Gli allarmi bomba via e-mail dell’11 novembre hanno raggiunto circa 6.000 istituti scolastici italiani, secondo il Ministero dell’Istruzione e del Merito. Il dato riguarda le scuole destinatarie. In una parte degli istituti le lezioni sono state interrotte e gli edifici evacuati per i controlli. Il 12 novembre nuovi avvisi hanno raggiunto oltre 1.800 scuole, secondo Reuters. Pochi giorni prima, segnalazioni di ordigni a bordo avevano causato deviazioni e ispezioni sui voli europei. I dati del Ministero riferiti da ANSA · L’aggiornamento di Reuters
Le prime e-mail alle scuole e gli allarmi sui voli
Il 2 novembre un messaggio di minaccia era già arrivato a centinaia di istituti italiani. Il testo delle e-mail dell’11 novembre ricalcava in larga parte quello del primo invio, secondo RaiNews e il Corriere della Sera. Nel frattempo, il 3 novembre, le segnalazioni avevano interessato anche diversi voli europei. Il 5 novembre Reuters ha contato quasi 30 voli coinvolti a fine giornata, con atterraggi fuori programma, scorte militari e controlli a terra. La cronologia di RaiNews · La ricostruzione di Reuters sui voli
Il volo Helsinki–Roma è arrivato a Fiumicino con la scorta di caccia italiani. Il Dublino–Roma di Aer Lingus è stato deviato sulla base francese di Évreux. A Malpensa le verifiche sui velivoli in arrivo da Salonicco e Porto hanno dato esito negativo. La Procura di Busto Arsizio ha aperto un fascicolo per procurato allarme a carico di ignoti e la Polizia postale lavora per risalire ai mittenti. I controlli sui voli · L’inchiesta su Malpensa
Nel contributo diffuso il 10 novembre, Valerio Pastore, cofondatore di CyberGrant, richiama il divario tra il tempo necessario per inviare una minaccia e le risorse che servono per verificarla. Una deviazione coinvolge equipaggio, controllori di volo e personale a terra. Anche quando i controlli si chiudono senza il ritrovamento di ordigni, restano i ritardi e le conseguenze sui viaggi dei passeggeri.
Le redazioni irlandesi e le indagini sui mittenti
Il 6 novembre le minacce hanno raggiunto anche alcune redazioni a Dublino. Il personale di RTÉ, Newstalk e dell’Irish Independent ha lasciato le sedi per precauzione. Secondo ANSA, una delle comunicazioni inviate ai media riportava la stessa firma comparsa l’11 novembre nelle e-mail alle scuole italiane. L’identità degli autori e gli eventuali legami fra gli episodi restano da accertare. Il ministro dell’Interno Matteo Piantedosi ha definito prematuro parlare di una regia comune. Le evacuazioni a Dublino · La cronologia ANSA · Le dichiarazioni di Piantedosi
Per le e-mail dell’11 novembre, un elemento al vaglio riguarda un indirizzo della Dayeh University, a Taiwan. L’ateneo ha riferito all’agenzia CNA che, secondo i primi accertamenti, una casella di una persona che aveva studiato all’università aveva spedito un numero elevato di messaggi e appariva compromessa. L’ateneo ha sospeso l’account. Per la seconda ondata, ANSA riferisce che i messaggi del 12 novembre sarebbero partiti da più indirizzi con domini nelle Filippine. A Roma, i pm dell’antiterrorismo indagano sugli avvisi ricevuti dagli istituti della Capitale l’11 e il 12 novembre. La versione dell’ateneo a Focus Taiwan · L’inchiesta di Roma · I mittenti della seconda ondata secondo ANSA
Hudson Rock trova due indirizzi in archivi di credenziali rubate
Il 12 novembre Hudson Rock ha riferito di aver trovato nei propri archivi due indirizzi universitari indicati nelle ricostruzioni delle minacce. Un istituto destinatario aveva pubblicato l’indirizzo di Taiwan nel proprio resoconto. Quello di un’università egiziana compariva in materiale giornalistico e in un post pubblico esaminati dai ricercatori. Per la casella taiwanese, Hudson Rock ha individuato in AlienTXTBASE una voce associata a un accesso Microsoft. La società ritiene che la credenziale provenga da un infostealer e colloca i dati a oltre un anno prima degli invii di novembre.
