Una mattinata di paura e tensione ha coinvolto centinaia di scuole italiane ed Europee, da Nord a Sud , includendo anche Irland e Gran Bretagna, dopo una serie di email anonime contenenti minacce di attentati con esplosivi. L’allarme è scattato nella mattinata di oggi, 11 novembre, intorno alle 9.50, quando numerosi istituti scolastici hanno ricevuto comunicazioni che annunciavano la presunta presenza di ordigni all’interno degli edifici. La situazione ha provocato l’immediata sospensione delle lezioni e l’evacuazione precauzionale di studenti, insegnanti e personale scolastico.
Secondo le prime informazioni, sarebbero circa 300 le scuole interessate dall’ondata di segnalazioni. A confermarlo è stato il ministro dell’Istruzione e del Merito, Giuseppe Valditara, che sta seguendo l’evolversi della vicenda in raccordo con il Viminale. Le verifiche sono state affidate alle forze dell’ordine, con il coinvolgimento di polizia, carabinieri, Digos, artificieri e specialisti della polizia postale.
Al centro degli accertamenti ci sono le email minatorie, inviate da un indirizzo riconducibile al dominio della Dayeh University di Taiwan e firmate da un sedicente Mikhail Andropov. Si tratta di un nome già comparso in precedenti minacce indirizzate a emittenti televisive europee e in comunicazioni relative ad allarmi bomba su diversi voli. Nel messaggio si sostiene che all’interno degli edifici scolastici sarebbero stati collocati ordigni dotati di un sistema di innesco a distanza, accompagnando la minaccia con l’annuncio di ulteriori possibili attacchi.
Dal punto di vista della cybersecurity, l’episodio evidenzia quanto possa essere relativamente semplice sfruttare l’infrastruttura della posta elettronica per generare un’emergenza su vasta scala, anche se sottolineamo che un’azione del genere non è alla portata di gente “comune” per tutta una serie di complicazioni tecniche che affronteremo più avanti.
A rendere più complessa l’attribuzione può contribuire l’utilizzo di server intermedi, account compromessi o tecniche di email spoofing, che consentono di falsificare il mittente apparente di una comunicazione. Questo non significa necessariamente che siano stati violati i sistemi informatici delle scuole: la ricezione di un messaggio malevolo non equivale a una compromissione della rete dell’istituto.
Il vero obiettivo, in questo caso, potrebbe essere di natura prevalentemente psicologica e operativa: sfruttare la fiducia nei canali di comunicazione, provocare evacuazioni, interrompere le attività didattiche e mobilitare contemporaneamente forze dell’ordine e strutture di emergenza.
Sul piano investigativo, diventano quindi fondamentali l’analisi delle intestazioni complete delle email (email header), la verifica dei record SPF, DKIM e DMARC, la correlazione degli orari di invio, l’analisi degli indirizzi IP e dei server coinvolti e la ricerca di eventuali elementi comuni tra i messaggi.
Tra le ipotesi investigative prende corpo quella di una campagna coordinata di procurato allarme, realizzata attraverso tecniche di falsificazione degli indirizzi di posta elettronica. Non viene esclusa, dunque, la possibilità di un attacco informatico finalizzato a generare panico e disorientamento su larga scala.
Sulla vicenda è intervenuto anche il ministro della Difesa Guido Crosetto, che ha invitato a non sottovalutare la possibilità che dietro episodi di questo genere possano esserci strategie organizzate. Il ministro ha sottolineato quanto sia semplice, con gli strumenti oggi disponibili, inviare comunicazioni minatorie a scuole, asili o compagnie aeree, provocando paura e disagi senza necessariamente avere alle spalle un’organizzazione strutturata.
Il quadro resta in evoluzione. Al momento, la priorità delle autorità è verificare ogni singola segnalazione, accertare l’eventuale presenza di dispositivi esplosivi e ricostruire la provenienza delle comunicazioni. L’ipotesi di una vasta operazione di falso allarme informatico appare tra quelle al vaglio, ma saranno le indagini a chiarire la natura e le responsabilità di quanto accaduto.
