Google fissa a metà 2034 la fine degli aggiornamenti dei Chromebook e non dice ancora quali modelli potranno passare al nuovo sistema, le false multe partono dalla casella vera di un ufficio comunale come potrebbero partire da quella di una segreteria, un falso ChatGPT ospitato sul sito vero di ChatGPT fa installare un programma che accende microfono e webcam, e Microsoft ammette di avere cancellato per errore i dati di enti non profit senza saper dire a chi

Se avete tempo per una cosa sola, oggi è la prima voce, quella sui Chromebook, e riguarda chi li ha in classe e ancora di più chi sta per comprarne. Google ha messo una data alla fine degli aggiornamenti di ChromeOS: metà 2034. Per i dispositivi già in uso non cambia nulla fino alla loro scadenza. Per quelli acquistati adesso i dieci anni dichiarati diventano circa otto, e il resto dipende da un passaggio a un altro sistema per il quale l’elenco dei modelli ammessi non è ancora stato pubblicato. La data di fine aggiornamenti di ogni modello è già scritta nella console: va copiata nell’inventario.

La seconda e la terza voce vanno lette insieme, perché smontano la stessa abitudine. A Lomazzo le false multe sono partite dalla casella vera di un ufficio comunale. Il falso ChatGPT sta sul sito vero di ChatGPT e ci si arriva da un annuncio su Google. In entrambi i casi guardare l’indirizzo non serve. Le regole che funzionano sono due e si scrivono in una circolare di dieci righe: un pagamento si verifica entrando da soli nel portale dell’ente, e nessun sito legittimo chiede di incollare un comando nel computer. Alle famiglie va detto una volta, per iscritto, con quale canale la scuola chiede denaro.

La quarta voce riguarda direttamente le paritarie, gli enti di formazione e le associazioni, e a tutti gli altri ricorda che il cloud di un grande fornitore non è una copia di sicurezza. La quinta, sugli apparati Citrix, nella scuola non ha quasi destinatari e lo diciamo apertamente: la teniamo per una sola misura, i due giorni passati fra la correzione e l’attacco di massa.

Una nota sulla giornata. Fra le cinque voci non c’è una notizia normativa. In queste ore circola sulle testate di settore una nota del Ministero su compiti, verifiche e registro elettronico: non la riportiamo oggi perché sul sito del Ministero non abbiamo ancora trovato il testo, e un atto si cita quando lo si può leggere.

Dispositivi

Gli aggiornamenti dei Chromebook finiscono a metà 2034: Google promette il passaggio a Googlebook OS per «molti» modelli recenti ma non pubblica l’elenco, e la gestione dei nuovi dispositivi dalla console arriva solo nella seconda metà del 2027

Una pagina di supporto di Google, di cui dà conto 9to5Google il 28 settembre 2026 in un articolo di Ben Schoon, chiarisce il destino dei Chromebook ora che arrivano i Googlebook. I dispositivi già in uso, scrive Google, «continueranno a ricevere aggiornamenti per tutta la loro vita supportata» secondo la politica di aggiornamento automatico, e i Chromebook restano disponibili per le forniture a scuole e imprese. Le licenze ChromeOS Education Upgrade e ChromeOS Enterprise Upgrade attive sui dispositivi esistenti restano valide con le funzioni di gestione di oggi. Per i Googlebook strumenti di gestione analoghi non ci sono ancora: cominceranno a essere distribuiti nella seconda metà del 2027. In una nota successiva compare la data: aggiornamenti regolari e correzioni di sicurezza per i dispositivi ChromeOS fino a metà 2034. Se un dispositivo comprato oggi ha un ciclo di dieci anni che supera il 2034, Google si impegna a sostenerne il passaggio a Googlebook OS, e per molti modelli con un percorso di migrazione diretta. Saranno ammessi «molti» dei Chromebook più recenti, in particolare i modelli commerciali più nuovi; dettagli e modelli saranno comunicati «presto». I Googlebook si possono prenotare e le consegne partono a inizio ottobre. Restano senza risposta quali modelli migreranno, quando, con quali costi, e se la licenza Education Upgrade già pagata varrà sul nuovo sistema.

