di Flavio De Septis
Una mail, centinaia di istituti evacuati da Nord a Sud, una firma che richiama il Cremlino sovietico. Questa è la terza ondata in poco più di tre settimane. Si aggiunge ai falsi allarmi sui voli e agli attacchi informatici ai supermercati e disegna una strategia che punta meno a far danni materiali e più a logorare la fiducia.
Questa mattina, verso le 9.50, una mail con minacce di attentati esplosivi ha raggiunto centinaia di scuole italiane. In pochi minuti molti presidi si sono trovati a dover sospendere le lezioni e far uscire alunni, docenti e personale. Tra gli istituti coinvolti ci sono scuole di Roma, Milano, Napoli e Bologna. Nel giro di un’ora la mappa copriva quasi tutto il Paese: decine di scuole nel Vicentino, il liceo Torelli e il Polo 3 a Fano, il Campus scolastico a Pesaro, istituti da Cagliari a Sassari. A Modena sono stati evacuati almeno cinque istituti superiori e una primaria, più due superiori a Vignola e Sassuolo. In Liguria decine di scuole sono state svuotate, soprattutto a Genova e Sanremo, compreso un asilo a Roma anche il LIceo Augusto.
Anche il bilancio è cresciuto con il passare delle ore. A metà mattina si parlava di un centinaio di istituti. Poi il ministro dell’Istruzione Giuseppe Valditara ha dato la cifra di oltre 300 scuole raggiunte dall’e-mail che annunciava un’esplosione imminente. L’ultimo dato del ministro è 312, da considerare come ordine di grandezza finché non arriveranno i numeri consolidati. Le bonifiche non hanno trovato nulla. Fonti di governo riferiscono che dalle verifiche non emerge alcun elemento che faccia pensare a un pericolo concreto.
Il testo e la firma
Il messaggio è scritto per far paura e insieme per essere riconosciuto. Il mittente sostiene di aver lasciato nell’edificio un potente ordigno in un sacchetto di plastica con innesco a distanza e promette un genocidio contro gli italiani. La firma è il primo indizio da leggere: Mikhail Andropov, che si presenta come “leader del Vilajat del Misoginistan”. È un miscuglio voluto. “Vilayat” è un termine dell’amministrazione islamica che il jihadismo ha fatto proprio. “Misoginistan” rimanda all’estremismo misogino. Il cognome è quello di uno dei capi più noti della storia sovietica.
«Questo è Mikhail Andropov, leader del Vilayat di Misoginistan. Siamo venuti per annientarvi. Metteremo in atto un genocidio contro gli italiani.
Mi sono preparato a lungo per questo: uccidere ognuno di voi. Ho appena lasciato nel vostro edificio, all’interno di un sacchetto di plastica, un potente ordigno esplosivo con innesco a distanza.
L’ho posizionata in modo tale che l’onda d’urto si propaghi in tutto l’edificio. Di voi rimarranno solo ossa e una poltiglia sanguinolenta. Inoltre, abbiamo piazzato una bomba nel motore dell’auto del vostro primo ministro. Dopodiché finiremo i sopravvissuti a coltellate.»
Il nome non è nuovo. Già la settimana scorsa Reuters aveva fatto notare che il cognome è lo stesso di Yuri Andropov, capo del KGB e poi segretario generale del PCUS, e che l’oggetto delle mail inviate alle televisioni, “Messaggio all’Occidente”, ricalca il titolo di una sua biografia uscita negli Stati Uniti nel 1983. Quelle mail erano arrivate il 6 novembre all’irlandese RTÉ, a Sky nel Regno Unito e alla bulgara Nova TV, con la rivendicazione dei falsi allarmi sui voli europei. Un riferimento così scoperto non chiude il caso, anzi lo complica. Gli investigatori si chiedono se sia la traccia di una regia russa o un modo per indirizzare i sospetti verso Mosca. Fonti investigative citate dal Fatto Quotidiano considerano per ora inattendibile la rivendicazione, in linea con l’ipotesi di depistaggio emersa la settimana scorsa.
