Allarmi bomba scuole e aeroporti: perché hanno trovato il modo di paralizzare un Paese, via mail

Non servono malware, ransomware o vulnerabilità zero-day per interrompere il funzionamento di scuole, aeroporti e altri servizi. Le minacce di bomba che stanno interessando l’Italia e diversi Paesi europei mostrano quanto possa essere efficace un attacco che sfrutta le procedure di sicurezza anziché violare direttamente i sistemi informatici.

Un messaggio di posta elettronica e una minaccia sufficientemente grave da richiedere l’intervento delle autorità. Il risultato? Scuole evacuate, voli deviati, aeroporti temporaneamente bloccati e personale di emergenza mobilitato.

L’11 novembre 2026, tantissimi scuole italiane hanno ricevuto un’email contenente la minaccia della presenza di un ordigno esplosivo posizionato all’interno dei plessi. La comunicazione ha provocato l’attivazione delle procedure di sicurezza e l’evacuazione precauzionale degli edifici pubblici.

Non è un episodio isolato. Il 2 novembre, altri istituti avevano ricevuto messaggi analoghi. Nei giorni successivi le minacce hanno interessato anche il traffico aereo europeo: decine di voli hanno subìto controlli, deviazioni e ritardi.

Chiunque stia inviando questi messaggi minatori sta sfruttando un’asimmetria fondamentale: il costo dell’attacco è minimo, mentre quello della risposta può essere elevatissimo.

Un attacco capace di interrompere i servizi senza violare alcun computer

Non è necessario compromettere una rete, installare malware o sfruttare una vulnerabilità per provocare disagi significativi. Le minacce via email agiscono su un livello diverso: quello delle procedure operative che regolano il comportamento di organizzazioni e autorità quando ricevono una segnalazione di pericolo.

Il contenuto del messaggio provoca infatti una valutazione del rischio che può richiedere la sospensione delle attività, l’evacuazione degli edifici o l’ispezione di aeromobili.

È una forma di abuso dei processi organizzativi, con caratteristiche riconducibili al social engineering: l’autore non cerca necessariamente di convincere qualcuno a rivelare una password, ma induce l’attivazione di procedure di sicurezza attraverso una comunicazione minatoria.

Il risultato ricorda alcuni effetti degli attacchi Denial of Service (DoS), pur senza costituire un DoS informatico in senso tecnico: non si saturano server con richieste di rete ma si impegnano risorse umane, operative e istituzionali attraverso segnalazioni che devono essere valutate.

Perché bastano poche email per raggiungere centinaia di scuole

Dal punto di vista informatico, l’invio contemporaneo di messaggi a numerosi destinatari è un’operazione relativamente semplice.

Il protocollo SMTP consente il trasferimento della posta elettronica tra server differenti. Inoltre, gli indirizzi istituzionali di molte scuole sono pubblicati sui rispettivi siti Web e negli elenchi amministrativi.

Facile ipotizzare, quindi, che i criminali abbiano semplicemente svolto una procedura automatizzata di raccolta degli indirizzi email pubblicamente disponibili, una tecnica nota come email harvesting. Attraverso appositi script è possibile analizzare le pagine Web degli istituti scolastici, consultare gli elenchi pubblici delle amministrazioni e individuare i recapiti istituzionali, costruendo in poco tempo un elenco contenente migliaia di destinatari.

La fase successiva consiste nell’utilizzare un sistema di invio automatizzato per distribuire lo stesso messaggio a tutti gli indirizzi raccolti: i normali protocolli alla base del funzionamento della posta elettronica consentono di raggiungere destinatari distribuiti sull’intero territorio nazionale.

È possibile risalire ai mittenti dei messaggi minatori?

Secondo le prime ricostruzioni, le email minatorie recapitate alle scuole italiane l’11 novembre 2026 risulterebbero provenire da un indirizzo associato a un polo universitario situato a Taiwan. È un’informazione che, da sola, non permette di stabilire né l’origine geografica delle comunicazioni né l’identità dei responsabili.

Per ricostruire il percorso di un messaggio, gli investigatori analizzano le intestazioni SMTP, in particolare i campi Received, che documentano i passaggi tra i server, e Authentication-Results, che riporta gli esiti delle verifiche SPF, DKIM e DMARC. Queste informazioni possono aiutare a identificare il servizio utilizzato per la spedizione, ma non necessariamente il dispositivo o la persona che ha materialmente generato l’email. Alcune intestazioni, inoltre, possono essere falsificate.

Tor, VPN e sistemi compromessi: come si nasconde l’origine delle comunicazioni

È plausibile che gli autori abbiano cercato di anonimizzare le proprie connessioni, utilizzando VPN, proxy o la rete Tor (The Onion Router), progettata proprio per proteggere la riservatezza delle comunicazioni attraverso l’instradamento del traffico su più nodi.

Tor utilizza una tecnica chiamata onion routing: le comunicazioni attraversano una successione di relay, con differenti livelli di cifratura. In una normale connessione verso Internet, il servizio di destinazione vede l’indirizzo IP del nodo di uscita (exit node), non quello originario dell’utente.

