Una giornata di caos nei cieli d’Europa
di Flavio De Septis
Giovedì 5 novembre almeno 18 voli in Europa sono stati colpiti da falsi allarmi bomba, otto dei quali da o per l’Italia. Nessun ordigno è stato trovato, ma ci sono stati dirottamenti, caccia militari in volo e bonifiche a terra in diversi scali.
È la seconda ondata in pochi giorni: già martedì 3 novembre una decina di voli commerciali europei, alcuni diretti a Roma, avevano ricevuto minacce analoghe, tutte rivelatesi false.
In Italia sono stati coinvolti Fiumicino, Malpensa e Linate:
- Dublino–Roma (Aer Lingus) e Helsinki–Roma (Finnair): l’aereo irlandese è stato dirottato su una base militare in Francia, con l’intervento di caccia francesi e italiani.
- Milano Malpensa–Varsavia (Wizz Air W4 6387): dirottato a Vienna dopo la minaccia ricevuta in volo.
- Milano Malpensa–Bucarest (Wizz Air W4 3064).
- Salonicco–Malpensa (Aegean A3 552) e Porto–Malpensa (Ryanair FR 8953): entrambi atterrati regolarmente a Malpensa, dove le verifiche non hanno trovato nulla.
- Roma–Madrid (Iberia IB 658) e Milano Linate–Madrid (Iberia IB 668): atterrati regolarmente a Barajas.
Segnalazioni simili hanno interessato voli verso Praga, Madrid e scali di Bulgaria e Polonia. Gli aeroporti italiani sono rimasti operativi.
La mail: poche righe in italiano, un conto alla rovescia
Gli allarmi sui due voli diretti a Fiumicino sono partiti da un’unica email anonima, scritta in italiano, arrivata all’alba ad Aeroporti di Roma e ad altre società dello scalo. Un messaggio simile è arrivato a un ufficio di Malpensa per i due voli in atterraggio a Milano.
Lo schema è sempre lo stesso. Il testo accusa i destinatari di complicità in un «complotto criminale», elenca numeri di volo e provenienze, annuncia un’esplosione entro 60 minuti e chiude con una frase a effetto: «Oggi il vostro cielo sarà rosso». La firma è dei «Combattenti dello Stato Maschile», che dicono di voler colpire un presunto «regime femminista».
Secondo le prime ricostruzioni, le mail sono transitate da caselle compromesse o da servizi di posta anonimizzati come Proton Mail. È il dettaglio tecnico che rende difficile risalire al mittente in tempi brevi.
Chi è lo «Stato Maschile»
La firma richiama Muzhskoye Gosudarstvo, in inglese Male State: un movimento russo ultranazionalista e misogino fondato nel 2016 dal blogger di estrema destra Vladislav Pozdnyakov. Dal 18 ottobre 2021 un tribunale russo lo ha dichiarato organizzazione estremista e ne ha vietato le attività.
Nato come comunità chiusa su VKontakte, il social russo, il gruppo vive soprattutto online. La sua tattica tipica è individuare donne, persone LGBTQ+ e stranieri che si espongono sui social, poi sommergerli di insulti e minacce. Nel 2020 VKontakte ne ha bloccato la pagina per incitamento alla violenza; nel 2021 una famiglia apparsa in una pubblicità della catena VkusVill è stata costretta a lasciare la Russia dopo una campagna d’odio.
L’ideologia mescola patriarcato, nazionalismo russo e cultura incel. Paradossalmente il movimento attacca anche il Cremlino, giudicato troppo indulgente verso le donne. Secondo il Centro internazionale per il contrasto al terrorismo dell’Aia, negli ultimi anni è diventato anche uno dei principali megafoni online della guerra in Ucraina, con contenuti antiucraini e antisemiti documentati da Bellingcat nel 2022.
Il precedente più vicino è nei Balcani. Nel 2022 ondate di falsi allarmi bomba, inviati per email a governo, ministero dell’Interno e municipio di Podgorica in Montenegro, portavano la stessa firma. Pozdnyakov ha sempre negato ogni responsabilità per quegli episodi.
Firma autentica o bandiera di comodo?
Al momento nessuno può dire se dietro le mail ci siano davvero militanti del movimento o qualcuno che ne usa il nome. Una sigla nota e già bandita è una copertura comoda: attira l’attenzione, depista e non costa nulla.
