Il caso riguarda la piattaforma digitale di Sanoma, gruppo editoriale europeo presente anche in Italia nel mercato dei testi scolastici e l’accaduto è stato ricostruito da DDay.it. Ogni anno migliaia di famiglie acquistano libri cartacei e contenuti online legati ai corsi. Secondo la ricostruzione pubblicata il 20 luglio 2026, un utente autenticato non avrebbe avuto accesso solo ai volumi associati al proprio profilo, ma anche ad altri titoli presenti nel catalogo.
La falla, per come è stata descritta, non richiedeva password rubate né manovre particolarmente sofisticate. Bastava un account valido: quello di uno studente, di un insegnante o di un acquirente già registrato. Da lì si poteva arrivare al download di file PDF non acquistati. Un punto delicato, perché non si parla di materiale generico, ma di libri scolastici digitali, opere protette dal diritto d’autore e vendute attraverso canali ufficiali.
Il problema sta tutto lì: tra l’accesso legittimo alla piattaforma e ciò che, una volta dentro, l’utente riusciva a fare. In sostanza, il sistema avrebbe separato male i contenuti disponibili. E secondo le verifiche citate, da quel varco si poteva andare ben oltre i libri effettivamente comprati.
Segnalazione a Sanoma, poi la risposta: «Problema già noto»
Chi ha scoperto la falla, secondo quanto riferito da DDay.it, avrebbe seguito la strada della segnalazione responsabile: contatto con l’azienda, disponibilità a fornire dettagli tecnici, attesa di una risposta. All’inizio, però, sarebbe arrivato il silenzio. Solo dopo un sollecito inviato il 10 marzo 2026, il team di sicurezza di Sanoma avrebbe risposto spiegando che la questione era già conosciuta.
Segnalazione a Sanoma, poi la risposta: «Problema già noto»-melablog.it
La frase riportata nell’articolo è chiara: “Il nostro team ha esaminato la tua e-mail e ha concluso che si tratta di un problema già noto. La risoluzione di questo problema è già stata inserita nel nostro elenco di attività da completare prima dell’inizio del nuovo anno scolastico”. Parole che, fuori dal linguaggio interno di un reparto tecnico, hanno fatto discutere. Perché danno l’idea di una falla nota, ma non risolta subito.
A metà luglio 2026, sempre secondo la ricostruzione giornalistica, la vulnerabilità risultava ancora utilizzabile. E il calendario, qui, non è un dettaglio: il rientro a scuola si avvicina, gli acquisti dei libri partono già in estate e le piattaforme editoriali diventano uno snodo centrale per studenti, docenti e famiglie. Sanoma, nel testo citato, non viene accusata di una fuga di dati personali. Resta però il nodo della possibilità di scaricare contenuti non acquistati, con ricadute evidenti per l’azienda e per gli autori.
Il punto tecnico: controlli nell’interfaccia, ma non abbastanza sul server
Il nodo tecnico indicato dalla ricostruzione riguarda un tema ben noto nella sicurezza informatica: i controlli di accesso sarebbero stati applicati soprattutto nell’interfaccia, non in modo solido sul server. Detto semplice: la piattaforma mostrava all’utente solo ciò che avrebbe dovuto vedere, ma dietro le quinte il sistema non avrebbe controllato con sufficiente rigore se quella persona fosse davvero autorizzata a scaricare ogni singolo file.
Può sembrare una differenza sottile. Non lo è. L’interfaccia è quello che compare sullo schermo: pulsanti, menu, copertine, area personale. Il server, invece, è il punto in cui dovrebbe avvenire il controllo vero: chi sei, cosa hai comprato, quali contenuti puoi aprire o scaricare. Se quel passaggio è debole, un utente autenticato può provare richieste non previste e ottenere file che non gli spettano.
Nei principali report di settore, le falle legate ad autorizzazioni sbagliate o controlli insufficienti compaiono da anni tra i rischi più comuni. Non serve immaginare scene da film. Spesso basta una logica lasciata a metà: “se l’utente non vede il pulsante, non potrà scaricare il file”. Ma la sicurezza non può fermarsi a quello che appare sullo schermo.
Vulnerabilità e aziende: quando la risposta pesa quanto la falla
Il caso Sanoma riapre una questione più ampia: come le aziende gestiscono le segnalazioni di chi trova una falla e prova ad avvisare prima che il problema diventi un danno. Nella ricostruzione ripresa da SmartWorld viene citato anche un episodio precedente, legato a una società di mobilità smart, in cui un utente che aveva segnalato chiavi API esposte nel codice di un’app sarebbe stato minacciato di querela. Una reazione difensiva, più che una gestione del rischio.
Nella sicurezza informatica di oggi, le segnalazioni esterne possono essere una risorsa. Molte aziende hanno programmi di responsible disclosure o canali dedicati, proprio per distinguere chi segnala in buona fede da chi usa una falla per guadagnarci o per ricattare. La differenza la fanno i tempi, il tono e le priorità. Se un problema viene riconosciuto ma rinviato per mesi, il messaggio che passa è debole: la sicurezza resta in fondo alla lista.
Per un editore scolastico, poi, la fiducia è parte del prodotto. Famiglie e scuole acquistano contenuti digitali aspettandosi piattaforme affidabili, accessi ordinati e tutela dei materiali. Una falla nei libri digitali Sanoma, se confermata nei termini descritti, non riguarda solo il mancato incasso di alcuni download. Tocca la credibilità del sistema con cui l’editoria scolastica sta entrando nel digitale. E in casi come questo, la risposta dell’azienda conta quasi quanto l’errore tecnico.
