scenario

Falsi allarmi bomba sugli aerei, cosa succede: gli impatti su trasporti e compagnie

In quattro giorni quasi trenta voli colpiti da false minacce, caccia in volo in quattro Paesi, due scali chiusi. Gli inquirenti valutano un coordinamento europeo. Il conto per le compagnie è contenuto, quello strategico molto meno

Pubblicato il 6 nov 2026

Francesco Borgese

Ufficiale Esercito italiano

Chiedi all'AI

Riassumi questo articolo

Approfondisci con altre fonti

Aggiungi tra i preferiti su Google

Un’email è bastata a far decollare due Eurofighter dell’Aeronautica Militare, a dirottare un Airbus di Aer Lingus su una base militare in Normandia e a tenere impegnati per ore gli artificieri di Fiumicino e Malpensa. Nessun ordigno è stato trovato. Ma il 5 novembre è stato soltanto il picco di un’ondata cominciata lunedì 2: in quattro giorni quasi trenta voli, in almeno otto Paesi europei, sono finiti sotto falso allarme bomba.

Bruxelles invita alla prudenza. «Qualsiasi minaccia contro i civili è inaccettabile», ha dichiarato il commissario europeo ai Trasporti Apostolos Tzitzikostas, aggiungendo però che è «prematuro trarre conclusioni su un eventuale collegamento tra gli episodi». Gli investigatori italiani della Polizia di frontiera e della Polizia postale, che hanno trasmesso le prime informative alle procure, considerano invece concreta l’ipotesi di un coordinamento a livello europeo e hanno attivato i canali di cooperazione internazionale per risalire ai server di invio.

Il punto, per chi si occupa di sicurezza del trasporto aereo, non è il singolo allarme. È il rapporto tra il costo di un messaggio, praticamente nullo, e la quantità di risorse militari, di polizia e aziendali che quel messaggio riesce a mettere in moto, ogni volta, in più Paesi contemporaneamente. L’amministratore delegato di Air France-KLM, Ben Smith, ha detto al Financial Times: «Non credo che abbiamo mai visto prima un simile livello di coordinamento».

Droni, disinformazione e cyber attacchi: ecco l’estate della guerra ibrida in UE

Indice degli argomenti

Quattro giorni, trenta voli

La sequenza si apre lunedì 2 novembre. Il volo Wizz Air W6 4302 da Londra Luton a Sofia, un A321neo, riceve una minaccia mentre sorvola la Bosnia-Erzegovina, vira verso Budapest e atterra scortato da un Gripen dell’aeronautica ungherese, come ha reso noto lo stesso ministro della Difesa di Budapest (Euronews).

Martedì gli allarmi diventano una decina. Un Boeing 737 MAX della LOT partito da Heathrow con 181 persone a bordo viene dirottato su Varsavia-Modlin, che resta chiuso fino al termine della bonifica. A Murcia un Ryanair da Manchester fa scattare il protocollo: 121 persone evacuate, intervento degli artificieri TEDAX della Guardia Civil, scalo fermo per circa due ore e un arrivo dalle Canarie deviato su Alicante. A Fiumicino due Ryanair da Lisbona e Dublino atterrano con la scorta dei caccia dopo un’email anonima recapitata ad Aeroporti di Roma (Agenparl). Londra parla di «minacce false e malevole».

Giovedì 5 si arriva al massimo: almeno 18 voli secondo l’ANSA, sei dei quali legati all’Italia. L’Aer Lingus Dublino–Roma viene intercettato dai caccia francesi e fatto atterrare sulla base di Évreux; il Finnair Helsinki–Roma arriva a Fiumicino affiancato da due Eurofighter; il Wizz Air Malpensa–Varsavia ripiega su Vienna. A Malpensa il viceprefetto di Varese Niccolò Cescon conferma all’AGI un’email in italiano inviata a un ufficio pubblico dello scalo: «Metteremo una bomba» (AGI). In Bulgaria tre Ryanair diretti a Sofia vengono scortati dai MiG-29; a Praga la polizia prepara l’atterraggio di quattro voli giudicando «bassa» la credibilità delle minacce; a Madrid la Guardia Civil ispeziona tre aerei, due dei quali partiti da Fiumicino e Linate.

Il precedente più vicino è del 18 ottobre: un A320 Austrian Airlines da Tel Aviv a Vienna, il volo OS82, scortato a Sofia da un MiG-29 dopo una minaccia ricevuta in volo (AirDataNews).