Va precisato che Tor non è un servizio di posta elettronica anonima ma può essere però utilizzato per accedere via Web a un servizio email, quando quest’ultimo consente connessioni provenienti dalla rete Tor. In una simile situazione, il server di posta potrebbe registrare l’indirizzo IP del nodo di uscita, senza conoscere direttamente quello dell’autore.

Servizi di posta utilizzabili con Tor

Esistono inoltre servizi di posta elettronica specificamente progettati per essere utilizzati attraverso Tor, come Mail2Tor e Onion Mail, oltre a provider quali Riseup e Proton Mail che mettono a disposizione interfacce accessibili mediante indirizzi .onion. Utilizzando un Onion Service, il collegamento tra l’utente e il provider può rimanere interamente all’interno della rete Tor, senza attraversare un nodo di uscita pubblico. Il server che gestisce la casella non riceve quindi direttamente l’indirizzo IP originario attraverso quella connessione.

Quando il messaggio deve raggiungere un destinatario esterno alla rete Tor, il provider può provvedere alla consegna attraverso i normali server SMTP. Nelle intestazioni ricevute dal destinatario potrebbero quindi comparire soltanto gli indirizzi dei server del provider, senza riferimenti all’indirizzo IP utilizzato dall’autore per accedere alla casella.

Non va poi trascurata l’ipotesi dell’utilizzo di server compromessi, eventualmente appartenenti a università, aziende o fornitori di servizi cloud. In tal caso, le email potrebbero risultare effettivamente spedite da sistemi legittimi, senza che i rispettivi proprietari abbiano partecipato all’operazione. L’analisi forense dovrebbe allora procedere a ritroso, cercando tracce dell’accesso abusivo, delle sessioni autenticate e delle attività svolte sui sistemi coinvolti.

Quali responsabilità per i proprietari delle infrastrutture utilizzate?

Un aspetto fondamentale riguarda la distinzione tra responsabilità dell’autore della minaccia e posizione del soggetto la cui infrastruttura è stata utilizzata.

Il fatto che un messaggio provenga apparentemente da un’università, da un server aziendale o dall’indirizzo IP di un nodo Tor non rende automaticamente responsabile il proprietario del sistema.

Eventuali responsabilità civili, amministrative o penali richiedono presupposti specifici, che non possono essere dedotti dalla semplice presenza di un indirizzo IP o di un dominio nelle intestazioni di un messaggio. Per le organizzazioni possono comunque emergere obblighi autonomi di sicurezza, gestione degli incidenti e, quando applicabili, notifica delle violazioni dei dati personali.

Diversa è la posizione di chi abbia effettivamente utilizzato strumenti informatici per inviare consapevolmente false minacce. In Italia, oltre al procurato allarme previsto dall’articolo 658 del Codice penale, potrebbero configurarsi, ricorrendone tutti i presupposti, l’interruzione di pubblico servizio (articolo 340) o la simulazione di reato (articolo 367).

Che cosa possono fare concretamente gli investigatori?

Le indagini non si esauriscono nell’esame dell’indirizzo IP. La Polizia Postale può acquisire i messaggi originali, confrontarne le intestazioni, richiedere attraverso le procedure previste dalla legge i log dei servizi coinvolti e verificare eventuali collegamenti tecnici tra comunicazioni differenti.

Un elemento particolarmente utile è la correlazione tra più incidenti: messaggi inviati a scuole, aeroporti ed emittenti televisive potrebbero condividere caratteristiche tecniche, account, infrastrutture o modalità di distribuzione.

Se le tracce conducono all’estero, come facilmente ipotizzabile nei casi in questione, diventano necessarie forme di cooperazione internazionale per acquisire dati e individuare eventuali responsabili. La disponibilità delle informazioni dipende anche dai tempi di conservazione dei log, dalla normativa applicabile e dalla collaborazione dei fornitori.

Per il momento, l’impiego di Tor, VPN o server violati negli episodi di novembre resta un’ipotesi tecnica: non sono emerse prove pubbliche sufficienti per stabilire quali strumenti abbiano effettivamente utilizzato gli autori.

Le tracce digitali che possono smascherare gli autori

Per ricostruire il percorso di una comunicazione ricevuta tramite email, gli investigatori analizzano innanzi tutto le intestazioni originali o header.

Come abbiamo detto, i campi Received documentano i passaggi attraverso i server SMTP; Authentication-Results contiene gli esiti dei controlli di autenticazione; Return-Path identifica l’indirizzo di ritorno registrato alla consegna. Anche Message-ID può contribuire a correlare messaggi e registrazioni, sebbene non sia una prova autonoma dell’origine.

L’utilizzo di Tor, VPN e servizi email anonimi può rendere estremamente difficile identificare chi si nasconde dietro una campagna di minacce, ma non impedisce la ricerca e la raccolta di indizi e prove. L’anonimizzazione protegge principalmente determinate informazioni relative alle connessioni di rete: non elimina automaticamente ogni traccia delle attività svolte.

