Allarmi bomba nelle scuole: la circolare del Viminale sulle email

Il 13 novembre il Ministero dell’Interno ha inviato a prefetti e questori una circolare firmata da Matteo Piantedosi: le minacce di attentato spedite con email di massa vanno considerate, di regola, inattendibili, a meno che emergano altri elementi concreti di pericolo. La direttiva segue le ondate di falsi allarmi bomba che l’11 e il 12 novembre hanno raggiunto migliaia di scuole italiane, con evacuazioni e lezioni interrotte. Intanto le analisi sulle email chiariscono che i messaggi partivano da account universitari rubati e che gli indirizzi dei destinatari erano pubblici.^[1][2][3]

In breve

• La circolare del Viminale: un’email seriale da sola non basta a decidere un’evacuazione.
• Il 12 novembre le evacuazioni sono calate: 77 su 3.778 scuole raggiunte, secondo Palazzo Chigi.
• Gli account usati erano di due università, a Taiwan e in Egitto, già compromessi da tempo.
• Gli indirizzi delle scuole sarebbero stati presi dai dati aperti del Ministero dell’Istruzione.

Che cosa stabilisce la circolare del Viminale?

Dopo due giorni di evacuazioni a macchia di leopardo, il Viminale ha fissato un criterio comune. Secondo la circolare di Piantedosi, un messaggio identico spedito a molti destinatari non basta, da solo, a disporre lo sgombero di un edificio. Servono elementi ulteriori: come riporta l’ANSA, possono essere il ritrovamento di oggetti sospetti, anomalie nelle immagini di videosorveglianza o precedenti segnalazioni sullo stesso obiettivo. La verifica spetta al questore, mentre l’eventuale evacuazione va proposta al prefetto. Il coordinamento nazionale è affidato al Centro Situazioni del Dipartimento della pubblica sicurezza, attivo 24 ore su 24.^[1]

Il testo, però, lascia aperta una questione di metodo. Secondo Punto Informatico, la circolare tiene separate le minacce e gli attacchi informatici: le prime non rientrano tra gli eventi cyber e restano fuori dall’ambito dell’atto. Il documento ricorda inoltre che, se ne ricorrono i presupposti, si configura il reato di procurato allarme. Il giornale si chiede però quando un’email possa dirsi seriale: bastano una decina di copie o ne servono migliaia? Una reazione tempestiva, scrive, era necessaria ed è arrivata; se sia anche la migliore possibile è un altro discorso.^[3]

Le nuove indicazioni hanno cambiato qualcosa?

I numeri del 12 novembre offrono un primo riscontro. In quella data, dopo le indicazioni date al mattino dal governo a prefetti e dirigenti scolastici, le scuole raggiunte da minacce via email sono state 3.778, secondo i dati provvisori di Palazzo Chigi. Le evacuazioni sono state 77 e in 36 di queste l’attività didattica è ripresa nella stessa mattinata. A conti fatti, 77 su 3.778 sono circa il 2% delle scuole raggiunte. La nota, diffusa al termine del Comitato interministeriale per la sicurezza della Repubblica, parla di un forte calo delle evacuazioni rispetto al giorno prima.^[4]

L’11 novembre il quadro era stato molto diverso. Quel giorno, secondo Punto Informatico, le email erano arrivate a circa 6.300 scuole, con evacuazioni da Nord a Sud e migliaia di studenti fuori dalle aule, come ricorda il Corriere. Non è stato trovato alcun ordigno. Tomshw riferisce che, il 12 novembre, al liceo scientifico di Bravetta a Roma gli studenti hanno protestato contro la dirigente che non aveva evacuato, chiedendo direttive nazionali: una richiesta a cui la circolare del 13 novembre risponde con un criterio uniforme.^[5][6][2]

Da dove arrivavano le email?

Sul fronte tecnico, le prime ricostruzioni indicano mittenti reali ma ignari. Gli esperti della società di sicurezza Hudson Rock hanno individuato due indirizzi collegati alla Da-Yeh University di Taiwan e alla Facoltà di Odontoiatria della Kafrelsheikh University in Egitto. Secondo Punto Informatico, quello egiziano era finito in un archivio generato dal malware Vidar, un infostealer, cioè un programma che copia le password salvate nel browser dei computer infettati. Tomshw data quell’archivio al 1° ottobre 2021. L’indirizzo taiwanese compare invece in AlienTXTBASE, raccolta di dati rubati aggiunta da Troy Hunt a Have I Been Pwned nel febbraio 2025.^[2][7]

Resta il limite che gli stessi ricercatori mettono in evidenza. L’ateneo di Taiwan ha confermato un invio anomalo di messaggi dall’account di un ex studente e lo ha sospeso. Hudson Rock precisa però, riporta Tomshw, che l’età dei dati dimostra l’esposizione e non un accesso continuativo: per provare che proprio quelle credenziali siano state usate servirebbero intestazioni complete dei messaggi e registri dei provider. Le procure di Milano e Roma indagano per procurato allarme, pubblica intimidazione e minacce aggravate.^[2][7]

Come sono stati trovati gli indirizzi delle scuole?

Intanto, sulla scelta dei destinatari, DDay avanza un’ipotesi basata sui dati pubblici. Secondo DDay, i destinatari non erano casuali: confrontando le email pubblicate con il file CSV del Portale Unico dei Dati della Scuola del Ministero dell’Istruzione e del Merito, la sequenza coincide. Mancavano le scuole della Valle d’Aosta e delle province autonome di Trento e Bolzano, che nel portale stanno in un file separato. Per la testata un semplice automatismo avrebbe letto blocchi di record dai dati aperti, inviato il messaggio e proceduto oltre. Tomshw riferisce la stessa ipotesi sull’origine degli indirizzi, mentre il Corriere ricorda che ogni scuola statale pubblica sul proprio sito una casella istituzionale.^[5][8][7]

In sintesi

Il quadro, allora, si può riassumere in pochi punti. La circolare del 13 novembre sposta il criterio di decisione: un’email identica inviata a molti non basta a evacuare, servono riscontri concreti. Il 12 novembre, con 3.778 scuole raggiunte, le evacuazioni sono state 77, contro le circa 6.300 scuole colpite l’11 novembre. Gli account usati, di università di Taiwan ed Egitto, erano stati rubati anni prima, mentre gli indirizzi delle scuole sarebbero stati presi dai dati pubblici del Ministero. Sull’origine dei messaggi indagano le procure di Milano e Roma.^[1][4][2][7]

Fonti

1. hwupgrade: Allarmi bomba nelle scuole, il Viminale: le email di massa non bastano per decidere le evacuazioni
2. Punto Informatico: Falsi allarmi bomba: email inviate con account universitari
3. Punto Informatico: La circolare del Viminale sugli allarmi bomba è un filtro antispam
4. ANSA Tecnologia: Palazzo Chigi, allarmi bomba in 3.788 scuole, solo 77 evacuate
5. Corriere Tecnologia: Come si fa a riconoscere una mail falsa? Una guida pratica, dopo gli allarmi bomba nelle scuole italiane
6. Tomshw Altro: Altro giorno, altro allarme bomba nelle scuole italiane: cosa sappiamo
7. Tomshw Altro: Le email usate per gli allarmi bomba sono state rubate diversi anni fa (e si conoscevano)
8. DDay: Allarmi bomba: ecco da dove arrivano gli indirizzi email delle scuole usati per le minacce