Dopo le migliaia di mail minatorie dell’11 e 12 novembre, arrivano indicazioni nazionali per la gestione delle emergenze. Un’analisi di AgendaDigitale.eu evidenzia le criticità nel coordinamento tra istituzioni e scuole, mentre Valerio Pastore, Founder di CyberGrant Inc., richiama l’attenzione sulla vulnerabilità della posta elettronica e sulla protezione dei dati degli studenti.

Una mail può bastare a interrompere le lezioni in centinaia di scuole, mobilitare le forze dell’ordine e mettere in allarme migliaia di famiglie. È quanto accaduto l’11 e il 12 novembre, quando due successive ondate di messaggi minatori hanno raggiunto gli istituti scolastici italiani, provocando evacuazioni, controlli degli artificieri e decisioni differenti da parte dei dirigenti scolastici. Il Governo è intervenuto con un protocollo operativo nazionale per uniformare la gestione delle segnalazioni. Ma quanto accaduto pone interrogativi che vanno oltre la risposta immediata all’emergenza. Le scuole dispongono di informazioni sufficientemente tempestive per distinguere una minaccia credibile da un falso allarme? E quanto sono sicuri i canali digitali attraverso i quali transitano ogni giorno comunicazioni istituzionali e dati personali degli studenti?

A mettere a fuoco questi aspetti sono due contributi che affrontano la vicenda da prospettive differenti. Un approfondimento pubblicato da AgendaDigitale.eu ricostruisce le difficoltà di coordinamento e comunicazione emerse durante le giornate di allarme, anche attraverso il confronto con quanto avvenuto in altri Paesi europei. CyberGrant Inc., concentra invece la propria analisi sulla vulnerabilità della posta elettronica scolastica e sulla necessità di proteggere maggiormente le comunicazioni riservate. Due letture che convergono su una questione centrale per il sistema d’istruzione: la sicurezza delle scuole non riguarda più soltanto gli edifici, ma anche l’affidabilità delle informazioni e degli strumenti digitali utilizzati quotidianamente.

Il protocollo del Governo: niente evacuazioni automatiche per le mail massive

Dopo le giornate di emergenza, la Presidenza del Consiglio ha comunicato la definizione di un protocollo operativo comune per la gestione delle segnalazioni di allarme, nell’ambito del Comitato interministeriale per la sicurezza della Repubblica.

Secondo quanto riportato nella nota ufficiale del Governo, il protocollo è già operativo e applicato a tutte le amministrazioni. Il principio generale è che, in assenza di elementi concreti ulteriori rispetto alla semplice ricezione di una mail massiva, non si proceda all’evacuazione degli edifici. Resta comunque ferma la facoltà del Prefetto di disporre misure di evacuazione quando siano disponibili elementi specifici che configurino una situazione di effettivo rischio.

Il Ministero dell’Istruzione e del Merito ha inoltre diramato il 12 novembre una circolare alle istituzioni scolastiche.

L’obiettivo è evitare che comunicazioni seriali, prive di ulteriori riscontri, provochino automaticamente l’interruzione delle lezioni e la mobilitazione delle forze dell’ordine. Una risposta che interviene su una delle principali difficoltà emerse durante l’emergenza: la necessità, per i dirigenti scolastici, di assumere decisioni in tempi molto brevi, spesso senza poter valutare autonomamente l’effettiva attendibilità della minaccia.

Gli allarmi erano già noti: dalle prime segnalazioni alle migliaia di scuole coinvolte

Come ricostruisce AgendaDigitale.eu, gli episodi dell’11 e del 12 novembre erano stati preceduti da altre due ondate di minacce telematiche.

Il 19 ottobre erano state interessate circa cento scuole, mentre il 2 novembre i messaggi avevano raggiunto 271 istituti.

Il 5 novembre, rispondendo a un’interrogazione parlamentare nella Commissione Affari costituzionali della Camera, la sottosegretaria all’Interno Wanda Ferro aveva confermato gli episodi, precisando che i controlli effettuati negli edifici avevano dato esito negativo.

La risposta del Viminale segnalava inoltre che «Analoghi episodi sono stati registrati, nel medesimo periodo, anche in altri Paesi europei».

La dimensione internazionale del fenomeno era dunque già conosciuta dalle autorità, come emerge dal resoconto ufficiale della Camera del 5 novembre, relativo all’interrogazione 5-05958. L’11 novembre si è verificato un salto di dimensioni. Intorno alle 9.50 una mail minatoria, firmata con il nome di Mikhail Andropov, è stata inviata a circa 6.300 istituti scolastici italiani.

