L’analisi di Tuttoscuola

Allarmi bomba via email: tre ondate di messaggi minatori verso le scuole in meno di un mese pongono una domanda sulla protezione delle caselle istituzionali e sulla risposta coordinata dello Stato

Una sola email può interrompere le lezioni, mobilitare gli artificieri, svuotare decine di edifici e mettere in allarme migliaia di famiglie. È quanto è accaduto l’11 novembre 2026, quando un messaggio contenente minacce di attentato è arrivato a scuole di numerose regioni italiane. Il Ministro dell’Istruzione e del Merito ha parlato in un primo momento di circa 300 istituti coinvolti, ma è poi emerso che sarebbero 6300 le scuole italiane ad aver ricevuto il messaggio minatorio. Le prime valutazioni delle autorità non hanno evidenziato elementi concreti di pericolo, ma la dimensione dell’episodio riapre una questione precisa: come dovrebbe funzionare la difesa digitale di un sistema pubblico capillare come quello scolastico?

La minaccia e il suo effetto reale

Il messaggio esaminato reca l’oggetto «Avviso di pericolo», proviene in apparenza da un indirizzo con dominio universitario estero e annuncia la presenza di esplosivi negli edifici. Nella copia disponibile compaiono 231 diversi indirizzi istituzionali del dominio istruzione.it. Non è possibile stabilire, da questo solo elenco, quante caselle abbiano effettivamente ricevuto il messaggio: il numero dei destinatari indicati non coincide necessariamente con le consegne riuscite, né con il numero complessivo delle scuole interessate dalle diverse spedizioni.

L’effetto organizzativo, invece, è stato visibile: evacuazioni precauzionali, sospensione delle attività, interventi delle forze dell’ordine, verifiche degli edifici e comunicazioni urgenti alle famiglie. Anche quando la minaccia si rivela infondata, il costo non è soltanto emotivo. Sono impiegate risorse pubbliche, viene interrotto un servizio essenziale, milioni di genitori e familiari vengono attivati, e si mette alla prova la capacità di decisione dei dirigenti scolastici. La scelta di allertare le autorità resta necessaria: nessun sistema informatico, da solo, può accertare l’assenza di un ordigno.

Tre campagne in ventitré giorni

Quello di oggi non è il primo episodio delle ultime settimane. Il 19 ottobre almeno 50 scuole italiane avevano ricevuto messaggi che annunciavano attentati; il mittente appariva collegato al sistema dell’istruzione saudita e l’oggetto era «La morte è vicina». Secondo i riscontri giornalistici disponibili, i controlli allora effettuati non individuarono esplosivi. [1]

Il 2 novembre si è registrata una seconda ondata. Una delle email sarebbe stata inviata a 271 istituti, con minacce riferite a un ordigno azionabile a distanza e nuove evacuazioni in Veneto, Lombardia, Liguria, Lazio e altre aree. In alcune scuole, fra cui una primaria romana, gli accertamenti hanno dato esito negativo. [2]

La ricorrenza di una struttura narrativa simile – minaccia generica, presunto esplosivo, ampia lista di destinatari, assenza di indicazioni verificabili sulla singola sede – suggerisce la necessità di studiare gli eventi nel loro insieme. Non autorizza, tuttavia, a concludere che vi sia un unico autore o un’unica infrastruttura di invio: questa correlazione è materia di indagine. [2]

Analizziamo alcune delle criticità che questi episodi sollevano sul sistema di sicurezza digitale a protezione delle scuole italiane.

Il filtro della posta è stato aggirato?

La domanda è legittima, purché non si confondano due concetti diversi. Se un messaggio è arrivato nella normale posta in entrata di una scuola, significa che almeno quel sistema di consegna non lo ha bloccato prima della visualizzazione. Non significa, per questo solo fatto, che siano stati violati i server ministeriali o che qualcuno abbia sfruttato una falla del software. Potrebbe trattarsi di una classificazione insufficiente del messaggio, di una regola che ne ha autorizzato il transito o dell’uso di un mittente apparentemente affidabile.