Come un’email ferma un aereo

Il sistema non è stato violato: è stato usato esattamente come è progettato. Le regole internazionali, a partire dall’Annesso 17 dell’ICAO, impongono agli Stati una valutazione continua della minaccia, da condividere con compagnie e aeroporti (IATA). Quando arriva un messaggio, un comitato lo classifica come specifico o non specifico. Un’email che indica numero di volo, compagnia, provenienza e orario di atterraggio, come quella giunta a Malpensa secondo le fonti investigative citate dall’ANSA, spinge quasi sempre verso la prima categoria, cioè verso la risposta massima.

Da lì la catena procede da sola. L’allerta raggiunge compagnia e controllo del traffico; il comandante decide se proseguire, rientrare o dirottare sullo scalo idoneo più vicino, gestendo la pressurizzazione della cabina per ridurre il differenziale di pressione (OPSGROUP). La difesa aerea, che in Italia garantisce il servizio di allarme 24 ore su 24 nel quadro della difesa dello spazio aereo nazionale e dell’Alleanza (Aeronautica Militare), fa decollare i caccia. A terra l’aereo viene isolato su una piazzola remota, evacuato e ispezionato. Negli scali con una sola pista, come Modlin e Murcia, questo significa chiudere tutto.

Il vettore tecnico è elementare. Le email risultano partite da caselle compromesse o da servizi di posta anonimizzati come Proton Mail, e sono state indirizzate non solo ai gestori ma anche a società terze degli scali, come handler e operatori logistici. Il testo in italiano approssimativo fa ipotizzare agli investigatori l’uso di un traduttore automatico (DIRE). È un dettaglio che conta: abbatte la barriera linguistica e consente di colpire più Paesi in parallelo, con messaggi localizzati, nella stessa mattina.

La firma e il sospetto

Il messaggio arrivato a Fiumicino giovedì all’alba aveva per oggetto «segnalazione minaccia» e un tono da proclama: «Siete tutti complici di un complotto criminale. Vogliamo annientarvi per questo». Indicava i voli AY1761 da Helsinki ed EI402 da Dublino, annunciava un’esplosione «tra 60 minuti» e si chiudeva con «Oggi il vostro cielo sarà rosso». La firma: «combattenti dello Stato Maschile».

Lo «Stato Maschile», in inglese Male State, è un gruppo ultranazionalista e misogino nato in Russia nel 2016 attorno al blogger Vladislav Pozdnyakov, bandito dal social network VKontakte nel 2020 e poi migrato su Telegram (Bellingcat). Il dettaglio decisivo viene però dal Montenegro. Nel 2022 email firmate a nome di Pozdnyakov minacciarono scuole e istituzioni; lui negò ogni coinvolgimento, sostenendo che qualcuno usasse il suo nome (BIRN). Una firma già in circolazione è lo strumento ideale per chi vuole orientare il racconto senza lasciare prove: indica una pista, non la dimostra.

Gli inquirenti italiani, intanto, non escludono un legame con le email che nei giorni scorsi hanno annunciato ordigni in circa 280 scuole. Se confermato, il collegamento sposterebbe il quadro da una campagna contro il trasporto aereo a un’operazione più ampia contro la fiducia nei servizi pubblici.

La cornice della guerra ibrida

L’ondata ha la forma tipica di un’operazione nella cosiddetta zona grigia: costo minimo, effetto distribuito su più Stati, firma ambigua. Lo ha descritto con precisione Nicolas Roche, segretario generale francese per la difesa e la sicurezza nazionale, davanti alla Commissione Difesa dell’Assemblée nationale l’8 aprile scorso: aggressioni che «non superano la soglia della guerra» ma hanno «un impatto diretto e profondo sul funzionamento normale della nazione», tra cui cyberattacchi, manipolazione dell’informazione e sabotaggio, anche tramite drone (Assemblée nationale). Il falso allarme bomba rientra in questa tassonomia: è un sabotaggio senza ordigno, che colpisce la continuità del servizio invece dell’infrastruttura.

Il trasporto aereo europeo conosce già questo copione. Tra settembre e ottobre 2025 sorvoli di droni hanno fermato Copenaghen, Aalborg e Monaco, e un portavoce della Commissione parlò di una Russia che «testa i confini europei» (Euronews). Ad agosto 2026 un drone carico di esplosivo è stato trovato nell’area sicura dell’aeroporto di Lipsia/Halle, hub cargo della NATO; il 1° settembre Berlino ha attribuito formalmente l’attacco a Mosca (CNN). E il precedente più simile per vettore viene dagli Stati Uniti: nel giorno delle elezioni del 2024 l’FBI segnalò che molte minacce bomba contro i seggi provenivano da domini email russi, nessuna credibile (Kyiv Independent).

