I fatti più recenti sono noti: la mattina del 12 novembre 2026, alle 9:39, oltre 3.700 istituti scolastici italiani e la sede della Presidenza del Consiglio a Palazzo Chigi hanno ricevuto un messaggio dal contenuto agghiacciante: «Messaggio dall’Italia. Siete in pericolo». L'email, firmata dal sedicente leader «Mikhail Andropov» dell'immaginario Vilayat di Misoginistan, chiedeva le dimissioni della premier Giorgia Meloni e minacciava l'esplosione di ordigni confezionati con ammonio e riposti in sacchetti. Non un episodio isolato: soltanto ventiquattr'ore prima, l'11 novembre, un'analoga ondata minatoria aveva investito 6.300 scuole italiane, per poi estendersi nei giorni successivi ad altri Paesi europei e al Regno Unito.

Mentre l'opinione pubblica e gli apparati di sicurezza si interrogavano sulla matrice del sedicente mitomane russo, l'analisi investigativa condotta dalla testata specializzata Decrypto ha permesso di isolare l'origine tecnica del messaggio minatorio, portando alla luce un collegamento con una frode informatica risalente al marzo 2025.

L'email inviata il 12 novembre risultava infatti spedita da una casella di posta appartenente al dominio r11.deped.gov.ph, corrispondente all'ufficio della Regione XI (la zona di Davao) del Department of Education delle Filippine – un account intestato a un insegnante di scienze del tutto estraneo ai fatti. Tracciando lo storico di quel dominio istituzionale, le verifiche di Decrypto hanno fatto emergere un precedente specifico denunciato nel marzo 2025 su LinkedIn da una dipendente della società farmaceutica Merz Therapeutics. In quell'occasione, la manager segnalava che truffatori informatici stavano utilizzando un indirizzo dello stesso dominio filippino – wilcor.t*****@r11.deped.gov.ph –  per organizzare finti colloqui di lavoro virtuali, chiedendo ai candidati di rispondere a un dominio civetta (merztherapeuticscareer[.]com) per sottrarre dati personali e bancari.

Lo schema emerso era quello classico del fake recruiter, ma l'elemento cruciale emerso dall'inchiesta risiede nell'infrastruttura usata: lo stesso dominio istituzionale filippino era già nella disponibilità di circuiti fraudolenti ben un anno e mezzo prima dell'ondata di terrorismo psicologico nelle scuole italiane.

I tasselli si sono sovrapposti quando l'analisi ha incrociato un secondo evento informatico: il 3 maggio 2026, il gruppo hacktivista NullSec Philippines aveva rivendicato la violazione della piattaforma di formazione scolastica del ministero filippino (training.deped.gov.ph). L'attacco, documentato dal gruppo di ricerca indipendente Deep Web Konek, aveva portato alla pubblicazione di un file contenente quasi un milione di record di utenti (999.995 righe) e oltre 125.000 indirizzi email validi. Sebbene NullSec avesse motivato l'azione come una protesta d'impatto sociale per denunciare il bullismo e le carenze edilizie scolastiche – amplificata dal noto collettivo grey-hat Deathnote Hackers International (DNH) guidato dall'hacker noto come "Klammer" –, la conseguenza concreta è stata la dispersione in rete di migliaia di credenziali autentiche.

Gli hacktivisti filippini non sono tuttavia gli autori diretti degli allarmi bomba in Europa. Gruppi come NullSec o DNH firmano apertamente le proprie azioni e rifiutano persino ingenti offerte finanziarie da parte di attori statali stranieri – come accadde nel luglio 2024 quando Klammer rifiutò pubblicamente un compenso di circa 8.000 euro dal gruppo cinese Mustang Panda ("Red Delta") in cambio dell'accesso alle reti governative. Gli autori delle minacce terroristiche nelle scuole italiane hanno invece agito come semplici acquirenti di credenziali rubate, riciclando accessi istituzionali compromessi già disponibili sul mercato nero.

