La mattina dell’11 novembre 2026 ha segnato uno spartiacque nella storia della sicurezza scolastica italiana, seguita a stretto giro da una seconda ondata tentata nella giornata del 12 novembre. Nel giro di poche ore, comunicazioni dal contenuto minatorio hanno raggiunto migliaia di istituti statali da Nord a Sud, innescando evacuazioni a catena, l’intervento di centinaia di pattuglie, il blocco della viabilità urbana e la convocazione di un vertice d’urgenza a Palazzo Chigi.
Eppure, mentre in Italia le campanelle suonavano l’allarme e gli studenti venivano riversati in strada, lo stesso identico copione andava in scena simultaneamente nel Regno Unito e in Irlanda con un esito radicalmente opposto: oltre Manica le lezioni non si sono neppure interrotte.
Per comprendere come una manciata di righe spedite a costo zero possa paralizzare un Paese, occorre esaminare l’accaduto attraverso l’analisi forense e l’intelligence delle minacce. Mettendo a confronto i testi circolati, l’evoluzione delle tattiche tra il primo e il secondo giorno, le tracce lasciate nei file governativi e i rispettivi quadri normativi, emerge un quadro chiarissimo. Più che di fronte a un’operazione di intelligence militare straniera, sembra che siamo di fronte all’esportazione di un fenomeno di disturbo criminale ben noto nei Paesi anglosassoni, che sfrutta le vulnerabilità cognitive e procedurali delle nostre istituzioni.
Indice degli argomenti
Cyber-swatting nelle scuole: come cambiano le email e i filtri
L’analisi comparata delle email intercettate consente di ricostruire la natura rudimentale e opportunistica dell’operazione. Il primo messaggio dell’11 novembre, recante l’oggetto “Avviso di pericolo”, ha superato i filtri sfruttando l’intestazione di un dominio accademico taiwanese (cloud.dyu.edu.tw) e la totale assenza di link o allegati infetti. Il giorno successivo, il 12 novembre, gli aggressori hanno ritentato l’assalto appoggiandosi a un nuovo vettore estero, un account compromesso del Dipartimento dell’Istruzione delle Filippine (jorhaida.budiang@r11.deped.gov.ph).
Tuttavia, l’adattamento difensivo delle reti italiane è stato immediato. I gateway di sicurezza ministeriali e i filtri dei provider di posta hanno intercettato la seconda ondata, dirottando automaticamente le comunicazioni nella cartella della posta indesiderata (Junk Email). A tradire gli autori è stata la persistenza di clamorosi errori operativi, incompatibili con le procedure di un attore statale avanzato.
In entrambi i giorni, chi ha allestito la campagna si è limitato a scaricare gli elenchi dal portale Open Data del Ministero, prelevando solo il file principale e ignorando le scuole paritarie o delle province autonome. Inoltre, gli indirizzi sono stati incollati in chiaro, a blocchi di centinaia per volta, direttamente nel campo visibile dei destinatari, fornendo agli algoritmi antispam uno schema facilmente riconoscibile e neutralizzabile.
Le false rivendicazioni e la ricerca di credibilità
L’esame testuale porta a smentire la pista geopolitica, svelando un network di “cyber-swatting” che adatta disperatamente la propria narrativa per restare rilevante. L’11 novembre l’autore, firmandosi “Mikhail Andropov”, si proclamava leader del grottesco “Vilayat di Misoginistan”. Questo testo era il calco letterale e frettolosamente tradotto di una matrice inviata nel Regno Unito, dove lo stesso Andropov rivendicava invece il progetto “Red Owl” e minacciava di lasciare solo ossa e poltiglia sanguinolenta, accoltellando i sopravvissuti.
Nelle stesse ore, le scuole scozzesi ricevevano varianti firmate con nomi di cittadini locali, sfidando la polizia a trovare l’ordigno in indirizzi residenziali britannici esatti per innescare raid armati punitivi contro vittime prese di mira sul web.