Nel caso delle VPN, il primo elemento da verificare è l’indirizzo IP registrato dal servizio di posta. Se appartiene a un fornitore VPN, gli investigatori possono cercare di acquisire, attraverso le procedure giudiziarie applicabili, eventuali log delle sessioni, dati di registrazione, informazioni sui pagamenti e registrazioni dell’autenticazione. I risultati dipendono dalle informazioni effettivamente disponibili: un provider che non conserva log riconducibili alle singole connessioni potrebbe non essere in grado di identificare l’utente.

L’anonimizzazione con Tor

Con Tor la situazione è più complessa. Se l’autore utilizza un servizio di posta accessibile attraverso un Onion Service, la connessione può rimanere completamente all’interno della rete Tor, senza attraversare alcun nodo di uscita. Il provider non riceve direttamente l’indirizzo IP originario dell’utente e non esiste un registro centrale della rete Tor che permetta agli investigatori di risalire semplicemente al mittente. Tor Project descrive proprio questa separazione tra identità di rete del client e servizio raggiunto.

L’identificazione può avvenire attraverso elementi indipendenti dall’indirizzo IP, soprattutto – come accennato in precedenza – quando gli investigatori riuscissero a correlare attività compiute in momenti diversi.

Particolarmente importanti possono essere le informazioni conservate dai servizi di posta elettronica. Anche quando l’indirizzo IP dell’utente non è disponibile, un provider potrebbe disporre di registrazioni relative alla creazione dell’account, agli accessi, alle modifiche delle credenziali o ai dispositivi autorizzati. La quantità e la natura di questi dati variano notevolmente in funzione del servizio, delle politiche di conservazione e delle tecnologie adottate.

Non è raro, nelle indagini informatiche, che elementi decisivi emergano da attività collaterali rispetto all’operazione principale.

Il possibile errore decisivo: l’accesso alla stessa casella senza anonimizzazione

Anche quando un’email viene inviata utilizzando Tor o una VPN, il messaggio destinato a una scuola deve generalmente raggiungere i server di posta attraverso la normale infrastruttura Internet. Il passaggio avviene tipicamente attraverso i server SMTP del provider utilizzato dal mittente, senza che sia necessario esporre l’indirizzo IP originario dell’autore. È proprio il rapporto tra l’aggressore e il provider di posta a rappresentare, spesso, una possibile fonte di prove.

Se il responsabile avesse utilizzato una casella presso un servizio email pubblico, gli investigatori potrebbero cercare di ricostruirne la cronologia degli accessi. Un account creato o utilizzato prevalentemente attraverso Tor potrebbe infatti essere stato raggiunto, anche occasionalmente, da un indirizzo IP pubblico non anonimizzato.

Basterebbe un accesso effettuato in precedenza dalla connessione domestica, dalla rete aziendale o da un dispositivo mobile per generare, qualora il provider conservasse tali informazioni, una traccia potenzialmente utile.

Anche l’impiego di Tor, quindi, non rende automaticamente impossibile l’identificazione di un responsabile. Se il messaggio minatorio fosse stato spedito attraverso una connessione completamente anonimizzata, eventuali accessi non protetti allo stesso account potrebbero fornire elementi investigativi indipendenti dall’invio.

E se si trattasse di terrorismo o guerra ibrida?

L’estensione internazionale delle minacce ha alimentato interrogativi anche su una possibile operazione di destabilizzazione.

Alcuni messaggi contengono rivendicazioni attribuite a sedicenti organizzazioni estremiste. Tuttavia, firmare un’email con il nome di un movimento non dimostra che il mittente ne faccia parte.

Sul piano giuridico, l’articolo 270-sexies del Codice penale definisce le condotte con finalità di terrorismo, facendo riferimento, tra gli altri requisiti, alla capacità di arrecare grave danno a un Paese o a un’organizzazione internazionale e allo scopo di intimidire la popolazione, costringere i poteri pubblici oppure destabilizzare strutture fondamentali.

Il concetto di guerra ibrida descrive l’impiego coordinato di strumenti militari e non militari, comprese operazioni informatiche, campagne di disinformazione e azioni di disturbo, per esercitare pressione su uno Stato. Una campagna di false minacce potrebbe inserirsi in una simile attività, ma la sua attribuzione a organizzazioni strutturate o ad apparati statali richiederebbe riscontri più solidi di una firma contenuta in un messaggio.

Resta però un dato concreto, indipendente dall’identità dei responsabili: qualcuno sta riuscendo a provocare interruzioni di servizi pubblici e a mobilitare risorse di emergenza in più Paesi, senza aver violato un solo sistema informatico.

Le procedure di sicurezza esistono per proteggere le persone e non possono essere disattivate quando una minaccia appare poco credibile. Chi invia deliberatamente falsi allarmi cerca di sfruttare questa necessità, trasformando un meccanismo di protezione in uno strumento di pressione.

Il rischio non è soltanto il singolo edificio evacuato o il volo dirottato. È la possibilità di ripetere lo stesso meccanismo su larga scala, moltiplicando i costi, impegnando le autorità e compromettendo progressivamente la regolarità dei servizi. Senza ransomware, senza vulnerabilità zero-day e, potenzialmente, senza alcuna intrusione informatica.