Sapienza, sospetto attacco ransomware del 2 febbraio 2026: servizi bloccati e ripristino

In un attacco ransomware non è il messaggio sullo schermo il vero problema. Il problema è la fiducia: puoi ancora fidarti dei sistemi che usi ogni giorno, dalla posta ai portali fino agli applicativi amministrativi. Quando un ateneo decide di bloccare subito la rete, sta dicendo una cosa molto concreta. Sta scegliendo di proteggere dati e infrastruttura prima di inseguire una ripartenza rapida ma rischiosa.

Capisco che per chi deve prenotare un esame o gestire una pratica sia frustrante. Però la scelta di contenimento è coerente con la gestione di un incidente serio. Se un malware si muove in rete e trova strada libera, può cifrare altro, danneggiare backup e allungare i tempi di rientro. Fermare l’emorragia prima di ricucire è una regola che vale anche qui.

Mettiamola semplice e onesta. Oggi, 2 febbraio 2026, la Sapienza sta gestendo un incidente informatico che ha reso irraggiungibili il sito e una parte dei servizi digitali. L’ateneo ha comunicato di aver bloccato la rete in via precauzionale e di aver attivato una task force per analisi, bonifica e ripristino graduale, con supporto dell’ACN.

A livello mediatico, la parola che gira di più è “ransomware”. È una definizione plausibile e coerente con il tipo di contromisure annunciate, ma la fotografia corretta resta questa: l’incidente è in fase di accertamento e la priorità è tornare online senza riportarsi dietro la compromissione.

Sommario dei contenuti

• Cosa succede in concreto e cosa ha comunicato l’ateneo
• Servizi impattati e perché cadono insieme
• Ransomware o saturazione: cosa suggeriscono i segnali
• Perché “backup non coinvolti” è un dettaglio che conta
• Come funziona un ripristino serio in un ateneo
• Cosa fare oggi se sei studente, docente o personale
• FAQ

Cosa succede in concreto e cosa ha comunicato l’ateneo

La comunicazione ufficiale parla di un attacco informatico e di una misura immediata: il blocco dei sistemi di rete, deciso per garantire integrità e sicurezza dei dati. Non è una frase di circostanza. È la scelta che fa la differenza tra un ripristino ordinato e un tentativo affrettato che rischia di peggiorare il danno.

In parallelo, viene citato il lavoro di una task force tecnica. Le parole chiave sono due: bonifica e ripristino graduale. La bonifica significa capire dove è passata la compromissione, cosa ha toccato e cosa no. Il ripristino graduale significa riportare online servizi essenziali dopo verifiche, non “tutto subito”.

Servizi impattati e perché cadono insieme

Il sito dell’ateneo risulta irraggiungibile e le segnalazioni riportano disservizi su portali usati per attività studentesche e amministrative. È importante capire un punto che spesso viene sottovalutato. In università i servizi non sono isole. Molti dipendono dalla stessa infrastruttura di rete, dallo stesso sistema di autenticazione e da directory centrali.

Ecco perché un blocco “di rete” si traduce, dal punto di vista dell’utente, in una cascata di effetti. Se il mattone dell’autenticazione viene isolato, anche piattaforme che stanno altrove diventano inaccessibili. È una forma di protezione, non un disordine.

Ransomware o saturazione: cosa suggeriscono i segnali

Quando un sito non risponde la tentazione è pensare a un attacco di saturazione. È possibile, ma il quadro di oggi è più sfaccettato. Le fonti parlano di sospetto ransomware e l’ateneo ha comunicato un blocco precauzionale della rete con bonifica e ripristino graduale.

Questo tipo di linguaggio, e soprattutto questo tipo di azione, è più compatibile con un incidente che riguarda l’infrastruttura e non soltanto la raggiungibilità pubblica di una pagina. Non è una prova “da detective”, è una lettura ragionata. In pratica, l’università si sta muovendo come ci si muove quando l’obiettivo è ridurre il rischio di propagazione.