Le tecnologie di autenticazione del dominio, come SPF, DKIM e DMARC, verificano la provenienza o l’allineamento fra identità dichiarata e infrastruttura di invio. Non certificano la veridicità del testo. Un messaggio autenticato può ugualmente contenere una minaccia; al contrario, un messaggio sospetto può essere intercettato e depositato nello spam. Senza le intestazioni originali delle email e i registri del gestore non si può stabilire quale sia stato l’esito dei singoli controlli. [9]

Il Ministero aveva già annunciato, con la nota n. 461 del 10 febbraio 2022, interventi di rafforzamento della sicurezza delle caselle istruzione.it, richiamando la modernizzazione dell’autenticazione e l’introduzione di verifiche anti-spoofing tramite DMARC. La nota costituisce una prova della previsione di tali misure, non una fotografia delle impostazioni operative attive l’11 novembre 2026. Proprio per questo una valutazione seria deve chiedere quali controlli fossero effettivamente applicati e con quale risultato. E’ importante saperlo [5].

Il problema dei messaggi minatori richiede inoltre una capacità diversa da quella dei comuni filtri antimalware: riconoscere il contenuto intimidatorio, correlare spedizioni identiche verso molte caselle, allertare rapidamente un presidio umano e preservare le prove. L’obiettivo non dovrebbe essere la cancellazione silenziosa di qualunque testo che parli di esplosivi: una minaccia autentica va tempestivamente presa in carico, non resa invisibile.

Spesso il sistema anti-spam del MIM blocca normali messaggi commerciali, o comunque invii multipli: come mai questo messaggio è arrivato direttamente nelle caselle mail di migliaia di istituti scolastici?

Il ruolo del CNAIPIC e il limite delle sue competenze

Nel dibattito compare talvolta la sigla CNAIP. La denominazione istituzionale corretta è CNAIPIC, Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche. Si tratta di una struttura specialistica della Polizia di Stato, nell’ambito della Polizia Postale e per la Sicurezza Cibernetica, preposta alla prevenzione e al contrasto delle aggressioni informatiche contro infrastrutture critiche e sistemi di particolare rilevanza nazionale. Il riferimento normativo è, fra gli altri, l’articolo 7-bis del decreto-legge 27 luglio 2005, n. 144, convertito dalla legge n. 155 del 2005. [3][4]

Secondo la descrizione pubblicata dal Ministero dell’Interno, il CNAIPIC dispone di una sala operativa attiva ventiquattr’ore su ventiquattro, svolge attività di raccolta informativa e analisi della minaccia, partecipa agli accertamenti investigativi e mantiene collegamenti con organismi di polizia internazionali. La cooperazione transfrontaliera è rilevante quando un messaggio sembra partire da un dominio estero, senza che ciò basti a stabilire il Paese d’origine dell’autore. [3]

Queste competenze lo rendono un interlocutore potenzialmente importante nell’analisi tecnico-investigativa di campagne coordinate e nella protezione delle infrastrutture interessate. Non consentono però di attribuirgli automaticamente la gestione quotidiana dell’antispam delle scuole, né una responsabilità diretta per ogni email recapitata. La qualificazione dell’evento, il coinvolgimento delle strutture investigative competenti e gli eventuali raccordi nazionali devono essere determinati dalle autorità preposte, nel rispetto delle attribuzioni della magistratura e delle forze di polizia.

Una responsabilità distribuita che deve diventare coordinamento

La protezione della posta istituzionale coinvolge anzitutto l’amministrazione che eroga o governa il servizio e i relativi fornitori tecnologici. Il Ministero dell’Istruzione e del Merito dispone inoltre di un proprio Computer Security Incident Response Team, il CSIRT MIM, per attività di gestione e prevenzione degli incidenti riguardanti i propri sistemi informativi. La documentazione ministeriale identifica le caselle scolastiche ordinarie con il codice meccanografico seguito da istruzione.it e ne disciplina la gestione; ciò rende particolarmente importante accertare il perimetro delle protezioni centralizzate e dei servizi esterni. [6][7]