Il commento. Questa è la voce dell’edizione che tocca più istituti, perché i Chromebook sono entrati in molte scuole con gli acquisti degli ultimi anni e sono stati scelti, fra le altre ragioni, per i dieci anni di aggiornamenti dichiarati. Va detto con calma che cosa cambia e che cosa no. Non cambia niente per i dispositivi che avete in classe oggi: continuano a ricevere aggiornamenti fino alla loro data di scadenza, e la console con cui li amministrate resta quella. Cambia il conto per chi compra adesso. Un modello con dieci anni dichiarati, acquistato quest’anno, su ChromeOS ne avrà circa otto, perché a metà 2034 gli aggiornamenti finiscono per tutti; gli anni che mancano dipendono da un passaggio a un sistema diverso, per il quale oggi non esiste né l’elenco dei modelli ammessi né una data. La parola usata da Google è molti, e molti non vuol dire tutti. Tre cose da fare, e nessuna richiede un tecnico. La prima: chi amministra la console annoti la data di fine aggiornamenti di ogni modello presente in istituto. È un dato già scritto lì, e va messo nell’inventario accanto al numero di serie, perché un dispositivo senza aggiornamenti di sicurezza non dovrebbe più essere usato per il registro o per le prove. La seconda: in ogni acquisto da qui in avanti, scrivete nel capitolato che il fornitore deve dichiarare la data di fine aggiornamenti del modello offerto e se rientra fra quelli ammessi al passaggio. Se non lo sa dire, è un’informazione anche quella. La terza: non acquistate Googlebook per le classi prima che esista il modo di gestirli dalla console, cioè non prima della seconda metà del 2027, perché un dispositivo che non si amministra centralmente in una scuola diventa trenta problemi separati. Una cautela sulla fonte: non dice se la licenza di gestione già pagata per ogni Chromebook seguirà il dispositivo sul nuovo sistema. È la domanda da fare al rivenditore prima di rinnovare.

D.R.

Fonte: 9to5Google

Segreterie

False multe spedite dalla casella vera dell’ufficio tecnico del Comune di Lomazzo a cittadini di tutta Italia: una casella istituzionale violata non danneggia chi la possiede, inganna chi si fida di lei

Il 29 settembre 2026 Il Saronno dà notizia di un attacco informatico alla casella di posta istituzionale dell’ufficio tecnico del Comune di Lomazzo, nel Comasco. La casella è stata usata per spedire a numerosi cittadini, in tutta Italia, false richieste di pagamento di multe. L’Amministrazione colloca l’attacco fra il 26 e il 28 settembre. I messaggi sono partiti dall’indirizzo vero del Comune e chiedevano di pagare sanzioni inesistenti per presunti eccessi di velocità. È stato il Comune stesso a dare l’allarme, invitando a «porre la massima attenzione a eventuali messaggi, e-mail, telefonate che possano sfruttare i dati per mettere in atto tentativi di phishing, truffe o altre azioni illecite» e a non effettuare pagamenti sulla base di quelle comunicazioni. Chi ha dubbi può chiamare la polizia locale di Lomazzo allo 02 9694121. L’articolo non spiega in che modo la casella sia stata violata, quanti messaggi siano stati spediti, quale cifra fosse richiesta, a chi finisse il denaro, come siano stati scelti i destinatari e se ci sia chi ha pagato.