Alle 12.15, secondo quanto riportato da Reuters, erano già almeno 300 le scuole evacuate. Il giorno successivo un messaggio analogo ha raggiunto circa 1.800 istituti, questa volta attraverso più indirizzi associati a domini delle Filippine.

I controlli effettuati non hanno portato all’individuazione di ordigni, ma le conseguenze organizzative sono state rilevanti.

In Piemonte, per esempio, la Regione ha registrato 463 segnalazioni, con evacuazioni in circa il 20% delle strutture interessate. Numeri che mostrano quanto possa essere esteso l’impatto di un’azione realizzata attraverso la posta elettronica, anche quando non viene accertato un pericolo concreto.

Dirigenti scolastici davanti a scelte diverse: il problema del coordinamento

Uno dei punti centrali dell’analisi di AgendaDigitale.eu riguarda la difformità delle risposte adottate dagli istituti durante le prime ore dell’emergenza.

A Bologna, per esempio, la dirigente del liceo Copernico, Claudia Giaquinto, ha raccontato di aver disposto l’evacuazione “in assenza di una direttiva”, dopo essersi confrontata con i responsabili della sicurezza.

Come ricostruito da Repubblica Bologna, diversi dirigenti si trovavano riuniti alla conferenza regionale dei servizi quando sono arrivate le comunicazioni minatorie. Il direttore dell’Ufficio scolastico regionale, Bruno Di Palma, ha spiegato di aver invitato i presidi a decidere dopo un confronto con le forze dell’ordine.

A Potenza, invece, alcuni istituti hanno proseguito regolarmente le lezioni dopo aver ricevuto indicazioni dalla Questura. La dirigente Daniela Novelli ha riferito all’ANSA che la Polizia postale aveva già preallertato alcune scuole sulla possibilità di ricevere messaggi minatori falsi.

Una situazione analoga si è verificata a Milano, dove l’Istituto comprensivo Pasquale Sottocorno ha comunicato alle famiglie la decisione di mantenere le attività didattiche dopo un confronto telefonico con il 112, come si legge nella circolare pubblicata l’11 novembre.

Non sono mancati, tuttavia, casi di difficoltà nei contatti con le autorità, come quello di una dirigente milanese che ha raccontato di aver tentato ripetutamente di raggiungere la Polizia postale, ricorrendo infine a una comunicazione tramite PEC.

L’approfondimento di AgendaDigitale.eu invita a non interpretare automaticamente queste differenze come prova dell’assenza di un coordinamento centrale. Evidenzia però la necessità di verificare quanto rapidamente le valutazioni delle autorità siano state trasmesse ai territori e alle singole scuole.

Il punto, per i dirigenti, non è soltanto sapere quale decisione assumere, ma poter contare su informazioni ufficiali, aggiornate e immediatamente riconoscibili.

Il confronto europeo: cosa è accaduto in Irlanda, Scozia e Irlanda del Nord

Per valutare la gestione italiana, AgendaDigitale.eu richiama anche le risposte adottate in altri Paesi europei interessati da minacce analoghe.

In Irlanda, la Garda Síochána ha giudicato non credibili i messaggi ricevuti dagli istituti, comunicando che non era necessario procedere all’evacuazione sulla sola base delle mail. Alcune scuole avevano comunque già disposto uscite precauzionali prima della valutazione delle autorità, come ricostruito dall’emittente pubblica RTÉ.

In Irlanda del Nord, dove oltre 300 scuole hanno segnalato comunicazioni simili, il Police Service of Northern Ireland ha classificato la minaccia come un falso allarme, mantenendo il raccordo con le autorità educative.

Anche in Scozia si sono verificate inizialmente numerose evacuazioni. Nelle Highlands, 196 scuole hanno ricevuto i messaggi e molte hanno fatto uscire gli studenti in attesa di indicazioni.

Successivamente Police Scotland ha chiarito che il contenuto delle mail, da solo, non giustificava l’evacuazione.

Il confronto mostra che le difficoltà non hanno riguardato esclusivamente l’Italia. In diversi contesti, tuttavia, le autorità di polizia hanno diffuso valutazioni generali sull’attendibilità delle minacce, accompagnandole con indicazioni operative per le scuole.

La comunicazione istituzionale nelle emergenze: perché la tempestività è decisiva

L’altro aspetto evidenziato da AgendaDigitale.eu riguarda la comunicazione pubblica. Nelle prime ore dell’11 novembre, mentre in molte scuole erano già in corso evacuazioni, famiglie e studenti cercavano informazioni attraverso chat, telefonate e comunicazioni dei singoli istituti. Le rassicurazioni pubbliche del Governo sono arrivate successivamente alle prime centinaia di evacuazioni.

