Come è stata diffusa la e-mail di falso allarme bomba a migliaia di scuole italiane

Scrivere e inviare una mail di minacce può richiedere una manciata di minuti. Verificare se la minaccia contenuta nel messaggio sia credibile, invece, richiede decisamente più tempo. È questa sproporzione a spiegare, almeno in piccola parte, perché un falso allarme bomba può provocare conseguenze su vasta scala.

Le lezioni potrebbero essere interrotte, gli alunni e il personale docente evacuati e gli artificieri vengono chiamati a controllare che non ci sia alcun pericolo concreto.

Gli episodi avvenuti in questi due giorni lo dimostrano. Una mail minatoria è stata inviata a circa 6.300 scuole italiane l'11 novembre e nuove segnalazioni sono arrivate anche nella giornata di oggi, 12 novembre, in diverse altre scuole. In alcuni istituti si è proceduto all’evacuazione, mentre in altri sono stati avviati degli accertamenti.

A firmare la minaccia è stato un certo «Mikhail Andropov» e ci vorrà sicuramente del tempo per capire chi si cela dietro questa identità, probabilmente falsa, che nelle scorse settimane ha provocato il panico anche in altre scuole europee e in particolare in Bulgaria, Irlanda e Regno Unito.

In questo approfondimento vedremo com’è stata diffusa questa mail, provando a ricostruire il percorso che ha fatto.

Come ha fatto l’email a raggiungere migliaia di scuole: da dove arriva

Partiamo dal primo aspetto: com’è stato propagato il messaggio a migliaia di scuole. Secondo le prime ricostruzioni, chi l’ha inviata avrebbe utilizzato un account dell’università privata Da-Yeh, a Taiwan, appartenuto a un’ex studentessa e compromesso già da tempo. L’università ha rilevato un volume anomalo di messaggi in uscita e ha sospeso l’account, conservando i log, cioè i registri digitali che documentano accessi e attività varie fatte con quell’account.

Anche l’elenco dei destinatari potrebbe essere stato facile da reperire. Sul portale di opendata del Ministero dell’Istruzione e del Merito sono pubblicati file liberamente scaricabili contenenti i dati delle scuole statali, compresi gli indirizzi e-mail ordinari e quelli di Posta Elettronica Certificata (PEC).

Due elementi suggeriscono che sia stata utilizzata proprio quella lista. Le scuole paritarie, presenti in un file separato, non sarebbero state raggiunte: lo stesso vale per gli istituti di Trentino-Alto Adige e Valle d’Aosta, che gestiscono autonomamente i propri sistemi scolastici. L’invio a migliaia di indirizzi, quindi, non è un elemento sufficiente per avvalorare l’ipotesi di una violazione degli account di posta degli istituti italiani.

Perché i malintenzionati avrebbero utilizzato un account universitario? Probabilmente per eludere con maggior facilità i filtri antispam delle caselle di posta degli istituti scolastici. Dal momento che questi filtri valutano diversi segnali per individuare i messaggi sospetti, l’uso di un indirizzo ritenuto affidabile, come quello appartenente a un account universitario, potrebbe ingannare più facilmente questi sistemi che non sono infallibili.

Cosa succede quando si riceve un allarme bomba: il piano d'evacuazione

Passiamo adesso a un altro aspetto, quello che riguarda il concetto di rischio. La probabilità che una minaccia sia reale può essere bassa, ma la gravità delle conseguenze, se lo fosse, potrebbe essere elevata. Per questo non è possibile ignorare una segnalazione soltanto perché sembra improbabile o perché arriva insieme a migliaia di altre.

Allo stesso tempo, evacuare automaticamente ogni edificio per qualsiasi messaggio generico avrebbe dei costi, non solo economici, ma anche e soprattutto sociali, che non possono essere ignorati (e su quest’ultimo aspetto ci torneremo tra poco).

È anche per questo che oggi la Presidenza del Consiglio ha indicato una linea comune per tutte le amministrazioni, stabilendo che la sola ricezione di una mail massiva, senza ulteriori elementi concreti che facciano ipotizzare un pericolo reale, non comporta automaticamente l’evacuazione.

Falsi positivi e rischio di assuefazione agli allarmi

La presa di posizione del Governo punta evidentemente a mitigare un effetto collaterale di simili allarmi e che prende il nome di alarm fatigue: se si ricevono tanti avvisi infondati e ripetuti, il rischio che si corre è quello di assuefarsi a simili allarmi.

Dopo averne ricevuti molti senza conseguenze, si rischia di prestare meno attenzione anche a segnalazioni fondate. Questo è un rischio concreto e che andrebbe assolutamente evitato. È un problema comune a diversi ambiti, dalla cybersecurity ai controlli aeroportuali.

Per questo, migliorare i sistemi di filtraggio e stabilire procedure condivise sarà fondamentale sia per evitare reazioni sproporzionate sia per mitigare il rischio di sottovalutare eventuali pericoli futuri.

non perderti questo articolo

Guerra ibrida, «il rischio esiste, ma le infrastrutture europee hanno una certa resilienza»: l’esperto IAI

DiSara Brugnoni