Il commento. Un Comune non è una scuola, ma la casella dell’ufficio tecnico di Lomazzo somiglia molto a quella di una segreteria: un indirizzo istituzionale, usato da più persone, con una password che spesso è la stessa da anni e che conoscono anche colleghi che nel frattempo hanno cambiato sede. La notizia va letta da due lati. Il primo è quello di chi riceve. La segreteria paga e incassa avvisi tutti i giorni, e riceve posta da Comuni, uffici scolastici, fornitori: il messaggio di Lomazzo aveva il mittente giusto, quindi la regola di controllare l’indirizzo non avrebbe protetto nessuno. La regola che protegge è che un avviso di pagamento si verifica entrando da soli nel portale dell’ente e cercando lì il codice, mai aprendo l’allegato o il collegamento. Il secondo lato è quello che riguarda di più un dirigente: che cosa succede se la casella violata è la vostra. Dall’indirizzo della scuola partirebbero falsi avvisi di pagamento verso le famiglie, per il contributo volontario, per la gita, per l’assicurazione, e le famiglie pagherebbero perché il mittente è la scuola. Il danno non sarebbe alla casella, sarebbe alla fiducia. Due cose da fare entro la settimana. La prima: verifica in due passaggi sulle caselle istituzionali da cui partono comunicazioni alle famiglie, e cambio della password dove è condivisa fra più persone o non è stata cambiata dopo gli avvicendamenti di settembre. La seconda: scrivete una volta sola, in una comunicazione alle famiglie, con quale canale la scuola chiede pagamenti e che non lo farà mai con un allegato a una mail. Quando un giorno arriverà un messaggio falso, quella riga sarà già stata letta. La fonte non dice come la casella sia stata aperta, e questo vale come avvertimento: nessuno, a Lomazzo, può ancora dire che non succederà di nuovo.

D.R.

Fonte: Il Saronno

Docenti

Chi cerca ChatGPT su Google può finire su un falso assistente ospitato sul sito vero di ChatGPT, che rimanda a un finto controllo di sicurezza e fa incollare un comando: il programma installato vede schermo, file, microfono e webcam

La società di sicurezza Huntress ha individuato una campagna di cui scrive BleepingComputer il 29 settembre 2026, a firma di Bill Toulas. Nei risultati sponsorizzati di Google vengono promosse versioni personalizzate di ChatGPT, i GPT che qualunque utente può creare e pubblicare e che OpenAI ospita sul proprio dominio. Una di queste, con il nome «Plus 5.6», rimandava a un presunto sito di riserva su Google Sites, dove un finto controllo Cloudflare invita a eseguire un comando PowerShell. Eseguito, il comando installa un pacchetto che avvia un’applicazione autentica e firmata insieme a una libreria alterata, e questa carica un programma di accesso remoto: può controllare il desktop, registrare audio e immagini della webcam, cercare file, esplorare il computer e scaricare altro. Resta attivo grazie a una voce di avvio nel registro di Windows e a un’attività pianificata con lo stesso nome, «Canon Configuration Reader». Gli incidenti collegati a quella pagina ed esaminati da Huntress sono almeno 40; in due è confermata la partenza dal GPT. Il primo GPT è stato rimosso da OpenAI entro il 25 settembre, un secondo scoperto il 27 era ancora in linea quando è uscito il rapporto. OpenAI ritirerà i GPT personalizzati l’11 dicembre. Non si sa chi abbia organizzato la campagna né quante persone abbia colpito.

Il commento. In una scuola questa notizia ha un destinatario preciso, ed è il docente che prepara le lezioni dal proprio portatile, magari lo stesso con cui entra nel registro elettronico. Cercare ChatGPT su Google e cliccare il primo risultato è un gesto che fanno tutti, e qui ogni passaggio avviene su indirizzi autentici: Google, il dominio di ChatGPT, un sito ospitato da Google. Non c’è un indirizzo strano da riconoscere. C’è invece un momento che si può riconoscere sempre, ed è l’unica cosa da insegnare: nessun sito vero, nessuna verifica di sicurezza e nessun controllo di non essere un robot chiedono di copiare un testo e incollarlo nella finestra Esegui o in PowerShell. Quando una pagina lo chiede, è una truffa, senza eccezioni. Vale la pena fermarsi su che cosa fa il programma installato, perché in una scuola pesa più che altrove: accende microfono e webcam e cerca file. Su un portatile usato in classe o in un consiglio di classe significa voci e volti di minori, verbali, relazioni, documenti dei piani personalizzati. Tre cose concrete. La prima: una comunicazione breve al personale, con la regola scritta in una riga, e l’indicazione che chi ha già incollato un comando del genere lo dica subito all’animatore digitale o al tecnico, senza timore, perché il programma non se ne va da solo. La seconda: gli strumenti di intelligenza artificiale che l’istituto consente si aprono da un indirizzo salvato, non da una ricerca. La terza riguarda gli studenti, ed è un’occasione: questa catena è un esempio perfetto da portare in classe, perché mostra che un sito vero può ospitare un contenuto scritto da chiunque, che è poi la cosa più utile da sapere su tutta la rete. La fonte avverte che un secondo falso assistente era ancora attivo: non è una storia chiusa.

