Giovedì 5 novembre 2026, poco dopo le 7:20, al personale di Aeroporti di Roma e a un dipendente della società di handling Aviapartner arriva una mail con oggetto «Segnalazione minaccia». Indica due voli diretti a Fiumicino, un Finnair da Helsinki e un Aer Lingus da Dublino, annuncia che a bordo sono stati piazzati ordigni esplosivi pronti a esplodere entro sessanta minuti e si chiude così: «Oggi il vostro cielo sarà rosso». La firma è quella dei «combattenti dello Stato Maschile», un movimento misogino russo messo al bando nel suo stesso Paese. Nel giro di una mattinata un caccia croato intercetta il volo Finnair, due Eurofighter dell'Aeronautica militare lo scortano fino a Fiumicino e i caccia francesi accompagnano l'Aer Lingus in una base militare della Normandia. Per quella giornata Eurocontrol conterà quattordici voli minacciati in tutta Europa. A bordo, nessuna bomba.
Quella mattina segna il culmine di una settimana, ma è solo una tappa di una storia più lunga. I voli erano già stati presi di mira il 2 e il 3 novembre; il 6 le redazioni di Dublino e di Sofia vengono evacuate dopo le mail di un sedicente «Mikhail Andropov», che si presenta come uno dei capi del gruppo dietro le minacce agli aerei; l'11 una sola mail raggiunge circa seimila scuole italiane e la stessa mattina ben più di mille scuole tra Scozia, Irlanda del Nord e Irlanda ne ricevono un'altra; il 12 una seconda mail alle scuole italiane chiede le dimissioni della presidente del Consiglio. Tre settimane prima, il 19 ottobre, le scuole italiane e britanniche erano state minacciate nel nome di Allah, mentre altri allarmi scattavano in Ungheria e in Serbia. Tutte le minacce erano false, e quasi ogni ondata portava una firma diversa.
Un movimento estremista russo, le Guardie della rivoluzione iraniane, un nostalgico del KGB? Oppure qualcuno che cambia maschera proprio perché nessuno possa dirlo? È la domanda da cui siamo partiti con BackBox AI e il suo profilo Threat Hunter. Le risposte, con le fonti su cui poggiano, sono raccolte in una dashboard interattiva che aggiorneremo a ogni nuovo ciclo di ricerca.
Una domanda, molte fonti, nessuna scorciatoia
Il Threat Hunter ha lavorato tra il 5 e il 12 novembre in sei cicli di ricerca, usando soltanto fonti pubbliche: agenzie e stampa di una dozzina di Paesi, dichiarazioni di polizia, procure, ministeri e aeroporti, studi sul movimento il cui nome è stato usato e la storia delle campagne precedenti. Il primo ciclo, il giorno stesso dell'ondata principale, ha ricostruito i fatti e abbozzato una prima valutazione sull'attribuzione; il secondo, la sera, ha esaminato i social network, a partire da Telegram; il terzo, il 9 novembre, ha seguito i giorni successivi e ha cercato tracce nei forum criminali e nel dark web; il quarto, l'11, si è concentrato sulle scuole; il quinto e il sesto, il 12, sono tornati sulle domande rimaste aperte e hanno seguito la seconda mail alle scuole italiane. Ogni fonte è entrata in un registro con un identificativo, un tipo e un grado di affidabilità, e ogni episodio, volo, messaggio e precedente ha ricevuto un identificativo stabile, che resterà lo stesso nei cicli successivi.
Come nelle indagini sulle proteste di ottobre e sul sabotaggio della catena del freddo, ogni affermazione porta uno stato: un fatto verificato poggia su una fonte ufficiale o primaria, oppure su più testate indipendenti; un'informazione da confermare ha alle spalle una sola fonte credibile; un'ipotesi è una deduzione e dichiara chi la sostiene. Qui la distinzione pesa più del solito, perché l'intera campagna è fatta di dichiarazioni: ogni messaggio dice chi l'ha mandato, e nessuno va preso in parola.
