Mikhail Andropov: chi si nasconde dietro le minacce alle scuole e ai trasporti europei?

Un nome che richiama l’intelligence sovietica, una fantomatica organizzazione chiamata “Vilayat di Misoginistan” e messaggi di posta elettronica apparentemente spediti da università situate a migliaia di chilometri di distanza. Sono alcuni degli elementi che emergono dalle prime analisi delle minacce bomba inviate a scuole, aeroporti ed emittenti televisive europee. La firma ricorrente è quella di Mikhail Andropov, un personaggio del quale, però, non si conosce la reale identità.

L’11 novembre 2026, secondo quanto riferito da Reuters, oltre 6.300 istituzioni scolastiche italiane hanno ricevuto messaggi contenenti la presenza di ordigni negli edifici. Centinaia di scuole hanno attivato procedure di evacuazione e richiesto l’intervento delle forze dell’ordine. Le verifiche non hanno fatto emergere pericoli concreti, ma l’operazione ha provocato disagi su scala nazionale.

Come abbiamo spiegato nel nostro approfondimento sulle minacce che paralizzano scuole e aeroporti, gli autori possono provocare conseguenze rilevanti senza compromettere sistemi informatici: i criminali hanno semplicemente sfruttato i protocolli di sicurezza che le istituzioni devono applicare in presenza di segnalazioni potenzialmente gravi.

Mikhail Andropov: un nome già comparso prima degli allarmi nelle scuole italiane

La firma Mikhail Andropov, presente nelle email minatorie, non compare per la prima volta nelle comunicazioni dell’11 novembre: già nei giorni scorsi si era registrata la ricezione di minacce recapitate ad alcune emittenti televisive europee.

Tra i destinatari figuravano l’emittente pubblica irlandese RTÉ e la televisione privata bulgara Nova TV. Anche l’emittente britannica Sky aveva segnalato una minaccia alla sicurezza; RTÉ aveva disposto l’evacuazione dei propri uffici.

I messaggi, accompagnati dall’oggetto “Messaggio all’Occidente“, rivendicavano inoltre gli allarmi bomba che nei giorni precedenti avevano interessato decine di voli europei. Il sedicente autore presentava tali episodi come l’inizio di una campagna più ampia contro i trasporti e altre infrastrutture.

Rivendicazioni simili erano circolate in Bulgaria già nell’ottobre 2026, con una serie di minacce rivolte contro istituzioni pubbliche e strutture scolastiche.

Perché il cognome Andropov richiama il KGB e l’Unione Sovietica

Il cognome Andropov richiama immediatamente Yuri Andropov, una figura importante della storia sovietica: presidente del KGB dal 1967 al 1982 e successivamente segretario generale del Partito comunista dell’Unione Sovietica, fino alla morte nel febbraio 1984.

Il riferimento diventa più interessante considerando l’oggetto delle email inviate alle televisioni: “Message to the West“. Come osservato nelle ricostruzioni giornalistiche, l’espressione potrebbe alludere al volume Andropov: New Challenge to the West, pubblicato nel 1983 e scritto da Arnold Beichman e Mikhail S. Bernstam.

La presenza del nome Mikhail, del cognome Andropov e del riferimento all’Occidente sembrano ammiccanti ma, allo stato attuale, non esistono elementi sufficienti per stabilire se l’autore abbia deliberatamente costruito lo pseudonimo attorno a quei riferimenti storici.

In ambito investigativo, la possibilità di falsa attribuzione, spesso indicata con l’espressione false flag, impone particolare cautela: chi organizza operazioni come queste può disseminare riferimenti culturali, linguistici e politici destinati a suggerire un’identità diversa da quella reale.

Che cos’è il Vilayat di Misoginistan?

Nei messaggi inviati alle scuole italiane, Mikhail Andropov si presenta come leader del Vilayat di Misoginistan: è una denominazione che combina termini appartenenti a tradizioni e ambienti culturali differenti.

La parola vilayat, presente in diverse lingue e utilizzata per indicare una provincia o una suddivisione territoriale, compare anche nella terminologia dello Stato islamico per identificare alcune articolazioni territoriali dell’organizzazione. “Misoginistan“, invece, è un’espressione artificiale, circolata anche come meme su Internet, che richiama la misoginia attraverso il suffisso geografico “-stan“.

Alcune ricostruzioni hanno collegato il riferimento alla misoginia al movimento russo Muzhskoye Gosudarstvo, conosciuto come Male State o “Stato maschile“, un gruppo ultranazionalista e misogino precedentemente associato, nelle cronache, ad alcune delle minacce circolate in Europa.

Il leader del movimento ha negato il coinvolgimento negli episodi attribuiti al gruppo.

Il linguaggio volutamente provocatorio e l’utilizzo di riferimenti estremisti possono avere anche una funzione intimidatoria. Tuttavia, la presenza di simboli o denominazioni che richiamano organizzazioni radicali non dimostra, da sola, alcuna appartenenza.