D.R.

Fonte: BleepingComputer

Archivi

Microsoft ha eliminato per errore i dati di abbonamenti Microsoft 365 scaduti di enti non profit prima della fine del periodo di conservazione, non può recuperarli e non sa dire che cosa manchi: riguarda paritarie, associazioni ed enti di formazione

Carly Page scrive su The Register, in un articolo del 28 settembre 2026 delle 13:55 UTC, che alcuni clienti non profit di Microsoft 365 hanno perso i dati perché Microsoft li ha eliminati per errore prima che scadesse il periodo di conservazione. All’origine c’è la fine della donazione Microsoft 365 Business Premium, dieci licenze gratuite per gli enti ammessi: a maggio 2025 l’azienda aveva comunicato che dopo il 1° luglio 2025 non sarebbe stata rinnovata, proponendo fino a 300 licenze gratuite Business Basic e sconti sugli altri piani, e raccomandando di trasferire gli utenti o esportare i dati. A disattivazione avvenuta, una mail a un cliente letta dalla testata riconosce che «per un errore» i dati rimasti sono stati eliminati prima della chiusura della finestra di conservazione ed esportazione. Microsoft scrive che «i dati non possono essere recuperati» e che è «attualmente non in grado di fornire un elenco che mostri quali dati possano essere stati cancellati o se siano stati cancellati dati». Un portavoce ha confermato l’accaduto. Il rimedio offerto è un servizio gratuito di assistenza: un incontro con uno specialista per costruire un ambiente nuovo. Non sono noti il numero degli enti, l’anticipo della cancellazione, la causa dell’errore e l’eventuale coinvolgimento di clienti europei.

Il commento. Le scuole statali usano i piani per l’istruzione e non la donazione di cui parla l’articolo, quindi per la gran parte di chi legge non c’è un danno diretto da andare a cercare. Riguarda invece da vicino le scuole paritarie gestite da fondazioni e cooperative, gli enti di formazione, le associazioni di genitori e quelle che lavorano con le scuole: molti avevano proprio quelle dieci licenze gratuite, e chi ha lasciato scadere l’abbonamento nel 2025 pensando di recuperare i file con calma deve controllare oggi se ci sono ancora. Per tutti gli altri la notizia serve a correggere un’idea diffusa, e cioè che i documenti della scuola siano al sicuro per il solo fatto di stare nel cloud di un fornitore molto grande. Qui il fornitore ha cancellato per errore e non sa dire che cosa. Il periodo di conservazione dopo la scadenza, il cestino, le versioni precedenti sono comodità, non copie di sicurezza. In una scuola questo tocca un punto delicato: fra quei documenti ci sono atti che l’istituto ha l’obbligo di conservare, e un atto che esiste in una sola copia presso un solo fornitore è un atto conservato a metà. Una cosa da chiedere, per iscritto, a chi segue l’informatica dell’istituto: della posta e dei documenti condivisi esiste una copia indipendente, fatta con un altro strumento e tenuta altrove? E quando è stata provata l’ultima volta a ripristinare un file? C’è poi una circostanza tipica della scuola che vale la pena guardare: gli account del personale che cambia sede e degli studenti che escono. Quando vengono chiusi, quello che contenevano segue le regole di cancellazione del fornitore, non le vostre. Decidere prima che cosa va salvato, e dove, costa un’ora a giugno e ne risparmia molte. La lezione che resta è che un fornitore incapace di dire che cosa ha perso non può nemmeno rassicurare chi non ha perso niente.