Gli inquirenti ipotizzano un coordinamento su scala europea. Sono stati attivati i canali di cooperazione internazionale per individuare i server di transito e gli indirizzi IP dei mittenti, e le prime informative sono in arrivo alle procure competenti. Non si esclude un legame con le mail dei giorni scorsi che annunciavano ordigni su altri voli e in circa 280 scuole.
Anche l’Unione europea invita alla prudenza: per Bruxelles è presto per collegare con certezza i vari episodi. Alcuni esperti di aviazione parlano invece apertamente di attacco ibrido, mentre Mosca continua a negare qualsiasi coinvolgimento in operazioni di questo tipo.
Perché un’email basta a fermare un aereo
Un falso allarme bomba è l’attacco con il miglior rapporto costo-effetto che esista. Bastano una casella anonima, un elenco di numeri di volo presi dai tabelloni pubblici e qualche minuto. Dall’altra parte si mettono in moto equipaggi, controllori di volo, aeronautiche militari, artificieri e unità cinofile.
Il punto debole non è tecnologico, è procedurale. Le compagnie e gli scali non possono permettersi di ignorare una minaccia che cita voli reali in un orario preciso: il protocollo impone di trattarla come vera finché non è smentita. L’attaccante lo sa e sfrutta proprio questa asimmetria.
Gli effetti vanno oltre il singolo volo:
- costi operativi: dirottamenti, scramble dei caccia, bonifiche, aerei e equipaggi fuori posizione;
- effetto domino sulla rete, con ritardi su tratte mai citate nelle mail;
- logoramento delle risorse di sicurezza, che a ogni ondata si abituano un po’ di più all’allarme;
- pressione psicologica su passeggeri e opinione pubblica, che è spesso l’obiettivo vero.
È lo schema della minaccia ibrida: azioni a bassa intensità, difficili da attribuire, che si sommano ad altri segnali come gli attacchi informatici contro supermercati e banche del sangue registrati negli stessi giorni. Nessun singolo episodio è grave; l’insieme serve a far percepire un Paese come vulnerabile.
Cosa si può fare, in concreto:
- Valutazione rapida e condivisa della minaccia: una cellula unica tra ENAC, ENAV, forze di polizia e compagnie che classifichi le mail con criteri comuni, per ridurre i dirottamenti non necessari senza abbassare la guardia.
- Igiene della posta in ingresso: autenticazione SPF, DKIM e DMARC applicata in modo rigoroso, caselle pubbliche separate da quelle operative e conservazione delle intestazioni complete per l’analisi forense.
- Condivisione degli indicatori a livello europeo: testi, indirizzi mittenti, orari e server di transito messi in comune in tempo reale, perché l’ondata colpisce più Paesi nello stesso momento.
- Comunicazione pubblica tempestiva: spiegare subito che le minacce non hanno trovato riscontro toglie all’attaccante la metà del risultato.
Gli aspetti cyber: cosa raccontano le mail
La campagna è tecnicamente povera ma ben progettata. Non sfrutta vulnerabilità informatiche: sfrutta le procedure di sicurezza aerea, usando la posta elettronica come unico vettore.
Il canale: posta cifrata e caselle rubate
Secondo gli inquirenti, le mail sono partite da due tipi di indirizzi, con problemi investigativi diversi.
- Servizi anonimizzati come Proton Mail. Proton è un’azienda svizzera e per legge non può consegnare dati direttamente ad autorità straniere. Serve una rogatoria internazionale che passi dalle autorità elvetiche, con tempi di settimane o mesi. Proton deve comunque rispondere agli ordini svizzeri quando l’attività è illecita anche in Svizzera.
- Caselle compromesse. Account legittimi violati, spesso con credenziali rubate da malware infostealer o comprate nei mercati criminali. Il mittente sembra affidabile, la mail supera più facilmente i filtri e le tracce portano a una vittima innocente. I log di accesso del provider restano però una pista utile.
I precedenti mostrano entrambe le facce. Nel 2020 la Russia bloccò Proton Mail dopo un’ondata di falsi allarmi bomba; nel 2024 la polizia del Tamil Nadu non riuscì a identificare chi aveva minacciato tredici scuole di Chennai. Nel 2018, invece, la britannica National Crime Agency arrestò George Duke-Cohan del gruppo Apophis Squad, autore anche di una falsa minaccia contro il volo United 949, grazie alla collaborazione tra polizie e provider.