Le email inviate da università straniere: la pista tecnica più interessante

Un elemento potenzialmente più utile dei riferimenti politici riguarda l’infrastruttura di posta elettronica impiegata per spedire le minacce.

I sistemi utilizzati per la spedizione delle email minatorie cambiano da un episodio all’altro ma, in diversi casi, appartengono apparentemente a istituzioni scolastiche e universitarie.

Per le minacce indirizzate a RTÉ sarebbe comparso un indirizzo collegato a una scuola lituana. La polizia irlandese avrebbe inoltre ricondotto una comunicazione destinata agli istituti della contea di Carlow a un indirizzo associato a un’università thailandese. Nel caso delle scuole italiane, invece, alcune ricostruzioni hanno individuato un indirizzo riconducibile alla Da-Yeh University di Taiwan.

La presenza di questi riferimenti geografici, senza la possibilità di visionare gli header delle email, non permette di concludere che le comunicazioni siano state materialmente inviate dalla Lituania, dalla Thailandia o da Taiwan né implica un coinvolgimento delle istituzioni proprietarie dei domini. Anche perché l’invio dei messaggi da quei sistemi (magari compromessi) potrebbe essere solo l’ultimo anello della catena: i criminali potrebbero aver utilizzato VPN o Tor per nascondere le loro tracce (ne abbiamo parlato nell’articolo citato in apertura…).

Le possibilità tecniche sono comunque diverse. Un aggressore potrebbe aver ottenuto accesso a caselle email legittime, sfruttando credenziali sottratte attraverso phishing, malware o altri sistemi. In tal caso, i messaggi partirebbero effettivamente dall’infrastruttura autorizzata dell’istituzione, pur senza alcuna partecipazione del titolare dell’account.

Un’email spam mette sotto scacco un intero Paese

La mattina di questo day-after è bene porsi qualche interrogativo. A bocce ferme, e con la mente sgombra, l’invito è a fare qualche riflessione sensata.

Un’email come quella ricevuta dalle scuole a firma di Mikhail Andropov è equiparabile a un messaggio spam. Perché? Perché in copia conoscenza (cc:) mette, in chiaro, i nomi degli istituti scolastici, non contiene una descrizione circostanziata della minaccia e, soprattutto, è stata contemporaneamente inviata a migliaia di scuole. Estremamente improbabile che un numero elevatissimo di plessi possa essere simultaneamente interessato dalla medesima problematica.

A valle della loro attività di email harvesting (raccolta degli indirizzi delle scuole), i criminali informatici non hanno neppure fatto lo sforzo di:

• usare il campo bcc: (copia conoscenza nascosta);
• inserire i dati delle istituzioni pubbliche e i nomi dei responsabili;
• rappresentare eventuali richieste;
• rendere più credibile il messaggio.

I dirigenti degli istituti che hanno ricevuto il messaggio (a meno che non fosse andato nella cartella spam) si sono quindi attivati secondo le procedure previste in questi casi.

Un’email che in altre situazioni sarebbe stata direttamente cestinata, è diventata subito oggetto di attenzione per via del contenuto.

Serve una cabina di regia nazionale per valutare le minacce in tempo reale

L’episodio dell’11 novembre 2026 dovrebbe indurre a riflettere non soltanto sull’identità degli autori, ma soprattutto sulla capacità dello Stato di riconoscere e gestire tempestivamente campagne di intimidazione su larga scala.

Come già sottolineato, il problema non è il comportamento dei dirigenti scolastici. Di fronte a un messaggio che annuncia la presenza di un ordigno esplosivo, chi ha la responsabilità di centinaia di studenti e lavoratori non può permettersi di ignorare la segnalazione, anche quando il contenuto appare palesemente inverosimile.

Il problema è a monte: perché ogni istituto dovrebbe affrontare individualmente una minaccia che, in realtà, riguarda contemporaneamente migliaia di Pubbliche Amministrazioni?

La natura massiva della comunicazione, gli indirizzi dei destinatari esposti nel campo cc:, l’assenza di riferimenti specifici ai singoli edifici e il linguaggio utilizzato costituiscono indicatori utili per una prima valutazione tecnica. Non sono prove sufficienti a escludere qualsiasi pericolo, ma possono permettere agli specialisti di riconoscere rapidamente un’unica campagna.

Ed è proprio qui che dovrebbe entrare in gioco una cabina di regia nazionale, operativa 24 ore su 24, sette giorni su sette, alla quale ogni Pubblica Amministrazione possa rivolgersi quando riceve comunicazioni potenzialmente pericolose.

Non un semplice indirizzo email al quale inoltrare segnalazioni, né un numero telefonico destinato a raccogliere denunce. Servirebbe una struttura con competenze tecniche, investigative e di pubblica sicurezza, capace di analizzare le comunicazioni in tempo reale, correlarle con quelle già ricevute da altre amministrazioni e restituire una valutazione autorevole, immediatamente utilizzabile da chi deve assumere decisioni operative.