Non è possibile stabilire, sulla sola base degli orari delle dichiarazioni pubbliche, quando le singole autorità territoriali abbiano ricevuto le valutazioni operative. Resta però il problema della tempestività e dell’uniformità delle informazioni destinate alla comunità scolastica. L’approfondimento richiama il concetto di comunicazione strategica, o StratComm, intesa come capacità delle istituzioni di coordinare decisioni, messaggi e comportamenti per costruire un quadro informativo condiviso durante le crisi.

Non si tratta soltanto di diffondere comunicati, ma di chiarire chi comunica, attraverso quali canali e con quale frequenza, distinguendo le informazioni verificate da quelle ancora in fase di accertamento.

È un approccio coerente con le iniziative dell’Unione europea per la tutela dell’integrità dello spazio informativo, che sottolineano l’importanza del coordinamento istituzionale e della capacità di contrastare la manipolazione delle informazioni.

Secondo la ricostruzione di AgendaDigitale.eu, nelle ore iniziali dell’emergenza italiana non sarebbe emersa una comunicazione pubblica univoca e tempestiva attraverso i canali ufficiali delle principali forze di polizia, mentre informazioni e indicazioni venivano diffuse da Prefetture, Regioni, Comuni e singole scuole.

Un elemento che merita attenzione, perché nelle situazioni di emergenza la qualità della comunicazione incide direttamente sulla capacità di prendere decisioni e sulla fiducia delle famiglie nelle istituzioni.

Il problema è anche la vulnerabilità della posta elettronica scolastica

Accanto alle criticità organizzative e comunicative, emerge un secondo fronte: quello della sicurezza informatica. A richiamare l’attenzione su questo aspetto è Valerio Pastore, Founder di CyberGrant Inc., che nella sua analisi parte dagli allarmi bomba per evidenziare i limiti della posta elettronica come strumento di comunicazione istituzionale.

Secondo i primi accertamenti riportati da Pastore, il messaggio dell’11 novembre sarebbe partito da un account associato alla Da-Yeh University di Taiwan, appartenente a un’ex studentessa e compromesso già nei mesi precedenti. Il dettaglio è rilevante perché una comunicazione proveniente da una casella autentica, ma violata, può superare i controlli tecnici che verificano la legittimità del dominio del mittente.

Il messaggio può quindi apparire attendibile pur essendo stato inviato da un soggetto non autorizzato. Pastore richiama inoltre un altro elemento: gli indirizzi delle scuole statali italiane sono pubblicamente disponibili negli elenchi ministeriali. La pubblicazione risponde a esigenze di accessibilità e trasparenza e non rappresenta, di per sé, una vulnerabilità. Il problema nasce quando lo stesso canale, necessariamente aperto verso l’esterno, viene utilizzato anche per comunicazioni riservate e istruzioni operative che richiedono un livello di sicurezza più elevato.

Nelle caselle delle scuole transitano anche dati sensibili degli studenti

L’analisi di Pastore richiama un aspetto spesso poco considerato: attraverso la posta elettronica delle segreterie scolastiche vengono quotidianamente scambiati documenti che riguardano la vita personale e familiare degli alunni.

Piani educativi individualizzati, certificazioni mediche, diagnosi relative ai disturbi dell’apprendimento, documentazione per il riconoscimento dei benefici previsti dalla legge 104 e comunicazioni con aziende sanitarie e servizi sociali sono soltanto alcuni esempi. Si tratta di informazioni particolarmente delicate, alcune delle quali rientrano nelle categorie di dati personali soggette a specifiche tutele previste dal GDPR.

Per mostrare quanto possano essere rilevanti anche errori apparentemente banali, Pastore richiama alcuni provvedimenti del Garante per la protezione dei dati personali.

Nel dicembre 2025 un istituto comprensivo del Mantovano è stato sanzionato per aver inviato a 37 famiglie una comunicazione relativa agli obblighi vaccinali lasciando visibili tutti gli indirizzi dei destinatari.

Nel gennaio 2026 un altro caso ha riguardato l’invio a un’intera classe di comunicazioni relative al PEI di un alunno. Il Garante ha evidenziato come anche il riferimento al Piano educativo individualizzato possa rivelare informazioni relative alla salute.

Episodi diversi dagli allarmi bomba, ma accomunati da un elemento: l’utilizzo di strumenti digitali che, se non accompagnati da adeguate misure di protezione, possono esporre dati riservati.

Il rischio informatico riguarda anche le piattaforme utilizzate dalle scuole

La sicurezza informatica degli istituti non dipende esclusivamente dai sistemi gestiti direttamente dalle scuole.

