Mercoledì 11 novembre, poco prima delle dieci.
Nella casella di posta istituzionale arriva un messaggio con un oggetto asciutto: “Avviso di pericolo”. Il testo, in italiano, parla di un ordigno “con innesco a distanza” lasciato nell’edificio, e di altre violenze. La firma è quella di un sedicente “leader del Vilayat di Misoginistan”.
Chi lavora in segreteria lo sa: in quel momento la mail non è più un file da archiviare. È una decisione da prendere, con trecento, ottocento, mille ragazzi nelle aule.
Nel giro di poche ore la notizia ha fatto il giro del Paese. Secondo le cronache di ANSA e Sky TG24 ci sono state evacuazioni nel Lazio, in Lombardia, in Emilia-Romagna, in Friuli-Venezia Giulia, in Veneto, in Campania, in Puglia, in Calabria, nelle Marche, in Sicilia e in Sardegna. Le bonifiche delle forze dell’ordine, per quanto riportato fino al pomeriggio, hanno avuto tutte esito negativo: nessun ordigno.
Le reazioni istituzionali
Il ministro dell’Istruzione e del Merito, Giuseppe Valditara, ha definito il rischio concreto “pressoché inesistente”, osservando che proprio il numero elevato di scuole raggiunte rende la minaccia poco attendibile, e ha parlato di “una strategia, non un mitomane”. La Presidente del Consiglio ha convocato a Palazzo Chigi i ministri competenti, l’intelligence e l’Agenzia per la Cybersicurezza Nazionale. Il ministro dell’Interno Piantedosi ha invitato alla prudenza, giudicando “prematuro” parlare di una regia comune. La Procura di Genova ha aperto un fascicolo per procurato allarme, interruzione di pubblico servizio e minacce gravi.
Non è un episodio isolato. Il 2 novembre un messaggio analogo era arrivato a circa 270-280 istituti; il 5 novembre minacce firmate “Combattenti dello Stato Maschile” avevano colpito aeroporti e voli. Lo stesso 11 novembre falsi allarmi simili sono stati segnalati in Irlanda del Nord, dove le scuole coinvolte sono oltre 300, e in Scozia.
Quante scuole? I numeri non tornano, e c’è un motivo
In mattinata il ministro parlava di circa 300 scuole, cifra che, ha detto, era destinata a crescere. Nel pomeriggio un aggiornamento del Ministero, ripreso da ANSA e Sky TG24, ha indicato circa 6.000 istituti destinatari. Alcune testate hanno continuato a scrivere “300”, cifra che in parte si confonde con quella delle scuole nordirlandesi.
Le copie che abbiamo potuto esaminare, con il consenso delle due dirigenti e dopo che le relazioni tecniche erano già state trasmesse alle autorità, aiutano a capire perché il primo numero era troppo basso.
La prima copia era indirizzata a 257 destinatari, la seconda a 243. Le due liste non hanno nemmeno un indirizzo in comune: insieme fanno 498 scuole diverse, più due indirizzi esterni che con la scuola non hanno nulla a che fare. I due invii sono partiti dalla stessa casella a circa otto minuti di distanza.
Due sole copie, dunque, bastano già a superare quota 300. Se ogni invio contava circa 250 indirizzi, per arrivare a 6.000 scuole ne sarebbero serviti una ventina o poco più. È un calcolo di ordine di grandezza, non un dato accertato: non sappiamo se tutti i lotti avessero la stessa dimensione, né da quante caselle siano partiti.
Il “300” del mattino misurava, con ogni probabilità, un’altra cosa: le scuole che in quel momento avevano segnalato l’allarme o stavano evacuando, non quelle che avevano ricevuto la mail.
Che cosa raccontano le intestazioni
Ogni mail porta con sé, nascosto nelle intestazioni tecniche, il diario di bordo del suo viaggio: da quale server è partita, per quali è passata, quali controlli ha superato. L’analisi delle due copie porta a conclusioni coincidenti.
Il messaggio contiene solo testo. Nessun link, nessun allegato, nessuna immagine, nemmeno quei “pixel” invisibili che avvisano il mittente di chi ha aperto la posta. Chi l’ha letto non ha messo a rischio i computer della scuola.
Il mittente non è falsificato. La mail è partita davvero da una casella esistente, l’account di un ateneo di Taiwan ospitato su un grande servizio di posta in cloud, e ha superato tutti i controlli di autenticità che i server si scambiano tra loro (le sigle sono SPF, DKIM e DMARC). Proprio per questo i filtri l’hanno considerata posta legittima e l’hanno consegnata in “Posta in arrivo”. Non è colpa di una casella scolastica configurata male: un messaggio autentico, senza link né allegati, offre ai filtri automatici pochissimi appigli.
Gli indirizzi dei destinatari erano in chiaro, nel campo “A”, visibili a tutti. Sono quelli pubblici delle scuole, ricavabili da chiunque partendo dal codice meccanografico.