Cosa cercano gli analisti forensi
Anche una mail anonima lascia tracce. Gli investigatori lavorano di solito su più livelli:
| Livello | Cosa si analizza | Cosa può rivelare |
|---|---|---|
| Intestazioni | catena dei server Received, Message-ID, campo Date | provider usato, server di transito, fuso orario del client |
| Autenticazione | esiti SPF, DKIM, DMARC | se il dominio mittente è reale, falsificato o compromesso |
| Tempistica | orari di invio rispetto ai voli in aria | pianificazione, uso di invii programmati, finestre operative |
| Lingua | sintassi, errori, calchi | madrelingua, traduzione automatica o testo generato con IA |
| Destinatari | indirizzi scelti e come erano reperibili | grado di ricognizione preventiva sugli obiettivi |
| Correlazione | testi e indicatori di altre ondate | legami con le mail di martedì e con quelle alle 280 scuole |
Il dettaglio dei destinatari è rivelatore. Le mail non sono andate solo ad Aeroporti di Roma ma anche a società che operano nello scalo, compresa un’azienda di logistica, e a un ufficio di Malpensa. Chi scrive ha fatto una ricognizione sugli indirizzi, verosimilmente da fonti aperte. I numeri di volo, invece, sono pubblici su qualsiasi servizio di tracciamento.
Attribuzione: il problema delle sigle
Una rivendicazione non è un’attribuzione. Nel mondo cyber è prassi che gruppi criminali o apparati statali operino dietro sigle di comodo, da hacktivisti a movimenti estremisti già noti. La firma «Stato Maschile» va quindi trattata come un indicatore da verificare, non come una prova.
Per attribuire servono elementi tecnici convergenti: infrastruttura condivisa, riuso di account, sovrapposizioni temporali, errori operativi del mittente. È il lavoro, lento, che la cooperazione internazionale attivata in queste ore dovrà fare.
Il contesto: una settimana di attacchi a basso costo
Gli allarmi arrivano mentre l’Europa affronta un’altra campagna, questa sì informatica, contro la catena del freddo. Nella notte tra l’11 e il 12 ottobre centinaia di supermercati francesi si sono trovati con i frigoriferi alterati da remoto, fino a 50 gradi. Tra l’1 e il 2 novembre lo schema si è ripetuto in sette Paesi e, in Italia, in quattro punti vendita Coop tra Catania e Palermo.
In quel caso il bersaglio sono controller di refrigerazione esposti su internet, alcuni con vulnerabilità documentate dai ricercatori di Claroty ad agosto. L’Agenzia per la cybersicurezza nazionale ha diffuso misure urgenti per la grande distribuzione.
Nessun legame tra le due campagne è stato accertato. Ma il modello è lo stesso: costo minimo per chi attacca, danno economico e di fiducia per chi subisce, attribuzione difficile. Per chi si occupa di sicurezza la lezione è che il perimetro da difendere non è più solo la rete: sono le procedure, gli impianti connessi e la percezione pubblica.
Sicurezza ibrida: unire i puntini
Presi uno per uno, gli episodi di queste settimane sembrano disturbi isolati. Letti insieme, compongono il profilo tipico di una minaccia ibrida: azioni coordinate o convergenti, sotto la soglia del conflitto armato, che colpiscono insieme il piano fisico, quello cyber e quello cognitivo.
La forza di questo modello sta in tre caratteristiche:
- ambiguità: ogni episodio ha una spiegazione alternativa plausibile, dal guasto al mitomane;
- negabilità: sigle di comodo, criminali pagati o caselle rubate tengono lontano il mandante;
- accumulo: il danno non è il singolo volo dirottato, ma la sensazione diffusa che nessuna infrastruttura sia al sicuro.