Il mercato del Dark Web: l'accesso istituzionale sottocosto

La pista seguita dagli investigatori porta direttamente ai forum del dark web, dove gli accessi alle caselle di posta elettronica di ministeri, enti locali e università vengono compravenduti a prezzi irrisori. Le risultanze delle ricerche informatiche confermano che la vendita di domini governativi filippini è un fenomeno documentato e sistematico:

Nel corso del 2024, i ricercatori di Deep Web Konek avevano identificato venditori anonimi intenti a piazzare sul dark web accessi a domini email governativi delle Filippine al prezzo fisso di 100 dollari per account, tra cui figurava proprio l'area municipale di Davao.

Già nell'ottobre 2023, accessi completi al dominio e ai documenti di sicurezza del Senato filippino e di altre istituzioni estere venivano offerti a partire da 300 dollari.

Nel novembre 2024, l'FBI ha lanciato un allarme globale sull'esplosione della vendita di credenziali rubate ad apparati di polizia ed enti pubblici usati per inviare falsi ordini giudiziari.

Nel corso del 2025, la svalutazione di questi dati ha toccato livelli minimi: account dell'FBI e di altre forze dell'ordine statunitensi sono stati trovati in vendita per 40 dollari, mentre pacchetti completi di log e credenziali governative sono stati ceduti a partire da appena 5 dollari.

Un aspetto centrale riscontrato nelle indagini è la pratica del "deposito preventivo": le credenziali compromesse vengono acquistate con largo anticipo e lasciate dormienti per mesi nei database dei cybercriminali prima di essere impiegate. La prima ondata di attacchi alle scuole italiane dell'11 novembre (circa 6.300 email) è partita dall'account di un'ex studentessa di un'università taiwanese, un indirizzo compromesso e comprato sul dark web nel gennaio 2026 e rimasto inattivo fino a novembre.

La medesima strategia è stata applicata per la seconda ondata, dove insieme alla casella filippina sono stati impiegati un account di una scuola elementare della Slovacchia e una casella con sigla istituzionale del Pakistan. In episodi precedenti, rivendicati sotto le sigle fittizie del "Corpo della Rivoluzione islamica" o del "Male State", erano state usate caselle violate dei ministeri dell'Istruzione dell'Arabia Saudita e dell'Egitto, oltre all'account di un'azienda sanitaria colombiana di Bogotá.

L'asimmetria economica: una spesa ridicola contro la paralisi di uno Stato

L'elemento più inquietante è l'estrema asimmetria tra l'investimento finanziario necessario per sferrare l'attacco e il costo economico, logistico e sociale sopportato dalla macchina statale per gestirne le conseguenze.

Per il criminale informatico o il mitomane operativo, la spesa complessiva si riduce a poche decine di dollari: il costo dell'acquisto di due o tre credenziali valide sul dark web (tra i 5 e i 100 dollari ciascuna) e il canone di un servizio di anonimizzazione della rete.

Sul fronte opposto, la risposta dello Stato genera una spesa pubblica imponente e una paralisi operativa immediata.

Oltre 3.700 scuole evacuate in una sola mattinata (e più di 6.300 nel giorno precedente), con centinaia di migliaia di studenti, docenti e personale scolastico mandati in strada e il blocco totale delle attività scolastiche.

L'intervento a catena di artificieri, unità cinofile, pattuglie dei Carabinieri e della Polizia di Stato, chiamati a bonificare migliaia di edifici complessi e strutture pubbliche in decine di province italiane.

Protocolli di massima sicurezza attivati a Palazzo Chigi a seguito della minaccia diretta alla premier, con l'impiego di reparti d'élite della cybersicure e dell'intelligence.

C'è poi l’impatto, registrato da precedenti attacchi cyber, sui trasporti e sulla sicurezza europea: il prolungamento dei medesimi attacchi a linee aeree e voli civili in Europa, con controlli straordinari e ritardi a catena nei trasporti.

