Perché l’IA sta diventando la nuova difesa dell’istruzione superiore contro il campo di battaglia dell’accesso degli utenti e delle credenziali

I cybercriminali sono passati a un mercato più alto e l’istruzione superiore è ora direttamente nel loro mirino.

Per anni, i distretti K‑12 hanno assorbito il peggio. Quando la pandemia ha imposto l’apprendimento a distanza da un giorno all’altro, i sistemi scolastici che non avevano mai pianificato per questo sono rimasti esposti. L’istruzione superiore sembrava relativamente sicura: i campus disponevano già di dipartimenti IT maturi, avevano budget per gli strumenti di sicurezza e gestivano sistemi digitali e apprendimento online da un decennio o più prima che colpisse il COVID. Questo divario si sta chiudendo rapidamente. I “frutti a portata di mano” a livello K‑12 sono stati in gran parte raccolti e gli aggressori stanno ora dirigendo la loro attenzione verso college e università con gli stessi strumenti basati sull’IA che hanno reso il K‑12 un bersaglio così facile.

L’entità del problema è già visibile nei titoli. Solo questo mese, sono state rubate informazioni personali da almeno 137.000 account del personale scolastico in una violazione che ha colpito Glendale Community College, Moody Bible Institute, Illinois Central College e Houston City College. I firewall e gli strumenti perimetrali sono ancora importanti, ma non sono mai stati progettati per fermare ciò che sta accadendo ora: IA che consente agli aggressori di impersonare personale e studenti su larga scala, sufficientemente bene da sfuggire ai controlli su cui le istituzioni si sono affidate per anni. Il furto di credenziali e il takeover degli account non sono più casi isolati. Sono la superficie di attacco primaria, e difenderla è diventata la sfida centrale della cybersicurezza nell’istruzione superiore per il 2026.

L’altro lato del problema: Studenti fantasma

Le credenziali rubate del personale ricevono la maggior parte dell’attenzione, ma rappresentano solo metà della storia. L’altra metà avviene dal lato degli studenti, ed è probabilmente il problema più costoso: la frode degli studenti fantasma.

Il meccanismo è semplice. Gli attori malintenzionati usano identità false o rubate per iscriversi come studenti, non per frequentare le lezioni, ma per ottenere aiuti finanziari. Le domande generate dall’IA sono ora sufficientemente valide da superare la verifica dell’identità che la maggior parte delle istituzioni utilizza ancora, il che significa che questa frode si scala allo stesso modo del furto di credenziali: in modo automatico e veloce.

I numeri stanno diventando difficili da ignorare. Si stima che $150 million di aiuti siano finiti in mani di studenti non idonei nel solo 2025, con i college comunitari colpiti più duramente perché tipicamente gestiscono l’infrastruttura di identità meno robusta. Il Delaware County Community College ha scoperto più di 500 fake student accounts sul proprio campus. A livello nazionale, il governo federale sta indagando su oltre $350 million in frodi da studenti fantasma, in 200 casi aperti.

Il costo non è astratto, e non è limitato alle sole scuole. Quando un truffatore si iscrive con un’identità rubata e raccoglie un prestito, la persona reale dietro quell’identità è spesso quella che rimane con il debito. Gli studenti legittimi finiscono per competere per pool di aiuti finanziari in diminuzione e risorse istituzionali che la frode ha già prosciugato. Come ha scoperto una recente ABC News investigation, i college comunitari del sud della California sono inondati da domande generate dall’IA, e il modello si sta diffondendo a livello nazionale, non solo in una regione.

Il furto di credenziali e la frode degli studenti fantasma sembrano problemi diversi, ma condividono la stessa causa alla radice: controlli di identità che avvengono una sola volta, al momento del login o dell’iscrizione, e non vengono più rivisti.

L’identità non è un evento: è un ciclo di vita

Questo è il cambiamento che l’istruzione superiore deve attuare nel 2026. La domanda non può limitarsi a “questa persona si è autenticata con successo”. Deve essere continua: chi ha accesso in questo momento e se dovrebbe ancora averlo.

Questa domanda è diventata più difficile da rispondere perché la popolazione di “identità” nei campus si è espansa ben oltre studenti e personale. Le università sono ora responsabili della sicurezza di agenti IA autonomi, integrazioni di terze parti e identità di macchine che toccano sistemi sensibili ogni giorno, spesso con molto meno controllo rispetto a un account umano. Ognuna di queste identità è un potenziale punto di ingresso, e la maggior parte delle istituzioni non dispone di un modo in tempo reale per tracciarle.

È proprio qui che la Gestione del Ciclo di Vita dell’Identità (Identity Lifecycle Management) guadagna il suo posto come priorità, non come optional. L’autenticazione statica, una tantum, è stata progettata per un mondo in cui “identità” significava una persona che accedeva con una password. Non è mai stata concepita per un mondo con IA agente, integrazioni macchina‑a‑macchina e reti fraudolente che possono generare in pochi secondi uno studente falso convincente. Colmare questo divario significa abbinare passkey resistenti al phishing e governance IA agente con un approccio ILM che revisiona e aggiorna continuamente gli accessi, anziché concederli una volta e presumere che siano ancora validi un semestre dopo.

L’istruzione superiore non può più stare a guardare e attendere che le indagini federali la raggiungano. Le istituzioni che si anticiperanno saranno quelle che smetteranno di trattare l’identità come una casella di spunta al login e cominceranno a considerarla qualcosa che deve essere verificata, monitorata e regolata continuamente, per ogni umano e ogni macchina che interagisce con i loro sistemi.

Gli aggressori hanno già automatizzato la loro parte. È tempo che l’istruzione superiore faccia lo stesso.