Prima della pubblicazione abbiamo verificato le fonti sugli originali, dove raggiungibili, abbiamo cercato i testi integrali dei messaggi e abbiamo aggiunto fonti dove il quadro era povero, dalle comunicazioni del comune di Bogotá e di Eurojust agli atti giudiziari di altre campagne di falsi allarmi. Oggi la dashboard poggia su 152 fonti.
Che cosa è successo
Il registro conta diciannove episodi, quasi tutti contro voli, redazioni e scuole. Messi in fila, mostrano una campagna che cambia obiettivi e nomi ma conserva una voce riconoscibile.
Ottobre, le scuole. Il 19 ottobre minacce via email arrivano nella stessa mattina a scuole in Italia, Irlanda del Nord, Scozia, Ungheria e Serbia. In Italia ne vengono evacuate un centinaio, dopo una mail con oggetto «La morte è vicina» partita da un indirizzo che imitava quello del ministero dell'Istruzione saudita: annuncia attentati «con il permesso di Allah», un ordigno al nitrato d'ammonio nell'edificio, dice che è «solo l'inizio» e si chiude con «Allahu Akbar». In Irlanda del Nord fino a 300 scuole ricevono una minaccia che il ministro dell'Istruzione definisce islamista, con la stessa chiusa, partita secondo la polizia da fuori dal Regno Unito. In Ungheria la mail che indicava oltre settanta scuole è arrivata alle redazioni, non agli istituti. E già il 5 ottobre, due settimane prima, asili, scuole e istituzioni di diverse zone della Bulgaria avevano ricevuto minacce via email, partite da account compromessi e server all'estero; di quei messaggi non è stato pubblicato alcun testo da confrontare con le ondate successive.
Il 2 e il 3 novembre. Il 2 novembre 279 scuole italiane ricevono mail da un mittente che si presenta come «corpo delle guardie della rivoluzione islamica»: un ordigno al nitrato di ammonio in un sacchetto di plastica, un detonatore a distanza, l'esplosione entro un'ora, i sopravvissuti uccisi a coltellate. Lo stesso giorno un volo Wizz Air da Londra a Sofia viene dirottato su Budapest con la scorta di un Gripen ungherese. Il 3 Eurocontrol conta sette voli minacciati: un LOT partito da Heathrow ripiega sullo scalo di Varsavia Modlin, che chiude per qualche tempo, due Eurofighter scortano un Ryanair da Dublino a Roma e una sola mail riguarda due voli per Sofia con 176 e 185 persone a bordo. A Syros viene evacuata e ispezionata una nave da crociera. L'allarme sui voli diretti a Roma parte da una mail ad Aeroporti di Roma. Il Corriere della Sera racconta di una mail firmata «militanti della provincia di Neviansk», dal nome di una cittadina degli Urali, arrivata a decine di dipendenti della società aeroportuale per annunciare bombe su due Ryanair diretti a Fiumicino: con ogni probabilità è questa, e darebbe una firma anche a quella giornata. Gli investigatori hanno detto al Guardian di non vedere prove immediate di uno Stato ostile.
Il 5 novembre. L'ondata principale raggiunge gli aeroporti di una dozzina di Paesi. Eurocontrol conta quattordici voli, lo 0,049% del traffico della giornata, mentre i giornali arrivano a contarne da diciotto a quasi trenta, anche perché alcuni voli finiscono nei conteggi più di una volta. Si alzano i caccia in Italia, Croazia, Francia e Bulgaria, dove i MiG-29 decollano su ordine del centro operativo aereo della NATO, e tre aerei vengono dirottati, su Évreux, Vienna e Plovdiv. Le mail arrivate a Roma e all'aeroporto di Sofia hanno le stesse frasi nello stesso ordine e la firma dello Stato Maschile; l'aeroporto di Birmingham dice che la sua minaccia arriva dallo stesso gruppo. A Malpensa il messaggio, secondo il viceprefetto di Varese, è una riga sola: «Metteremo una bomba sugli aerei». La polizia spagnola riceve tre mail in venti minuti, l'aeroporto di Praga quattro numeri di volo in un unico messaggio, quello di Vienna una minaccia «astratta» contro quattro voli. Secondo la IATA, l'associazione delle compagnie aeree, la maggior parte delle minacce non è arrivata alle compagnie che operavano i voli. Tre episodi della stessa giornata seguono un altro metodo e restano fuori dal conteggio: la parola «bomba» scritta nella toilette di un Ryanair da Pescara a Charleroi, una telefonata anonima all'aeroporto di Cork e un passeggero fermato a Schiphol per aver minacciato il proprio volo, rilasciato il giorno dopo.