Lo stesso vale per la provenienza. Secondo la ricostruzione di Repubblica, in alcuni casi la casella del mittente appartiene alla Dayeh University di Taiwan, un dato che però dice poco sulla reale origine. Chi lavora nella sicurezza informatica lo sa bene. Una casella universitaria compromessa, o un dominio usato come trampolino, è un’infrastruttura comoda: costa poco, è difficile da bloccare in anticipo e dà alle mail l’aspetto di una fonte istituzionale. Sul fronte investigativo Polizia postale e Digos stanno lavorando per risalire all’origine della mail.
Tre ondate in tre settimane
Per capire il senso di quanto accaduto oggi bisogna metterlo in sequenza. Il 19 ottobre mail arrivate a cento scuole italiane annunciavano una serie di attacchi terroristici “con il permesso di Allah”. Le evacuazioni avevano interessato Arezzo, Padova e Verona, oltre a undici plessi dell’Oltreserchio lucchese. Già allora la cosa non riguardava solo l’Italia. Lo stesso giorno gli allarmi erano scattati in centinaia di scuole in Irlanda del Nord, Scozia, Ungheria e Serbia. In Irlanda del Nord la polizia aveva spiegato che i messaggi “provenivano dall’esterno del Regno Unito”.
Il 2 novembre è arrivata la seconda ondata. Molti istituti erano chiusi per la commemorazione dei defunti quando nelle caselle istituzionali sono comparse mail firmate da un fantomatico “corpo delle guardie della rivoluzione islamica”. Una sola mail raggiungeva 271 scuole. Le evacuazioni si erano concentrate fra Veneto, Lombardia, Liguria e Lazio.
Lo stesso giorno, prima dell’alba, la minaccia era passata dal piano simbolico a quello fisico. Verso le 4 del mattino del 2 novembre il sistema di monitoraggio dei banchi surgelati di cinque supermercati Coop italiani ha smesso di funzionare come previsto. Era la parte italiana di un attacco ai sistemi di refrigerazione che fra il 2 e il 3 novembre ha colpito Belgio, Estonia, Germania, Irlanda, Italia, Lussemburgo, Paesi Bassi, Portogallo e Svezia. Il 4 novembre NoName057(16) e Z-Pentest, due gruppi filorussi, hanno rivendicato gli attacchi con un video, che finora non ha avuto riscontri indipendenti.
Poi è stata la volta dei cieli. Il 5 novembre si sono contati almeno 18 allarmi bomba sui voli europei, comprese grandi rotte italiane. La mail arrivata agli scali italiani era firmata “combattenti dello Stato Maschile”, scritta in italiano e inviata ad Aeroporti di Roma e ad altre società di Fiumicino. La sigla rimanda a un movimento estremista misogino nato in Russia nel 2016, fondato dal blogger Vladislav Pozdnyakov e messo al bando in Russia nel 2021. Però un account Telegram legato a Pozdnyakov ha deriso l’ipotesi parlando al servizio russo della BBC, e la firma da sola non dimostra nulla. In serata a Roma si è proceduto per procurato allarme, con un fascicolo assegnato al pm Enrico Pavone del pool antiterrorismo.
Oggi gli stessi elementi tornano tutti insieme: la retorica islamista delle prime due ondate, la misoginia dello “Stato Maschile” e il nome “Andropov” della rivendicazione alle televisioni. Che sia un unico autore o più attori che si imitano, il risultato è una nebbia attributiva costruita con cura.
Le reazioni del governo
Le istituzioni hanno cercato di raffreddare la situazione, ma non tutte con la stessa lettura. Valditara ha insistito sulla calma. Ha detto a La7 che dal contenuto della mail è evidente come il rischio concreto sia pressoché inesistente, e che l’elevato numero di scuole coinvolte ne dimostra la scarsa attendibilità. Al tempo stesso ha parlato di “una strategia” legata agli allarmi e agli attacchi informatici delle ultime settimane contro voli, supermercati e forse anche ospedali. Il ministro della Difesa Guido Crosetto ha descritto gli allarmi come parte di una strategia per seminare preoccupazione, e ha sottolineato che le forze dell’ordine devono saper distinguere le minacce serie dagli scherzi dei mitomani. Il ministro dell’Interno Matteo Piantedosi è stato più prudente: “È prematuro parlare di regia comune”. Eppure proprio il Viminale, il giorno prima, aveva riunito i vertici della sicurezza sulla minaccia cyber, concludendo che alcuni attacchi servono a diffondere allarmi infondati e a logorare la reputazione delle istituzioni.