Il testo, infine, è generico: non nomina la scuola, la città, un orario, e non avanza richieste.
Ipotesi ragionevoli, ma solo ipotesi
La casella usata per l’invio è stata con ogni probabilità violata. Il suo titolare, uno studente o un dipendente di quell’ateneo, sarebbe allora a sua volta una vittima, usata come “trampolino”.
In ciascuna lista compare un solo indirizzo non scolastico, diverso nei due casi, con un nome che sembra generato a caso. È plausibile che si tratti di caselle di controllo, usate da chi ha organizzato l’invio per verificare che il messaggio fosse arrivato a destinazione. Questi elementi sono già nelle mani degli investigatori.
Qualche dettaglio linguistico, per esempio un pronome femminile riferito a “ordigno”, fa pensare a un testo-modello tradotto o riadattato, più che scritto da chi parla italiano.
La firma “Mikhail Andropov”, secondo Reuters, era già comparsa il 6 novembre in minacce ricevute da emittenti televisive europee. Il legame con le ondate precedenti è un’ipotesi che poggia sulle fonti giornalistiche, non un’attribuzione.
Che cosa questa analisi non può dire
Chi ha scritto la mail. L’indirizzo IP dell’autore non compare nelle intestazioni: resta registrato nei sistemi del fornitore di posta e dell’ateneo, raggiungibili solo dall’autorità giudiziaria, presumibilmente attraverso la cooperazione internazionale.
E soprattutto, l’analisi informatica non può escludere, da sola, un pericolo fisico. Possiamo dire con buona sicurezza che il messaggio non era un virus, che non c’era nessun link da cliccare, che faceva parte di un invio di massa. Non possiamo dire che nell’edificio non ci fosse nulla. Quella valutazione spetta sempre, e soltanto, alle forze dell’ordine.
Perché la scuola non può “decidere da sola”
Vale la pena ripetere a chi ogni giorno apre la posta istituzionale. Anche quando tutto fa pensare a uno scherzo di pessimo gusto, la decisione se evacuare o no non è tecnica e non spetta alla segreteria: è del dirigente scolastico, insieme alle forze dell’ordine. A Potenza, riferisce ANSA, alcuni dirigenti non hanno evacuato su indicazione della Questura; altrove si è preferito far uscire gli studenti in attesa degli artificieri. Scelte diverse, entrambe legittime se prese con le autorità.
L’obiettivo di queste campagne è uno solo: creare allarme e fermare il servizio. Il modo migliore per toglier loro forza non è l’indifferenza, e nemmeno il panico. È una procedura chiara, conosciuta “prima”, da tutti.
Se arriva una mail simile: 9 istruzioni per le segreterie
- Avvisa subito il dirigente, o chi ne fa le veci. La valutazione del rischio e l’eventuale evacuazione spettano a lui, con il 112 o la Questura. Annota l’ora in cui hai letto la mail.
- Non rispondere e non inoltrare il messaggio, né ai colleghi né su chat e social. Rispondere conferma che la casella è attiva; inoltrare moltiplica l’allarme.
- Non cancellarlo e non spostarlo. Lascialo dov’è: è una prova.
- Salva una copia integrale in formato .eml (in Outlook sul web: menu “…”, poi Scarica, poi Scarica come EML). Una stampa o uno screenshot non bastano, perché perdono le intestazioni tecniche.
- Fai la segnalazione alla Polizia Postale, anche tramite il portale commissariatodips.it, allegando il file .eml, e informa l’Ufficio Scolastico Regionale o l’Ambito territoriale.
- Solo dopo aver salvato la copia, usa la funzione “Segnala come phishing” o “posta indesiderata” e aggiungi il mittente all’elenco dei mittenti bloccati.
- Niente panico informatico. Se la mail non ha link né allegati, averla aperta non ha infettato il computer: non serve staccare la rete né formattare nulla.
- Nei giorni normali, due controlli. Verifica che la casella istituzionale non sia quasi piena, perché a capacità esaurita non riceverebbe comunicazioni urgenti, e se esistono inoltri automatici verso altri indirizzi: in quel caso va conservata anche la copia inoltrata.
- Tutela dei dati. Se nessun sistema della scuola è stato violato, di norma non c’è una violazione di dati personali da notificare al Garante; è comunque buona prassi informare il DPO e annotare l’evento nel registro interno degli incidenti.
Una procedura, prima della paura
Chi ha scritto quella mail contava su una cosa: che in migliaia di scuole, nello stesso momento, qualcuno leggesse, si spaventasse, inoltrasse, chiamasse, uscisse in cortile senza sapere bene perché. In parte ci è riuscito.
La prossima volta, perché ci sarà una prossima volta, la differenza la farà una pagina appesa in segreteria, letta con calma in un giorno qualunque….. e non al primo squillo di allarme.