Le ultime settimane in fila
| Data | Episodio | Dominio |
|---|---|---|
| 5 novembre 2026 | Falsi allarmi bomba via mail su almeno 18 voli europei, 8 da o per l’Italia | Procedurale e cognitivo |
| 3 novembre 2026 | Minacce analoghe su una decina di voli europei, anche verso Roma | Procedurale e cognitivo |
| 1–2 novembre 2026 | Manomissione dei frigoriferi di supermercati in sette Paesi e in quattro punti vendita Coop in Sicilia | Cyber-fisico (OT) |
| Giorni precedenti | Mail con minacce di ordigni in circa 280 scuole italiane | Procedurale e cognitivo |
| 12 ottobre 2026 | Attacco ai sistemi di refrigerazione di centinaia di supermercati francesi | Cyber-fisico (OT) |
| 7 agosto 2026 | Attacco con droni all’aeroporto di Lipsia/Halle | Fisico |
Non c’è prova che questi fatti abbiano un’unica regia. Ma la tendenza è misurata. Il Munich Security Report 2026, su dati ACLED, registra una forte crescita degli episodi di sospetta attività ibrida russa contro Paesi UE e NATO dal 2022 al 2025. Nei quindici principali aeroporti tedeschi le segnalazioni di droni sono passate da 101 nel primo semestre 2025 a 166 nello stesso periodo del 2026.
Il modello operativo è cambiato. Secondo analisi riprese dall’Economist, i servizi russi hanno affidato molti sabotaggi in Europa a gruppi criminali pagati in criptovalute. La Commissione europea, nella sua analisi del 2026, segnala gli aeroporti tra i bersagli preferiti proprio per la loro visibilità simbolica. Dopo Lipsia, Ursula von der Leyen ha definito questi incidenti la nuova normalità.
Il punto debole sono le giunture
La minaccia ibrida colpisce dove le competenze si separano. In molte organizzazioni la security fisica, la sicurezza informatica, gli impianti OT e la comunicazione di crisi rispondono a funzioni diverse, con procedure, strumenti e linguaggi propri. Chi attacca gioca esattamente su questi confini.
L’ondata del 5 novembre lo mostra bene. Una delle mail non è arrivata al gestore aeroportuale ma a una società di logistica che lavora nello scalo: un fornitore, non il cuore del sistema. E un messaggio informatico ha prodotto un effetto interamente fisico: aerei dirottati e caccia in volo.
Per questo si parla sempre più di sicurezza estesa: un approccio che tratta fisico, cyber e cognitivo come un unico perimetro di rischio. Il quadro normativo spinge già in questa direzione:
- la direttiva NIS2, recepita in Italia con il d.lgs. 138/2024, include il trasporto aereo e chiede una gestione del rischio che copra tutti i pericoli;
- la direttiva CER, recepita con il d.lgs. 134/2024, impone alle entità critiche piani di resilienza anche contro minacce fisiche e ibride;
- la legge 90/2024 rafforza obblighi di notifica e ruolo dell’Agenzia per la cybersicurezza nazionale.
Cosa cambia per gestori e operatori
- Un unico tavolo di crisi. SOC, security fisica, operazioni e comunicazione devono condividere segnalazioni e decisioni in tempo reale, non per passaggi successivi.
- Scenari combinati. Le esercitazioni vanno costruite su casi ibridi: un falso allarme bomba insieme a un attacco DDoS al sito dello scalo e a una campagna di disinformazione sui social.
- Fornitori dentro il perimetro. Handler, logistica, catering e manutentori ricevono le stesse minacce e devono avere procedure di escalation verso il gestore.
- Resilienza cognitiva. Prevedere messaggi pronti per passeggeri e media riduce panico e amplificazione, che sono spesso il vero obiettivo.
- Condivisione con le autorità. I segnali deboli raccolti da ciascun operatore hanno valore solo se arrivano in fretta a chi può vedere il quadro d’insieme.
Analisi post mortem (preliminare)
Il sistema ha retto: nessun ferito, nessun ordigno, scali operativi. Ma ha retto pagando ogni volta il prezzo pieno di un allarme vero, e la stessa tecnica ha funzionato due volte in tre giorni. Quella che segue è una prima analisi in stile blameless, cioè senza colpe individuali, sui fatti noti alla sera del 5 novembre. Andrà aggiornata con l’esito delle indagini.
Sintesi dell’incidente
- Tipo: campagna di falsi allarmi bomba via email, con firma ideologica.
- Vettore: mail in italiano da caselle anonimizzate o compromesse, inviate a gestori aeroportuali e società dello scalo.
- Perimetro: almeno 18 voli in Europa, 8 da o per l’Italia; ondata precedente il 3 novembre su una decina di voli.
- Impatto: due dirottamenti per voli italiani, intercettazioni militari, bonifiche, ritardi a catena. Nessun danno a persone.