La presidente del Consiglio Giorgia Meloni ha convocato per il pomeriggio un vertice a Palazzo Chigi con i servizi e i ministri Crosetto e Piantedosi. Anche gli studenti hanno preso posizione. La Rete degli Studenti Medi del Lazio ha osservato che è inconcepibile che una semplice mail possa seminare panico in tutta la penisola e ha rilanciato lo sciopero studentesco del 20 novembre.
Perché è una minaccia ibrida
Parlare di minaccia ibrida non vuol dire avere già un colpevole. Vuol dire riconoscere un metodo. Nessuna bomba trovata, nessun ferito, eppure in una sola mattina centinaia di comunità scolastiche si sono fermate. Migliaia di famiglie sono state in apprensione, artificieri e unità cinofile sono stati spostati da un capo all’altro del Paese e le linee telefoniche di questure e prefetture sono state messe sotto pressione. Il costo per chi attacca è quasi nullo: un testo, una lista di indirizzi pubblici, una casella compromessa. Il costo per chi si difende si misura in ore di lavoro, risorse sottratte ad altri compiti, lezioni perse e soprattutto fiducia consumata.
Il bersaglio vero non è l’edificio ma la normalità. La scuola, come il supermercato sotto casa o il volo per le vacanze, è un luogo della vita di tutti i giorni che si dà per sicuro. Colpirla in modo ripetuto e plateale serve a far passare un messaggio preciso: niente è al riparo e lo Stato insegue. C’è poi un secondo effetto, più sottile. Ogni ondata mette alla prova i tempi e i protocolli della risposta, e ogni dirigente che evacua o non evacua offre a chi osserva informazioni su come reagisce il sistema. Le firme contraddittorie, fra jihadismo, misoginia e nostalgia sovietica, fanno parte della stessa logica. Se l’opinione pubblica non riesce a dare un nome all’avversario, anche la risposta politica fatica a prendere forma.
Il rischio più serio, sul lungo periodo, è l’assuefazione. Se gli allarmi diventano rumore di fondo, il giorno in cui arriverà una minaccia vera sarà più difficile prenderla sul serio. Per questo l’equilibrio indicato da Crosetto, cioè distinguere senza sottovalutare, è il punto decisivo.
Che cosa serve adesso
La lezione di queste settimane è che le scuole non possono essere lasciate sole davanti a una mail alle dieci del mattino. Serve un protocollo nazionale di valutazione della minaccia, uguale per tutti gli istituti, che permetta ai dirigenti di sapere in pochi minuti, insieme a prefetture e forze dell’ordine, se un messaggio fa parte di un’ondata già nota. Serve un canale di allerta centralizzato, perché quando lo stesso testo arriva a trecento caselle la notizia più utile per ogni preside è proprio questa. In Slovenia, durante episodi simili, un dirigente scolastico aveva osservato che nelle emergenze non c’è il tempo di leggere le e-mail, e aveva proposto che ministero o polizia comunicassero con le scuole tramite telefoni di servizio. Servono anche filtri di posta e procedure di segnalazione a livello di rete scolastica, con un ruolo più attivo dell’Agenzia per la cybersicurezza nazionale anche nei confronti di un settore che finora è stato percepito come marginale rispetto alle infrastrutture critiche.
Infine serve comunicazione. Spiegare con chiarezza a famiglie e studenti come funzionano queste campagne è già una forma di difesa, perché toglie alla paura il suo effetto moltiplicatore. Le minacce ibride funzionano finché riescono a dividerci fra chi si allarma e chi minimizza. Una risposta coordinata, sobria e trasparente è il modo più efficace per togliere loro terreno.