Perché “backup non coinvolti” è un dettaglio che conta

Quando in una nota ufficiale compare la frase “backup non interessati”, non è un tecnicismo. È un indicatore di resilienza. Significa che esistono copie dei dati e delle configurazioni che, almeno per quanto noto, non sono state toccate dall’incidente.

Qui c’è però un equivoco frequente. Avere backup non significa automaticamente che non ci siano rischi sui dati. Significa che si può ricostruire. Il resto, cioè capire se ci sia stato accesso non autorizzato o esfiltrazione, richiede verifiche separate.

Come funziona un ripristino serio in un ateneo

Dal punto di vista di chi usa i servizi, il ripristino dovrebbe essere “veloce”. Dal punto di vista di chi deve difendere un’infrastruttura con migliaia di utenti e una miriade di sistemi, il ripristino deve essere sicuro. E sicurezza, in queste ore, vuol dire fare scelte a volte impopolari.

In un incidente come questo di solito si lavora per priorità. Prima si contiene e si misura il danno, poi si porta online ciò che serve davvero per riprendere attività essenziali. In parallelo si alzano barriere aggiuntive sugli accessi e si potenzia il monitoraggio. La fretta è il miglior alleato di chi ha attaccato.

Cosa fare oggi se sei studente, docente o personale

Qui vado sul pratico, perché è la domanda che arriva sempre per prima. Se i servizi sono offline tu hai due rischi. Il primo è restare bloccato sulle scadenze. Il secondo è cadere in un phishing “da emergenza”.

Se devi prenotare un esame o gestire una scadenza

Controlla le comunicazioni della tua struttura e del tuo corso tramite canali alternativi che già usavi prima dell’incidente. Se hai ricevute o documenti già scaricati, salvali in un posto sicuro. Se una prenotazione era già fatta, conserva eventuali prove disponibili senza inseguire procedure improvvisate.

Se ricevi mail o messaggi che parlano di reset password

In questo momento i truffatori giocano di sponda. Un messaggio “se non cambi password perdi l’accesso” funziona perché ti mette ansia. Prenditi un minuto e verifica. Non inserire credenziali su pagine che non riconosci e non aprire allegati inattesi. Se usi la stessa password anche altrove, cambia prima quelle esterne e rendile diverse.

Se sei personale e lavori su sistemi o dati

Qui la regola è una sola: attenersi alle procedure interne e alle indicazioni della struttura tecnica. L’iniziativa individuale, anche se fatta in buona fede, può sporcare evidenze o complicare la bonifica. Se ti viene chiesto di spegnere, isolare o non collegare dispositivi, fallo. Il ripristino è un lavoro di squadra, non di sprint personali.

C’è un aspetto che vedo spesso sottovalutato quando si parla di ransomware in ambienti universitari. Si pensa al “server cifrato” come al centro della storia. In realtà il punto critico, quasi sempre, è l’identità. Se l’autenticazione centrale viene isolata o compromessa, si bloccano anche servizi che non sono fisicamente nello stesso posto. È il motivo per cui gli utenti percepiscono un black out totale.

Ed è anche il motivo per cui un ripristino graduale ha senso. Riaccendere tutto insieme è comodo per chi aspetta, ma espone a un rischio enorme. Se la porta che ha permesso l’ingresso non è stata chiusa, tu riporti online la stessa vulnerabilità. La conseguenza è un secondo incidente, spesso peggiore del primo.

La frase “backup non interessati” è un buon segnale, perché indica una separazione utile tra produzione e copie di sicurezza. Però attenzione a un’altra trappola mentale. “Abbiamo backup” non equivale a “siamo fuori pericolo”. Il backup ti dà un piano B. Il piano A resta la bonifica: capire cosa è successo e impedire che succeda di nuovo.

A cura di Junior Cristarella.