Come si è svolta la giornata
- Prime ore del mattino: arrivano le mail ad Aeroporti di Roma, ad altre società di Fiumicino e a un ufficio di Malpensa, con numeri di volo e conto alla rovescia di 60 minuti.
- In volo: scattano le procedure. Il Dublino–Roma viene dirottato su una base militare in Francia con scorta di caccia; il Malpensa–Varsavia atterra a Vienna.
- A terra: bonifiche a Malpensa, Madrid, Praga e altri scali. Tutte negative.
- Pomeriggio: diventa pubblico il testo della mail e la firma «Stato Maschile»; partono le informative alle procure e la cooperazione internazionale.
Cosa ha funzionato
- Le procedure di sicurezza sono scattate in modo coerente in più Paesi, con priorità alla tutela di passeggeri ed equipaggi.
- Il coordinamento civile-militare ha prodotto intercettazioni e dirottamenti rapidi.
- Le verifiche a terra hanno escluso la presenza di ordigni in tempi brevi e gli scali sono rimasti operativi.
- La rapida diffusione del contenuto della mail ha permesso di inquadrare la natura della minaccia già in giornata.
Cosa non ha funzionato
- Nessun effetto di apprendimento tra un’ondata e l’altra. La tecnica del 3 novembre è stata replicata con successo il 5, con lo stesso costo di risposta.
- Valutazione della minaccia non armonizzata. Ogni scalo e ogni vettore ha reagito secondo i propri criteri, con esiti diversi per minacce simili.
- Fornitori come porta d’ingresso. Almeno una mail è arrivata a una società di logistica, fuori dal circuito principale del gestore.
- Informazione frammentata. Nel corso della giornata i numeri dei voli coinvolti oscillavano tra 15, 18 e 19 a seconda della fonte; alcuni passeggeri hanno capito di essere coinvolti solo vedendo i caccia dal finestrino.
Cause radice e fattori contribuenti
- Asimmetria di costo: inviare una mail costa pochi minuti; rispondere mobilita equipaggi, aeronautiche e artificieri.
- Protocolli binari: una minaccia che cita voli reali con un orario preciso va trattata come vera, senza un livello intermedio basato su indicatori di credibilità condivisi.
- Canale aperto: indirizzi di contatto pubblici e servizi di posta anonimi permettono di raggiungere gli obiettivi senza esporsi.
- Attribuzione lenta: la rogatoria internazionale verso i provider richiede settimane, mentre la campagna si ripete in giorni.
Azioni correttive proposte
| Azione | Chi | Orizzonte |
|---|---|---|
| Criteri europei comuni per valutare la credibilità delle minacce via mail, con livelli intermedi di risposta | ENAC, EASA, Commissione UE | Medio termine |
| Condivisione in tempo reale di testi, mittenti e indicatori tra scali e Paesi colpiti | Autorità nazionali, Europol | Immediato |
| Procedure di escalation obbligatorie per handler, logistica e altri fornitori dello scalo | Gestori aeroportuali | Breve termine |
| Messaggi pre-approvati per passeggeri a bordo e a terra in caso di dirottamento per minaccia | Compagnie aeree, gestori | Breve termine |
| Canali rapidi di cooperazione con i provider di posta, per i casi che coinvolgono la sicurezza aerea | Ministeri dell’Interno e della Giustizia, Polizia Postale | Medio termine |
| Esercitazioni su scenari ibridi combinati, con minacce ripetute a breve distanza | Gestori, ENAV, forze di polizia, Aeronautica Militare | Breve termine |
Domande ancora aperte
- Le due ondate del 3 e del 5 novembre e le mail alle scuole hanno lo stesso mittente?
- La firma «Stato Maschile» è autentica o è una copertura?
- Esiste un collegamento operativo con gli attacchi informatici ai supermercati?
- Quanto è costata la giornata, tra carburante, dirottamenti, ritardi e risorse militari?
I diritti di chi era a bordo
Chi ha subito ritardi, cancellazioni o dirottamenti mantiene sempre il diritto all’assistenza previsto dal Regolamento UE 261/2004: pasti, bevande, comunicazioni e, se serve, sistemazione in hotel e riprotezione su un altro volo. Le minacce rientrano però tra le circostanze straordinarie non imputabili al vettore, quindi per i voli direttamente coinvolti non spetta la compensazione pecuniaria. Il discorso può cambiare per i voli rimasti a terra per l’effetto a catena, da valutare caso per caso.
