Sono le dieci di mercoledì mattina. Il telefono improvvisamente vibra: dalla scuola dei vostri figli arriva un messaggio.
C'è un allarme bomba, la scuola è stata evacuata, venite subito a prenderli.
Mollate la riunione, salite in macchina, il cuore in gola. Arrivate e trovate i bambini nel cortile, senza cappotto e senza zaino, abbandonati in classe nella fretta dell'evacuazione.
È l'11 novembre dell’Anno del Signore 2026. Alla fine della giornata il bilancio ufficiale fa riflettere: migliaia di scuole svuotate, forze dell'ordine mobilitate in tutta Italia, nessun ordigno trovato.
È bastata un'email, nient'altro.
Vediamo come è andata e perché, se vi siete sentiti un po' stupidi alla fine della giornata, un motivo c'è — ma non è quello che pensate voi.
Cosa è successo, a freddo
Secondo il ministero dell'Istruzione, la stessa email sospetta è stata inviata a circa seimila scuole italiane. Nella sola area di Roma il messaggio dai toni deliranti ha raggiunto circa 150 plessi e RomaToday racconta la storia surreale di presidi che attivano subito le procedure, di studenti fatti uscire in fretta e furia, di genitori costretti a correre a prenderli nel caos di un traffico improvvisamente impossibile.
La mail era firmata da un certo Mikhail Andropov, che si presentava come leader del "Vilayat di Misoginistan". Leggete bene, perché è un punto fondamentale. Il "Vilayat di Misoginistan". Un'organizzazione terroristica che nessuno aveva mai sentito nominare prima, con un nome che sembra uscito da un generatore casuale di cattivi da film di serie B. La mail minacciava anche la premier Giorgia Meloni e prometteva un genocidio contro gli italiani.
Chi l'ha mandata? Non lo sappiamo. RomaToday segnala che l'indirizzo di partenza risultava quello di un ateneo di Taiwan. Ma un mittente in una mail è come il nome sul citofono: ognuno ci scrive un po' quello che vuole. Il caso delle mail di ottobre, attribuite a un ministero saudita, avrebbe dovuto servire come monito anche a chi non ci capisce molto di come funziona la posta elettronica: quell'indirizzo si può falsificare, sempre.
Terza puntata della stessa serie
Nessuno degli ultimi tre episodi è un fulmine a ciel sereno. Il 19 ottobre mail simili avevano colpito circa cento scuole, soprattutto tra Verona e Padova, provocando l'evacuazione dalle scuole in diversi comuni: anche in quel caso, nessuna bomba. Il 2 novembre erano state almeno 271 le scuole raggiunte, con gli stessi esiti. Il testo dell'11 novembre, secondo Virgilio, ricalcherebbe la lettera del 2.
Il copione è sempre lo stesso: stessa struttura, stesso tipo di minaccia, nessun riscontro. Ogni serie televisiva ha un punto in cui il pubblico capisce come va a finire. Qui però ci sono arrivati in pochi. Troppo pochi.
Non è un problema solo italiano. In Irlanda del Nord, di fronte alla stessa mail, oltre 300 scuole hanno ricevuto la minaccia, e la maggior parte è rimasta aperta. E a Milano, nello storico liceo Brera, le lezioni sono proseguite mentre il preside commentava la mail come comica. Due scuole, due scelte diverse, e una delle due aveva letto la mail con attenzione.
Intendiamoci, io stesso non avrei saputo cosa fare, nei panni di un dirigente scolastico. Però...
Come si buca una mente: l'ingegneria sociale in azione
Facciamo un passo indietro, perché qui c'è un concetto che ai vostri collaboratori conviene conoscere. Si chiama ingegneria sociale (in inglese social engineering) e vuol dire attaccare non il computer, ma la persona che lo usa.
L'analogia è semplice. Immaginate un palazzo con una porta blindata, telecamere e allarme. Un ladro non perde tempo a forzare la serratura: suona al citofono dicendo di essere l'idraulico. Se il portinaio apre, il ladro è dentro, e la blindatura non è servita a nulla. L'attacco ha funzionato su una persona, non su una macchina.
Una mail come quella di mercoledì funziona esattamente così. Non ha violato un server, non ha rubato una password. Ha fatto leva su una reazione umana prevedibile: se qualcuno scrive "c'è una bomba", prima si evacua e poi si ragiona. Il fattore umano non è un dettaglio: secondo il rapporto Verizon del 2023, riguarda il 74% delle violazioni informatiche. Le difese migliori sono inutili se il destinatario apre la porta o abbandona l'edificio.
Quanto costa l'attacco e quanto costa la reazione
Contate. L'attacco è costato una mail, cioè praticamente niente. La risposta: seimila scuole coinvolte, forze dell'ordine impegnate a controllare migliaia di edifici, famiglie con la giornata saltata, bambini piccoli e studenti con disabilità, secondo RomaToday, tra i più colpiti dal disagio.
Il World Economic Forum lo descrive da tempo: un singolo attore con i mezzi giusti può avere un impatto sproporzionato e una delle possibili contromisure è rendere questi attacchi costosi e faticosi per chi li lancia. Oggi sono l'esatto contrario: l'attaccante spende zero, il paese spende una giornata. È il miglior rapporto costo-beneficio della criminalità digitale.
E il frigorifero? Ne abbiamo già parlato, ve lo ricordo in una riga: in queste settimane tutta Europa ha passato il tempo a temere che qualcuno hackerasse gli impianti di refrigerazione, mentre una mail, senza violare niente, ha mobilitato più persone di qualsiasi virus. Allarme tarato sul bersaglio sbagliato.
Una nota di giustizia: l'anonimo mittente rischia poco sulla carta. Il procurato allarme è una contravvenzione, punita con l'arresto fino a sei mesi o con un'ammenda. Quali reati verranno contestati in questo caso è ancora presto per dirlo. E, soprattutto, nei confronti di chi.
"E se fosse stata vera?"
Sento già l'obiezione, ed è seria. Nel 2012 una bomba fuori da una scuola di Brindisi uccise una studentessa. Evacuare al primo allarme non è stupidità: è il motivo per cui i presidi non vengono giudicati per aver fatto uscire i bambini.
Il problema viene dopo. La prima volta si verifica e va bene. Alla terza ondata con lo stesso copione, lo stesso mittente fantasioso e lo stesso esito, la domanda cambia: non "è vero?", ma "quanto è credibile, e quanto vale la mia reazione?". È la differenza tra la prudenza e il riflesso condizionato. Il primo si adatta ai fatti, il secondo no.
Ieri la Meloni, dopo il vertice di Palazzo Chigi, ha detto in sostanza che questi messaggi servono a spaventare, non a colpire, e che ogni allarme sarà verificato uno per uno (ADN24). Ha anche aggiunto che una mail anonima non deciderà il calendario scolastico. Ha ragione. Ma funziona anche al contrario: se serve una premier per ricordarlo, vuol dire che per molti, nel frattempo, il calendario l'aveva già deciso la mail.
UPDATE - Infatti oggi, a distanza di sole 24 ore, un altro messaggio simile è stato inviato ad altre scuole e il copione si è ripetuto, quasi identico al precedente.