Dall’analisi informatica alla valutazione del rischio

Immaginiamo che una Pubblica Amministrazione riceva un messaggio contenente una minaccia di attentato.

Il dirigente, o il personale incaricato, dovrebbe poter trasmettere immediatamente la comunicazione a una piattaforma nazionale attraverso un canale sicuro, preservandone le intestazioni (o header) originali.

La piattaforma potrebbe verificare automaticamente se lo stesso messaggio sia già arrivato ad altre amministrazioni, confrontare il contenuto con le segnalazioni precedenti, esaminare gli indirizzi utilizzati e individuare eventuali caratteristiche tecniche comuni.

Un sistema di analisi automatizzata potrebbe accelerare enormemente la correlazione delle informazioni. La decisione finale, tuttavia, dovrebbe spettare a personale qualificato, che possa integrare i risultati informatici con le informazioni investigative e di pubblica sicurezza.

A quel punto, la cabina di regia dovrebbe poter comunicare se la segnalazione appartiene a una campagna già conosciuta, se emergono elementi di rischio specifici oppure se sono necessarie ulteriori verifiche. L’obiettivo sarebbe arrivare a una classificazione nazionale del livello di attenzione, fondata su criteri omogenei e aggiornabile in qualsiasi momento.

La struttura dovrebbe operare in stretto coordinamento con le Autorità di pubblica sicurezza, definendo indicazioni operative che rispettino le responsabilità previste dalla legge e le procedure di emergenza.

Una struttura con autorità, non un altro centro di raccolta delle segnalazioni

In Italia esistono già organismi con competenze importanti. Il Ministero dell’Interno e le Prefetture coordinano le attività di pubblica sicurezza; la Polizia Postale possiede competenze investigative sui reati informatici; l’Agenzia per la Cybersicurezza Nazionale, attraverso il CSIRT Italia, interviene nell’ambito della sicurezza informatica.

Non si tratterebbe quindi di creare un’ennesima struttura burocratica, ma di mettere in comunicazione competenze già disponibili, attribuendo a un presidio nazionale un preciso mandato operativo. La cabina di regia dovrebbe poter ricevere le segnalazioni della Pubblica Amministrazione in qualsiasi momento, effettuare le necessarie verifiche e diffondere immediatamente le proprie valutazioni alle Autorità territoriali.

Soprattutto, dovrebbe avere un riconoscimento istituzionale tale da rendere le sue indicazioni parte integrante delle procedure di gestione delle emergenze. Una semplice consulenza tecnica, priva di conseguenze operative, rischierebbe infatti di aggiungere un altro passaggio senza risolvere il problema.

La questione decisiva è chi abbia titolo per stabilire, sulla base di informazioni centralizzate, se una comunicazione superi una determinata soglia di attenzione e quali misure debbano conseguirne.

La sicurezza non può dipendere dalla capacità di un criminale di inviare email

Il caso Mikhail Andropov mette in evidenza una contraddizione.

Per provocare disagi a migliaia di persone è bastato spedire una comunicazione elettronica a indirizzi pubblicamente reperibili. Dall’altra parte, per gestire gli effetti di quell’invio, è stato necessario mobilitare dirigenti scolastici, docenti, personale amministrativo, forze dell’ordine, artificieri e famiglie.

La sproporzione tra lo sforzo richiesto all’autore della minaccia e le risorse necessarie per affrontarla è evidente.

Le procedure di sicurezza non devono essere alleggerite bensì diventare più intelligenti, coordinate e capaci di reagire a fenomeni che interessano contemporaneamente l’intero territorio nazionale o vaste aree del Paese. Una cabina di regia come quella proposta sarebbe utile non soltanto alle scuole, ma anche a ospedali, università, Comuni, uffici pubblici e altre strutture che potrebbero diventare bersaglio di analoghe campagne intimidatorie.

Il vero interrogativo su Mikhail Andropov

Alla data del 12 novembre 2026, Mikhail Andropov rimane uno pseudonimo senza un’identità accertata. Non si conoscono la nazionalità, la posizione geografica, il numero delle persone coinvolte né l’effettiva organizzazione delle attività rivendicate.

Il nome di un ex dirigente sovietico, i riferimenti a un’organizzazione apparentemente inventata e gli indirizzi associati a istituzioni universitarie straniere costituiscono elementi da approfondire, ma nessuno permette di identificare con certezza chi abbia spedito le minacce.

Dal punto di vista informatico, la questione decisiva riguarda la possibilità di ricostruire una catena di prove digitali che colleghi messaggi, account, sistemi di invio e persone fisiche. È su tali riscontri, più che sui riferimenti ideologici contenuti nei testi, che potrebbe fondarsi un’attribuzione affidabile.

Da ultimo un’osservazione importante: il rischio è che il ripetersi di falsi allarmi finisca per generare assuefazione, inducendo a sottovalutare una minaccia reale. È proprio per evitare entrambi gli estremi, il panico ingiustificato e la pericolosa indifferenza, che serve una valutazione centralizzata, tempestiva e autorevole.