Su un altro piano opera l’Agenzia per la cybersicurezza nazionale, presso la quale è collocato il CSIRT Italia: le sue funzioni comprendono il monitoraggio delle minacce e degli incidenti, l’emissione di avvisi, il sostegno alla risposta tecnica e il raccordo con i soggetti interessati. Sono compiti distinti da quelli di polizia giudiziaria del CNAIPIC. [8]

A livello territoriale, i dirigenti scolastici devono poter fare riferimento a Prefetture, Questure, Carabinieri, Vigili del fuoco e altre strutture chiamate a valutare il rischio fisico. La decisione di evacuare o di far rientrare nelle aule non può essere delegata a un algoritmo che attribuisce un punteggio a una mail. Servono procedure condivise che consentano decisioni rapide, proporzionate e coerenti con le indicazioni delle autorità.

Le verifiche che non possono essere eluse. Domande che richiedono risposte chiare

Dopo tre campagne in poche settimane, una ricostruzione tecnica nazionale sarebbe utile a rispondere a domande molto concrete. Quanti messaggi sono stati rifiutati dai server, quanti consegnati nella posta ordinaria e quanti collocati nello spam? Per gli invii effettivamente ricevuti, quali giudizi hanno espresso i controlli di autenticazione e reputazione? Le caselle hanno registrato lo stesso Message-ID o differenti spedizioni? Quali regole hanno eventualmente consentito il transito? E quanto tempo è trascorso dalla prima segnalazione alla diffusione di un avviso tecnico alle scuole?

Una risposta efficace dovrebbe prevedere la conservazione dei messaggi originali in formato elettronico, con le intestazioni complete, la correlazione dei segnali su scala nazionale, la notifica tempestiva agli organi competenti e indicazioni operative omogenee per i dirigenti scolastici. Gli automatismi di sicurezza possono assistere l’individuazione precoce delle campagne; non devono sostituire né gli accertamenti di polizia né le scelte di tutela delle persone.

Sarebbe improprio sostenere, oggi, che il sistema informatico ministeriale sia stato violato. Ma sarebbe altrettanto riduttivo liquidare l’episodio come un semplice scherzo di cattivo gusto, senza analizzare il percorso digitale che ha permesso a messaggi identici di raggiungere così tante scuole. L’interrogativo pubblico non è soltanto chi abbia scritto quelle minacce, ma se gli apparati dello Stato abbiano gli strumenti e le procedure per riconoscere un’operazione di intimidazione massiva, condividerne tempestivamente gli indicatori e limitare il danno senza sottovalutare alcun rischio reale.

Infine i dirigenti scolastici e le scuole in generale dovrebbero essere messe in condizione di seguire un protocollo certo e valido per tutti. Sembra che ci sia molta strada da fare in questa direzione, e a questo punto appare prioritario percorrerla rapidamente.

È su questo terreno – efficacia dei controlli, tracciabilità delle decisioni, cooperazione fra amministrazione scolastica, sicurezza cibernetica e pubblica sicurezza – che l’episodio dell’11 novembre dovrebbe trasformarsi da cronaca di un’emergenza a occasione di verifica e miglioramento istituzionale.

Fonti e riferimenti

[1] ANSA, 19 ottobre 2026, prima campagna di minacce via email
[2] Open, 2 novembre 2026, seconda campagna e precedenti
[3] Ministero dell’Interno, competenze del CNAIPIC
[4] Polizia di Stato, Direzione centrale per la Polizia scientifica e la sicurezza cibernetica
[5] Ministero dell’Istruzione, nota prot. 461 del 10 febbraio 2022 sui controlli della posta
[7] Ministero dell’Istruzione e del Merito, nota prot. 3909 del 17 luglio 2024 sulle caselle scolastiche
[8] Istituto comprensivo Lorenzo Lotto, informazioni istituzionali sul CSIRT MIM
[9] Camera dei deputati, audizione sulle competenze del CSIRT Italia, 8 ottobre 2025
[10] Microsoft Learn, interpretazione delle intestazioni e dei controlli antispam

© RIPRODUZIONE RISERVATA