Quattro elementi tecnici spingono oggi verso l’ipotesi di una campagna coordinata piuttosto che di emulatori isolati: la simultaneità su almeno otto Paesi, con un crescendo netto nell’arco di tre giornate; messaggi localizzati in più lingue, con indizi di traduzione automatica; bersagli coerenti, soprattutto vettori low cost e voli da o verso Bulgaria, Repubblica Ceca e Italia; infine il possibile legame con le minacce contro le scuole, che gli inquirenti non escludono.

C’è però un controcanto che un racconto onesto non può tacere. Un’indagine olandese su circa sessanta avvistamenti di droni del 2025 ha trovato «molto panico e quasi nessuna prova di un coinvolgimento russo» (Responsible Statecraft). Per gli allarmi via email il rischio di sovra-attribuzione è ancora più alto: un singolo attore con una casella anonima e un traduttore automatico può riprodurre lo stesso schema. Lo schema ibrido è compatibile con i fatti; la prova di un’origine statale, a oggi, non è pubblica.

Il conto per le compagnie

Non esistono ancora dati ufficiali sui costi dell’ondata. Per dare un ordine di grandezza l’autore ha applicato ai voli coinvolti i valori di riferimento pubblicati da EUROCONTROL, che la stessa agenzia raccomanda come indicatori e non per analisi puntuali.

Il calcolo, va precisato, è dell’autore e non un dato ufficiale né un consuntivo delle compagnie. Applicando ai 29 voli coinvolti un costo di 166 euro per minuto di ritardo a terra, comprensivo dell’effetto a catena sulla rete (valore EUROCONTROL a prezzi 2022), e ipotizzando fra 90 e 180 minuti di ritardo per volo, si ottengono da 0,43 a 0,87 milioni di euro. I cinque dirottamenti confermati, valutati fra 1.400 e 10.500 euro ciascuno, aggiungono da 10 a 50 mila euro. Il costo diretto per le compagnie si colloca quindi, secondo questa stima, fra 0,45 e 0,9 milioni di euro.

Restano fuori dal calcolo le sortite dei caccia in quattro Paesi, il lavoro di artificieri e unità cinofile, le chiusure di Modlin e Murcia e il tempo perso dai passeggeri. Il costo per la collettività è con ogni probabilità superiore a quello sostenuto dalle compagnie.

Presa da sola, la cifra è modesta. Il problema è che lo strumento è ripetibile all’infinito a costo zero, e ogni ripetizione si scarica su modelli di business costruiti su rotazioni strette. Per un vettore low cost un aereo fermo tre ore a metà mattina propaga ritardi su tutte le tratte successive della giornata: è proprio l’effetto rete che i parametri EUROCONTROL provano a catturare. Sul fronte dei rimborsi, il regolamento europeo 261/2004 elenca i rischi per la sicurezza tra le circostanze che possono essere considerate eccezionali (Corte di giustizia UE): la compensazione pecuniaria ai passeggeri è probabilmente esclusa, ma restano gli obblighi di assistenza.

Le compagnie, per ora, minimizzano l’effetto sulla domanda. Ben Smith ha detto che gli episodi non danno ai passeggeri «alcun motivo per rallentare o ridurre i propri programmi di viaggio». Ma il colpo arriva su bilanci già sotto pressione: a marzo Wizz Air aveva tagliato le previsioni per gli effetti della guerra in Iran su rotte e carburante (Bloomberg).

Chi paga e chi incassa nell’aerospazio

Per i costruttori di aeromobili gli allarmi non hanno alcuna implicazione di aeronavigabilità: gli A320, gli A321neo e il 737 MAX coinvolti erano velivoli perfettamente integri. L’effetto sulla filiera passa invece dalla domanda di sicurezza, che si sposta verso tre segmenti.

Il primo è il contrasto ai droni e la protezione delle infrastrutture critiche. La Commissione europea ha inserito la European Drone Defence Initiative tra le quattro iniziative faro della Defence Readiness Roadmap 2030 (EEAS); in Francia l’aggiornamento della legge di programmazione militare consente agli operatori d’importanza vitale di neutralizzare i droni, con una campagna di test industriali a Brétigny-sur-Orge. Il secondo sono i contratti civili: un singolo sistema anti-drone per un grande aeroporto europeo vale ordini nell’ordine degli 8 milioni di dollari (DroneLife). Il terzo, il meno visibile ma il più legato a questa ondata, è la sicurezza della posta e la threat intelligence per gestori aeroportuali e handler.