Registri elettronici, piattaforme di modulistica e servizi di segreteria digitale affidano a soggetti esterni la gestione di quantità rilevanti di documenti e informazioni. Un caso richiamato da Pastore è quello dell’attacco informatico che ha interessato la piattaforma di modulistica online del Gruppo Spaggiari. Un gruppo criminale ha rivendicato la sottrazione di 6,1 terabyte di documenti riconducibili a oltre tremila istituti, successivamente messi in vendita.

L’azienda ha ridimensionato la portata dell’incidente, precisando che il registro elettronico non era stato coinvolto, che i file riguardavano prevalentemente le supplenze e che l’episodio era stato notificato alle autorità. La vicenda richiama comunque la necessità di valutare non soltanto la sicurezza delle infrastrutture scolastiche, ma anche quella dei servizi esterni ai quali vengono affidati dati e documenti.

Un aspetto particolarmente importante quando le informazioni riguardano minori.

Un canale riservato per le comunicazioni sensibili: la proposta 

Secondo Pastore, il nuovo protocollo governativo rappresenta una risposta necessaria alla gestione degli allarmi massivi, ma non risolve un’altra questione: come distinguere una comunicazione istituzionale autentica da una falsa? Una mail fraudolenta potrebbe infatti non annunciare un ordigno, ma imitare una circolare ministeriale, una disposizione dell’Ufficio scolastico regionale o una richiesta di documentazione indirizzata alle famiglie.

Da qui la proposta dell’esperto di affiancare alla posta elettronica istituzionale, che deve rimanere accessibile, un canale riservato per le comunicazioni contenenti dati sensibili e per quelle operative tra Ministero, Uffici scolastici, Prefetture e dirigenti. Tra le caratteristiche indicate figurano l’identificazione dei mittenti, l’autenticazione dei destinatari, la cifratura dei messaggi e degli allegati, la possibilità di revocare o far scadere l’accesso ai contenuti e la tracciabilità delle operazioni. Si tratta di misure che, secondo Pastore, permetterebbero di ridurre i rischi derivanti dall’invio accidentale di documenti a destinatari sbagliati o dalla compromissione delle caselle di posta.

L’esperto richiama anche il quadro normativo europeo. Il Regolamento UE 2016/679, all’articolo 32, indica la cifratura tra le possibili misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio.

L’articolo 34 prevede inoltre specifiche condizioni nelle quali non è necessario comunicare agli interessati una violazione dei dati personali, quando le informazioni siano state rese incomprensibili a soggetti non autorizzati attraverso misure adeguate.

Pastore cita anche EmailGrant, una soluzione sviluppata dalla propria azienda, CyberGrant, per proteggere messaggi e allegati e gestirne gli accessi. La proposta, tuttavia, riguarda più in generale l’adozione di strumenti capaci di garantire la riservatezza dei contenuti, indipendentemente dalla piattaforma utilizzata.

Dalle evacuazioni alla cybersicurezza: una sfida per tutto il sistema scolastico

Gli allarmi dell’11 e del 12 novembre hanno mostrato quanto la sicurezza delle scuole dipenda oggi da fattori differenti ma strettamente collegati. Da un lato, la gestione delle emergenze fisiche: procedure di evacuazione, collaborazione con le forze dell’ordine e capacità di proteggere studenti e personale.

Dall’altro, la dimensione digitale: attendibilità delle comunicazioni, protezione dei dati e capacità di riconoscere tentativi di manipolazione. Per le scuole, entrambe le questioni hanno conseguenze concrete.

Il protocollo nazionale rappresenta un primo intervento sul piano operativo. La sua efficacia dipenderà però dalla rapidità con cui le indicazioni raggiungeranno gli istituti, dalla chiarezza delle responsabilità e dalla possibilità di distinguere tempestivamente le minacce generiche dai rischi effettivi.

Sarebbe inoltre utile ricostruire in modo sistematico quanto accaduto nelle due giornate: tempi delle comunicazioni, decisioni assunte, difficoltà incontrate dai dirigenti e funzionamento dei raccordi territoriali.

Un’analisi che potrebbe contribuire a migliorare le procedure, anche attraverso attività di formazione ed esercitazioni specifiche. Ma la riflessione non può fermarsi alla gestione degli allarmi bomba.

La prossima comunicazione fraudolenta potrebbe non contenere una minaccia esplosiva, ma una falsa disposizione ministeriale, una richiesta di documenti riservati o un messaggio ingannevole rivolto alle famiglie.

È anche per questo che la sicurezza scolastica deve essere considerata in una prospettiva più ampia, nella quale protezione degli edifici, affidabilità delle comunicazioni e tutela dei dati personali diventino parti di una stessa strategia.

© RIPRODUZIONE RISERVATA