Di fronte allo scetticismo istituzionale scaturito dalla prima ondata, il 12 novembre il sedicente Andropov ha corretto il tiro, abbandonando i toni parodistici per simulare una competenza tecnica eversiva. Nel nuovo messaggio ha inserito riferimenti a una miscela esplosiva di nitrato di ammonio e nitrometano (ANNM), citando l’uso di sacchetti sottovuoto per sfuggire ai cani da fiuto molecolari.
Per tentare di accreditarsi nel contesto italiano, ha intimato le dimissioni del Primo Ministro Giorgia Meloni e ha indicato il posizionamento di una bomba al civico 370 di Piazza Colonna, sede di Palazzo Chigi.
Consapevole della perdita di credibilità, l’autore ha persino tentato un disperato espediente psicologico, affermando di aver appena fatto esplodere un ordigno in una scuola proprio perché le autorità avrebbero considerato la minaccia uno scherzo. Si tratta della reazione tipica di un provocatore digitale che vede svanire l’effetto panico e cerca di forzare la mano alle istituzioni.
Allarmi nelle scuole: il confronto tra Italia e Regno Unito
Se il Regno Unito assorbe queste ondate cicliche senza scomporsi, il merito risiede in un’architettura legale e operativa costruita in decenni di lotta al terrorismo nordirlandese. Oltre Manica, il falso allarme è un reato gravissimo contro la sicurezza nazionale, ma la dottrina operativa del Ministero dell’Istruzione impone di considerare queste email come bufale fino a prova contraria. I presidi britannici non evacuano gli edifici, ma contattano la polizia e avviano verifiche interne a porte chiuse, mantenendo gli studenti al sicuro ed evitando di fornire all’attaccante il trofeo mediatico dell’interruzione scolastica.
In Italia, l’assenza di un quadro normativo specifico sullo “swatting” di massa produce una paralisi burocratica. Il dirigente scolastico, vincolato da una rigidissima posizione di garanzia penale sull’incolumità dei minori, non possiede lo scudo legale per ignorare una minaccia. Nel timore di un’imputazione per omissione, è costretto a ordinare lo sgombero, assecondando involontariamente il disegno di paralisi progettato dai criminali informatici.
Lo sfruttamento della paura negli attacchi digitali
Gli impatti di questa vicenda sull’opinione pubblica trascendono il mero disagio logistico, entrando a pieno titolo nel dominio della cosiddetta guerra ibrida e della sua sottocategoria di guerra cognitiva. Sebbene l’attacco non sia stato sferrato da un esercito regolare, ne utilizza i medesimi vettori di destabilizzazione psicologica.
Il panico generato nelle chat dei genitori e fuori dai cancelli risponde perfettamente alle leggi del “contagio mentale” postulate da Gustave Le Bon. Di fronte all’evocazione viscerale di bambini in pericolo, mutilazioni e ordigni, la folla sospende l’analisi razionale. Le incongruenze logiche della minaccia passano in secondo piano, travolte dall’emozione collettiva che si propaga istantaneamente attraverso i dispositivi mobili. La smentita razionale arriva sempre troppo tardi rispetto alla velocità della paura.
Ancora più raffinata è l’applicazione inconsapevole dei principi di Edward Bernays sull’ingegneria del consenso e lo “pseudo-evento”. L’attaccante sa che la minaccia è falsa, ma sa anche che l’evacuazione sarà vera. Colpendo lo snodo burocratico della segreteria scolastica, costringe lo Stato a reagire mettendo in strada migliaia di studenti e schierando veicoli d’emergenza.
Questa reazione fisica e visibile trasforma una finzione digitale in una realtà inoppugnabile agli occhi dei cittadini. I lampeggianti e il traffico bloccato diventano la prova tangibile di un pericolo inesistente, logorando lentamente la fiducia della popolazione nella capacità delle istituzioni di garantire la normalità.
Disinnescare questa fabbrica della paura richiederà all’Italia molto più di un aggiornamento software: sarà necessario un rapido triage decisionale centralizzato, capace di spezzare l’automatismo della reazione prima che la psicosi prenda il sopravvento.
Partecipa alla community