Ci si trova di fronte a un'inversione economica spaventosa: un capitale d'attacco ridicolo, pari al costo di una cena al ristorante, è in grado di mobilitare risorse pubbliche per milioni di euro, saturare i centralini di emergenza e bloccare il funzionamento di intere istituzioni scolastiche e di governo.

Come avviene l’attacco: bypassare gli antispam ed evitare il tracciamento

Per comprendere come «Mikhail Andropov» sia riuscito a recapitare contemporaneamente migliaia di messaggi di terrore superando i sistemi di difesa delle reti istituzionali, occorre analizzare la tattica informatica adottata, caratterizzata da una semplicità studiata e da una profonda conoscenza delle vulnerabilità dei sistemi di posta.

Il bypassing dei filtri antispam

La ragione fondamentale per cui i filtri antispam delle scuole e dei provider di posta non sono riusciti a intercettare le email risiede nella struttura stessa del messaggio. I moderni software di protezione e i gateway di posta (Secure Email Gateways) valutano il rischio di una mail analizzando tre elementi principali: la reputazione del dominio mittente, la presenza di link esterni sospetti (URL di phishing) e la presenza di file allegati contenenti codice malevolo.

Gli autori degli allarmi bomba hanno sistematicamente neutralizzato questa barriera.

Innanzitutto l’assenza totale di link e allegati: in mancanza di collegamenti ipertestuali e di file allegati, i motori antispam perdono la gran parte delle firme e dei vettori d'analisi euristica, rendendo il filtro automatizzato del tutto inefficace.

Poi il rifiuto dello spoofing: anziché falsificare l'intestazione dell'email (spoofing), tecnica facilmente bloccata dai protocolli di autenticazione, l'attaccante ha utilizzato server SMTP e caselle di posta reali ed esistenti. Essendo l'email inviata dal server ufficiale del Department of Education filippino o dell'università taiwanese, il messaggio supera l'autenticazione e viene consegnato regolarmente nella casella d'ingresso delle scuole.

Conta anche la scelta di bersagli vulnerabili: gli account scelti appartengono quasi unicamente al settore dell'istruzione globale (scuole, università, dipartimenti educativi). I sistemi informatici scolastici presentano storicamente configurazioni di sicurezza meno stringenti e criteri di gestione delle password meno rigidi rispetto al settore bancario o militare, risultando più facili da "bucare" e compromettere.

Infine va rilevata l’esclusione di strumenti di IA: gli investigatori evidenziano come l'autore eviti l'uso di software basati su intelligenza artificiale o generatori automatici per comporre il testo. L'uso di modelli sintetici potrebbe lasciare impronte o firme digitali tracciabili nei gateway di sicurezza.

L'elusione del tracciamento e la pista europea

Per impedire la propria identificazione e geolocalizzazione, il mittente ha interposto tra sé e i server di posta compromessi catene di anonimizzazione avanzate (proxy, reti VPN non-logging e nodi Tor). Nonostante la mail sia partita formalmente da un IP assegnato alla Regione XI delle Filippine, la vera origine fisica della connessione rimane nascosta dietro schermature crittografiche.

Gli elementi raccolti dagli inquirenti delineano un quadro paradossale ma coerente: l'autore firma con un nome di evidente origine russa («Mikhail Andropov»), include nel testo italiano frasi tradotte letteralmente dall'arabo, richiama l'uso di componenti per ordigni ("ammonio", "sacchetti") e inserisce fittizi riferimenti geopolitici (Vilayat di Misoginistan).

Tuttavia, le modalità operative — la scelta dell'orario costante di invio (attorno alle ore 09:00 del mattino italiano), la conoscenza specifica delle caselle istituzionali italiane e la dinamica di acquisto sul dark web — spingono gli investigatori a ipotizzare che dietro il nome di “Andropov” si nasconda un operatore fisicamente situato all'interno di uno Stato europeo. Un soggetto che, sfruttando per poche decine di dollari la compravendita di credenziali rubate in Asia e Sudamerica, muove le fila di una guerra psicologica a basso costo, capace di tenere in scacco la sicurezza di un intero Paese.