Allarmi bomba via email in oltre 100 scuole, firma già vista sui voli

Una mail con minacce di attentato è arrivata intorno alle 9.50 di mercoledì 11 novembre nelle caselle di posta di decine di scuole italiane, da Roma a Milano, Napoli, Bologna e Trieste, e ha fatto scattare evacuazioni precauzionali e sospensioni delle lezioni. Secondo l'Adnkronos si tratta di un unico messaggio inviato a oltre 100 istituti, con oggetto "Avviso di pericolo", che annuncia un ordigno con innesco a distanza in un edificio scolastico e contiene minacce anche contro la presidente del Consiglio.

La firma è quella di un sedicente Mikhail Andropov, nome già comparso la settimana scorsa nelle minacce alle emittenti televisive europee legate agli allarmi sui voli. Il messaggio risulta inviato da un indirizzo associato al dominio della Dayeh University di Taiwan. All'aggiornamento delle 11.40 non sono confermati l'autore, l'origine reale della mail e il numero complessivo delle scuole coinvolte. Gli accertamenti sono affidati a polizia, carabinieri e Polizia Postale. Il contenuto della mail è stato invece reso noto:

Questo è Mikhail Andropov, leader del Vilayat di Misoginistan. Siamo venuti per annientarvi. Metteremo in atto un genocidio contro gli italiani. Mi sono preparato a lungo per questo: uccidere ognuno di voi. Ho appena lasciato nel vostro edificio, all'interno di un sacchetto di plastica, un potente ordigno esplosivo con innesco a distanza. L'ho posizionata in modo tale che l'onda d'urto si propaghi in tutto l'edificio. Di voi rimarranno solo ossa e una poltiglia sanguinolenta. Inoltre, abbiamo piazzato una bomba nel motore dell'auto del vostro primo ministro. Dopodiché finiremo i sopravvissuti a coltellate

Cosa dice davvero l'indirizzo del mittente

Un indirizzo universitario taiwanese nel campo del mittente non basta a stabilire da dove sia partita la mail. Il protocollo che trasporta la posta elettronica, l'SMTP, non verifica in origine l'identità di chi scrive, e il campo "Da" che compare al destinatario si può falsificare (la tecnica si chiama spoofing). Un indirizzo può quindi comparire come mittente perché il dominio è stato imitato oppure perché qualcuno ha usato una casella reale di quel dominio. Secondo la ricostruzione di Quotidiano Nazionale, tra le ipotesi al vaglio c'è un'azione coordinata di procurato allarme condotta con indirizzi falsificati, ma quale dei due casi valga qui non è stato comunicato.

Per distinguere le due situazioni i server di posta applicano in automatico tre standard. SPF elenca i server autorizzati a spedire per conto di un dominio, DKIM aggiunge al messaggio una firma crittografica, DMARC indica al server ricevente cosa fare quando le prime due verifiche falliscono. Se il dominio non pubblica una policy DMARC restrittiva, una mail falsificata può arrivare a destinazione senza essere scartata. Il primo materiale su cui lavora chi indaga sono le intestazioni tecniche del messaggio, in particolare le righe "Received" che registrano gli indirizzi IP dei server attraversati.

Le ondate precedenti hanno seguito lo stesso schema. Il 2 novembre una mail firmata da un sedicente Corpo delle guardie della rivoluzione islamica era arrivata a circa 280 scuole (271 o 279 a seconda delle ricostruzioni), dopo il centinaio di istituti raggiunti il 19 ottobre. Il 5 novembre gli avvisi si sono spostati sugli aeroporti, con i falsi allarmi sui voli diretti a Fiumicino e partiti da Malpensa, firmati "Combattenti dello Stato Maschile". Il giorno dopo Reuters ha riferito delle mail di "Mikhail Andropov" alla televisione pubblica irlandese RTÉ e alla bulgara Nova TV, precisando di non essere riuscita a stabilire né l'identità del mittente né l'origine dei messaggi.

Cosa resta da chiarire nelle indagini

Sulla provenienza delle mail lavora la Polizia Postale, che già dopo gli allarmi sui voli verificava insieme alla Polizia di frontiera i possibili collegamenti tra i messaggi agli aeroporti e quelli alle scuole. Il direttore del servizio, intervistato da Sky TG24 il 6 novembre, ha spiegato che la ricostruzione procede un dato alla volta in collaborazione con le altre polizie e che i responsabili sono soggetti difficili da localizzare. Quando un messaggio passa da server esteri o da servizi che nascondono l'indirizzo IP, servono richieste di cooperazione internazionale che allungano i tempi.

Non è accertato che le mail arrivate oggi nelle diverse città provengano tutte dalla stessa fonte, come ha precisato Savonanews riportando lo stato degli accertamenti. Manca anche un legame operativo dimostrato tra la sigla di oggi, quella del 2 novembre e quelle usate sui voli, al di là della firma ricorrente. Funzionari europei leggono la serie come una possibile campagna di disturbo ibrido, ipotesi respinta da Mosca, ma nessun Paese ha attribuito formalmente le minacce. Le ondate precedenti si erano chiuse senza il ritrovamento di ordigni; per quella di oggi l'esito complessivo delle bonifiche non è ancora stato comunicato.