'Agence pour la cybersécurité nationale et déposé une plainte auprès de la police judiciaire. Des investigations cyber-forensiques sont toujours en cours.

Ce point est important : l'existence de l'incident ne repose pas uniquement sur une publication de pirates ou sur des rumeurs. Elle est confirmée par l'entreprise concernée. En revanche, cette confirmation ne permet pas à elle seule de connaître la totalité des données éventuellement consultées ou copiées pendant l'intrusion.

Selon Spaggiari, le registre ClasseViva est hors périmètre

D'après Spaggiari, le périmètre atteint est exclusivement Modulistica Smart, un composant de Bergantini servant à remplir et transmettre des formulaires et des demandes en ligne. L'entreprise écrit que ses analyses excluent le registre électronique, les logiciels de gestion scolaire et les logiciels de gestion de secrétariat, qu'elle décrit comme des systèmes distincts et séparés.

Elle ajoute que ses applications continuent de fonctionner et qu'elle n'a constaté ni interruption de service ni atteinte à la disponibilité ou à l'intégrité des données qu'elles gèrent. Ces éléments sont la position actuelle de l'entreprise, fondée sur les analyses menées jusqu'ici. Ils ne constituent pas la publication d'un rapport d'expertise indépendant.

Une revendication criminelle beaucoup plus large

Le groupe xpl0itrs affirme avoir dérobé 6,1 téraoctets de données liées à plus de 3 000 établissements scolaires italiens. Cette affirmation a été relayée par des sites de suivi de rançongiciels et par la presse spécialisée. Le groupe évoque lui-même ce volume et ce nombre d'établissements : ce ne sont pas des chiffres confirmés par Spaggiari, une autorité ou un examen public des données.

L'écart entre la revendication et le périmètre annoncé par l'entreprise est donc majeur. Il serait imprudent de présenter les 6,1 téraoctets, les 3 000 écoles ou la nature précise des données comme des faits acquis. Dans les opérations d'extorsion, les attaquants ont intérêt à maximiser l'effet de leur annonce pour accentuer la pression sur leur cible.

Pourquoi les familles doivent rester attentives

Même lorsqu'un incident paraît limité à un module de formulaires, les demandes adressées à une école peuvent contenir des informations personnelles : identité, coordonnées, pièces jointes ou éléments administratifs. La communication de Spaggiari ne détaille pas les catégories de données concernées. Elle recommande néanmoins à ses utilisateurs de renouveler les identifiants de leurs applications et de se méfier des communications suspectes faisant référence à l'affaire.

Le risque le plus concret dans les jours qui suivent est l'usurpation de confiance. Un faux courriel ou un faux SMS peut se faire passer pour l'école, un service administratif ou le fournisseur et demander une connexion, un code ou un document. La connaissance de l'incident rend ce scénario crédible, même pour des personnes qui ne seraient finalement pas concernées par une fuite.

Les réflexes utiles maintenant

Si vous utilisez un service Spaggiari, renouvelez votre mot de passe d'accès, conformément à la recommandation de l'entreprise. Choisissez un mot de passe propre à ce service, sans le réemployer ailleurs. Cela limite les conséquences si un identifiant a été exposé ou si une tentative de hameçonnage parvient à le récupérer.

N'utilisez jamais le lien d'un message reçu après cette annonce pour vous connecter ou transmettre un code. Ouvrez vous-même l'adresse habituelle du service, ou contactez directement l'établissement par ses coordonnées déjà connues. Pour vérifier une demande inhabituelle, un appel au secrétariat reste plus sûr qu'une réponse au message reçu.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier de manière indépendante le volume de 6,1 téraoctets ni l'affirmation portant sur plus de 3 000 écoles : ces chiffres proviennent de la revendication de xpl0itrs. Nous ne pouvons pas non plus établir publiquement quelles catégories précises de données auraient été extraites, ni déterminer si des données ont été publiées ou vendues.

Les investigations annoncées par Spaggiari et les échanges avec les autorités sont en cours. À ce stade, l'information la plus solide est l'incident confirmé sur Modulistica Smart, associé à la position de l'entreprise selon laquelle ClasseViva et les autres environnements cités ne sont pas concernés. Toute évolution documentée devra être distinguée clairement de la revendication criminelle initiale.

Sources : Gruppo Spaggiari Parma ↗ · Bismark ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.