Il risultato è un paradosso: la stessa campagna che erode i margini delle compagnie alimenta il ciclo di investimento di difesa e sicurezza. Il comparto aerospaziale paga da una parte e incassa dall’altra, ma non negli stessi bilanci.

Dove la tecnologia può accorciare la catena

La leva più efficace non è a bordo né in pista, ma nei primi minuti dopo la ricezione del messaggio. Quattro interventi tecnici potrebbero ridurre il costo di ogni ondata senza toccare la sicurezza.

Correlazione europea in tempo reale. Lo stesso schema arrivato a Praga, Sofia, Roma e Milano nella stessa mattina è di per sé un indicatore di campagna. Un canale condiviso tra le autorità nazionali per la sicurezza dell’aviazione, con l’impronta tecnica dei messaggi (testo normalizzato, intestazioni, infrastruttura di invio), permetterebbe di abbassare il livello di risposta sui voli successivi senza attendere l’esito delle prime bonifiche.
Triage tecnico del messaggio. Verifica automatica dei protocolli di autenticazione della posta (SPF, DKIM, DMARC), riconoscimento dei servizi anonimizzati e delle caselle compromesse, confronto stilometrico tra le lingue. La traduzione automatica abbassa il costo per chi attacca, ma lascia tracce ricorrenti.
Matrici di valutazione aggiornate. Nell’ottobre 2024, dopo oltre 500 falsi allarmi in 16 giorni, l’India ha rivisto le linee guida introducendo indicatori sulla fonte e sulla sua credibilità (Business Standard). Un numero di volo corretto non dovrebbe bastare, da solo, a rendere «specifica» una minaccia arrivata in serie.
Risposta proporzionata. L’approccio ceco di giovedì, con minaccia giudicata poco credibile e atterraggio regolare a destinazione con accoglienza predisposta, evita il dirottamento, che è la voce più costosa per compagnie e passeggeri.

Senza attribuzione e conseguenze giudiziarie rapide, però, il fenomeno tende ad autoalimentarsi. L’India lo ha imparato a proprie spese: nel 2024 compagnie e aeroporti del Paese hanno ricevuto 999 falsi allarmi bomba fino al 14 novembre (Reuters).

Tre scenari per le prossime settimane

Gli elementi disponibili indicano con buona probabilità una campagna coordinata, con una matrice ideologica dichiarata che appare di comodo. Un ruolo statale è un’ipotesi plausibile ma non dimostrata. Il valore strategico per chi la conduce non sta nel danno economico, ma nella mappatura delle reazioni: tempi di decollo dei caccia, scelte di dirottamento, scali che chiudono, qualità del coordinamento tra Paesi.

Si possono immaginare tre scenari. Nel primo l’ondata si esaurisce in poche settimane, grazie ad arresti o a un’attribuzione rapida e a un calo dei messaggi dopo l’attivazione della cooperazione internazionale: l’impatto per il settore resterebbe basso, con costi una tantum e nessun cambio di procedura.

Nel secondo l’ondata diventa persistente ma a bassa intensità, sul modello indiano del 2024, con nuove firme, altre lingue e altri vettori coinvolti e nessuna attribuzione: ne deriverebbero ritardi ricorrenti sui voli low cost e una pressione crescente su assicurazioni e personale di sicurezza degli scali minori. Nel terzo, il più grave, gli allarmi si saldano con altri strumenti ibridi, come sorvoli di droni, disturbi al GPS o attacchi informatici agli stessi scali: chiusure multiple, risposta militare sistematica e un’accelerazione della spesa per i sistemi anti-drone.

Nelle prossime settimane andranno seguiti quattro segnali: eventuali comunicazioni congiunte di Europol o delle autorità nazionali sull’origine tecnica delle email; la comparsa di firme diverse con lo stesso schema; nuovi bersagli fuori dal triangolo Italia–Bulgaria–Repubblica Ceca; i dati di EUROCONTROL sui ritardi per motivi di sicurezza nella settimana tra il 2 e il 5 novembre. Per le aziende del settore la conclusione è operativa. Il falso allarme bomba è diventato un attacco a basso costo alla continuità del servizio, e va trattato come un rischio cyber-fisico: con piani di continuità, esercitazioni congiunte con gli scali e procedure di triage dei messaggi, non come un fatto di cronaca da archiviare.