Nuovi allarmi nelle scuole, un’altra giornata di caos. “Mail da Taiwan e Filippine”

L’illusione flebile che fosse tutto finito si è infranta alle 9.39 di ieri mattina. Dopo le 6300 mail di mercoledì ad altrettante scuole italiane, ieri ne sono state recapitate 3788. «L’edificio è stato minato e in questo preciso momento la vostra vita è in pericolo». Così si leggeva nella nuova lettera firmata dal solito, sedicente Mikhail Andropov. Un bluff che di nuovo ha costretto presidi e prof a interrompere le lezioni, liceali a rientrare a casa, bambini a stazionare sui marciapiedi in attesa dei genitori.

Sembrava fosse coinvolta solo Palermo, da cui è partito il primo allarme, con lo sgombero del liceo Umberto I. A mano a mano sono arrivate migliaia di segnalazioni: Milano, Napoli, Roma, Firenze, Modena, Potenza, Otranto, Venezia e più su fino in Francia (almeno tre scuole e la stazione di Calais).

E se più contenuta è stata la capillarità dell’offensiva digitale, più ordinata è stata pure la reazione: Palazzo Chigi ha contato solo 77 scuole evacuate, in 36 di queste le lezioni sono riprese dopo i controlli. Hanno funzionato le indicazioni arrivate, dopo il mercoledì di panico, dal governo. Ha contato il mancato effetto sorpresa del giorno prima. Ha pesato la replica del fake, quella firma fasulla che ha rivendicato tutti i finti allarmi bomba: Mikhail Andropov.

Stavolta però qualcosa è cambiato: il contenuto della mail, la provenienza, gli obiettivi e la strategia. La lettera annunciava vari ordigni, anche a Palazzo Chigi. E chiedeva le dimissioni di Giorgia Meloni, «altrimenti ve ne pentirete». Per simulare non fosse uno scherzo, il mittente annunciava che una bomba, con vittime, fosse già esplosa: altra bufala. E poi scendeva nei dettagli dell’ordigno, conservato sottovuoto e «realizzato con una miscela di nitrato di ammonio e nitrometano» e «numerosi frammenti metallici». Un messaggio più violento e preciso dei precedenti, meno sgrammaticato. Ma a cambiare non è solo il lessico, anche la tattica.

L’ultima ondata di mail è stata mandata, tra le 9.39 e le 10.49, da indirizzi diversi, almeno tre sono delle Filippine, uno è pakistano, tutti sembrano riconducibili a docenti, studenti e tecnici realmente esistenti. La lista dei destinatari, sebbene spezzettata in più invii, invece è rimasta la stessa. Ed è un indizio. Le ipotesi sono due: una limitazione tecnica degli account, che non supportano invii multipli, o una rotazione voluta per aggirare i filtri antispam e complicare l’interruzione della campagna di swatting.

Nei giorni scorsi le autorità filippine avevano lanciato allarme: qualcuno è riuscito a “bucare” i siti di almeno dieci enti governativi, per questo la National privacy commission aveva pubblicamente invitato a diffidare dei messaggi in arrivo da indirizzi apparentemente istituzionali. Gli investigatori sono al lavoro. Anche a Taiwan, da dove è partita la mail che ha scatenato la prima valanga di allarmi bomba, sono partite le indagini. Nei file di log, i registri digitali degli account, potrebbero essere rimaste le impronte di chi li ha bucati. Certo, quasi certamente schermate da vpn private, reti Tor o server affittati, ma anche lì qualche traccia potrebbe esserci e potrebbe aiutare a capire se ci sia davvero un unico attore dietro le azioni che hanno portato il caos nelle scuole e nei cieli.

È questo il nodo da sciogliere e su cui si stanno concentrando gli investigatori non solo in Italia, ma in tutti i Paesi europei colpiti dagli attacchi. I canali di coordinamento investigativo sono stati attivati, mentre le procure al momento stanno procedendo in autonomia. A Milano e a Roma, il fascicolo è stato aperto dall’Antiterrorismo, anche per centralizzare quanto meno le indagini di distretto. Ma non è escluso che, come nel caso dell’attacco ai frigoriferi, entri in campo la Direzione nazionale.