D.R.

Fonte: The Register

Reti d’istituto

L’attacco agli apparati Citrix NetScaler è diventato di massa, con circa 42.000 apparati esposti e meno di uno su dieci aggiornato: nella scuola quasi non ci sono, ma fra la correzione e l’attacco generalizzato sono passati due giorni

Secondo Help Net Security, che ne scrive il 29 settembre 2026 con Zeljka Zorz, gli attacchi agli apparati Citrix NetScaler ADC e Gateway raggiungibili da Internet non sono più mirati e silenziosi: sono diventati una campagna indiscriminata dopo che sono stati pubblicati un’analisi tecnica e un codice dimostrativo per la CVE-2026-88771, sfruttabile a distanza sugli apparati non aggiornati con la configurazione predefinita. Lo script con cui Citrix permette di cercare tracce di compromissione, ammette la stessa azienda, «potrebbe non identificare compromissioni reali». Il primo tentativo visto da GreyNoise è del 24 settembre, oltre tre giorni prima della divulgazione, con un attaccante che provava a diventare amministratore, a nascondere una porta di servizio dietro un falso indirizzo di foglio di stile, a ripulire i registri e a riavviare. Lupovis ha visto tentativi pochi minuti dopo l’uscita del codice di watchTowr Labs e consiglia di cercare le richieste POST a /nf/auth/doAuthentication.do e le interrogazioni DNS verso nomi che terminano in instances.httpworkbench.com; i dati sottratti vanno al server 138.199.200.90. Gli apparati esposti contati da Censys sono circa 42.000, con 13.549 negli Stati Uniti e 5.678 in Germania. Kevin Beaumont valuta aggiornato meno del 10 per cento e segue oltre 100 organizzazioni colpite, ognuna con una porta di servizio diversa. Della seconda falla, CVE-2026-88772, non circola codice pubblico. Mancano dati sull’Italia e sull’identità degli attaccanti.

Il commento. Lo abbiamo scritto domenica e ieri e lo ripetiamo, perché non è cambiato: questi apparati si trovano in qualche ateneo e in pochi grandi poli, e in un istituto comprensivo o in un liceo non ci sono. Se nessuno in istituto ha mai nominato NetScaler, oggi non avete niente da fare su questo fronte, e non costruiremo un allarme su una cosa che non possedete. Chi invece lavora in un’università o in un ente con accesso remoto centralizzato sappia che la domanda è cambiata: non più soltanto quale versione è installata, ma se qualcuno ha cercato le tracce di un ingresso già avvenuto, perché l’aggiornamento chiude la falla e non allontana chi è entrato prima. Per tutti gli altri questa voce lascia un numero, ed è il motivo per cui la teniamo. Citrix ha pubblicato la correzione domenica. Martedì l’attacco era di massa, fatto da chiunque sapesse copiare un codice pubblicato. Due giorni. È la misura di quanto tempo passa oggi fra un aggiornamento disponibile e un attacco generalizzato, e vale per qualunque apparato, compresi quelli che una scuola ha davvero: il modem, il firewall, il videoregistratore delle telecamere, il centralino. Nella scuola gli aggiornamenti di questi apparati si fanno, quando si fanno, alla visita successiva del tecnico, cioè dopo settimane. La cosa da chiedere a chi ha in carico la rete è quindi una sola, e va chiesta per iscritto: quando esce un aggiornamento di sicurezza per un apparato raggiungibile da fuori, in quanti giorni viene installato, e chi se ne accorge? Se la risposta è che non lo sa nessuno, è quella la cosa da sistemare nel prossimo contratto di assistenza, prima di qualunque acquisto.

D.R.

Fonte: Help Net Security