Per l’indirizzo egiziano il riscontro viene da un computer che Hudson Rock classifica come infettato da Vidar, un malware che sottrae dati salvati sul dispositivo. Il file con le informazioni sul sistema è datato 1° ottobre 2021. Nelle 112 voci estratte da Chrome, 20 riportavano l’indirizzo universitario e due di queste erano associate a pagine di autenticazione Microsoft.
I riscontri documentano un’esposizione precedente agli episodi. La validità delle credenziali al momento degli invii e il loro eventuale impiego per spedire le minacce restano da accertare. Per collegare le voci storiche agli invii, Hudson Rock indica la necessità di verificare i registri di autenticazione e di consegna dei provider di posta. L’analisi di Hudson Rock
Che cosa possono chiarire i controlli sulla posta
Veronica Leonardi, ingegnera e componente del consiglio di amministrazione di Cyberoo, osserva che la disponibilità pubblica dei recapiti istituzionali facilita l’invio di minacce a molti destinatari. Il commento diffuso il 12 novembre richiama l’importanza di proteggere le caselle, formare il personale e stabilire chi riceve la segnalazione e chi coordina la risposta.
Nel commento del 12 novembre, TrendAI indica nelle intestazioni dei messaggi e nei registri dei server gli elementi utili per ricostruire il percorso delle e-mail. SPF verifica se il server mittente è autorizzato a spedire per il dominio tecnico usato nell’invio. DKIM verifica la firma del messaggio. DMARC controlla che il dominio visibile nel campo mittente sia coerente con quello autenticato tramite SPF o DKIM. Un’e-mail spedita attraverso un servizio autorizzato da una casella compromessa può superare questi controlli. La valutazione della minaccia richiede anche riscontri indipendenti dal messaggio. La documentazione sui protocolli · Il caso delle e-mail di phishing dai domini ufficiali di Foundation Passport
Le indicazioni del 12 novembre per le scuole
La nota del Ministero dell’Istruzione e del Merito indica che, di fronte a un invio massivo, l’evacuazione richiede elementi concreti di pericolo oltre alla ricezione del messaggio. Gli istituti possono fornire alla prefettura competente le informazioni utili alla valutazione. Il prefetto può disporre l’evacuazione quando emergono elementi specifici che indicano un rischio effettivo. La nota del Ministero diffusa da ANSA
La protezione dei dati degli studenti
Nel nuovo contributo del 12 novembre, Valerio Pastore, cofondatore di CyberGrant, richiama l’attenzione sui documenti che le scuole scambiano ogni giorno per e-mail. Piani educativi individualizzati (PEI), certificati medici e diagnosi possono rivelare informazioni sulla salute degli studenti.
Due provvedimenti del Garante per la protezione dei dati personali documentano rischi distinti dagli allarmi. Il 4 dicembre 2025 l’Autorità ha sanzionato un istituto che aveva inviato a circa 37 destinatari un sollecito sugli obblighi vaccinali con gli indirizzi in chiaro. Il 29 gennaio 2026 ha esaminato il caso di alcune comunicazioni sul PEI di un alunno inviate agli indirizzi di tutti i suoi compagni di classe. Per il Garante anche il riferimento al PEI, se associato a uno studente identificabile, rivela informazioni sulla sua salute. Il caso dei solleciti vaccinali · Il provvedimento sul PEI
Pastore propone di affiancare alla casella pubblica un canale riservato per lo scambio di questi documenti con famiglie, sanità e servizi sociali. Indica la cifratura dei messaggi e degli allegati anche dopo la consegna, con identità verificate, accessi revocabili o a scadenza e registri delle consultazioni. L’articolo 32 del GDPR include la cifratura tra le misure da valutare in funzione del rischio. Il testo del regolamento
Per registro elettronico, modulistica e segreteria digitale, Pastore propone di precisare nei contratti con i fornitori quali file sono cifrati, chi gestisce le chiavi e in quali tempi segnalare un incidente. In un episodio precedente, il Gruppo Spaggiari ha comunicato che l’attacco del 30 giugno aveva interessato la componente di modulistica online della piattaforma Bergantini. La comunicazione pubblicata dall’Istituto Elsa Morante
Per le emergenze, Pastore propone un canale autenticato tra Ministero, uffici scolastici, prefetture e istituti, attraverso il quale i dirigenti possano verificare la provenienza delle istruzioni operative.