Il 6 novembre. È il terzo giorno di minacce ai voli: quattordici secondo Eurocontrol, che per il 3, il 5 e il 6 novembre ne conta in tutto trentacinque. I Gripen ungheresi scortano tre aerei di linea, un Wizz Air da Praga a Roma viene dirottato su Venezia e quattro aerei sono fatti atterrare a Orly. Il ministro della Difesa ungherese riferisce che la NATO ha ordinato pattugliamenti aggiuntivi. La stessa mattina una mail intitolata «MESSAGE TO THE WEST» arriva a RTÉ, Newstalk, Irish Independent, Today FM e Virgin Media in Irlanda, a Nova TV in Bulgaria e a Sky; RTÉ evacua la sede di Dublino per più di tre ore. L'autore, che si firma Mikhail Andropov, dice di essere uno dei capi del gruppo dietro le minacce agli aerei, si vanta di aver «sperimentato il multithreading», di reclutare residenti dei Paesi europei e di avere accesso a dispositivi e account compromessi, e promette di far saltare in aria aerei, navi da crociera, stazioni della metropolitana e treni. «Questo è solo l'inizio», scrive; l'ordigno nell'edificio esploderà entro 45 minuti. Reuters non è riuscita a stabilire chi l'abbia inviata, né se venga dalla stessa fonte delle minacce ai voli.
L'11 novembre. Tra le 8:59 e le 10 circa una sola mail raggiunge circa seimila scuole statali italiane, secondo il ministero dell'Istruzione e del Merito, con evacuazioni precauzionali in quasi tutte le regioni. È firmata «Mikhail Andropov, leader del Vilayat di Misoginistan» e annuncia un genocidio contro gli italiani, una bomba con innesco a distanza lasciata in un sacchetto di plastica in ogni edificio, un'altra nel motore dell'auto della presidente del Consiglio e i sopravvissuti finiti a coltellate. È partita dall'account di un ex studente della Da-Yeh University di Taiwan, che secondo l'ateneo sembrava violato ed è stato sospeso; una copia mostrata nello screenshot di un quotidiano arrivava invece da un indirizzo di un'università egiziana. Nessuna scuola del Trentino-Alto Adige e della Valle d'Aosta l'ha ricevuta, perché le due regioni non usano il sistema di posta del ministero, e molte copie sono finite nello spam. Quella stessa mattina le scuole britanniche e irlandesi ricevono una mail con oggetto «DEATH IS NEAR», a firma del leader di un progetto «Red Owl»: oltre 300 in Irlanda del Nord secondo la polizia, circa mille in Scozia e diverse centinaia in Irlanda secondo la stampa. Le polizie di Irlanda del Nord, Scozia e Irlanda parlano di falso allarme, e Police Scotland e le autorità scolastiche irlandesi spiegano che non serve evacuare.
Il 12 novembre. Il giorno dopo, alle 9:39, una seconda mail arriva alle scuole di Vicenza, Roma, Napoli, Catania e di altre città, con oggetto «Messaggio dall'Italia. Siete in pericolo». La firma è ancora di Mikhail Andropov, stavolta preceduta da un «Con disprezzo», ma il testo è nuovo. L'edificio sarebbe stato «minato» con un ordigno a nitrato di ammonio e nitrometano, chiuso in sacchetti sottovuoto perché i cani da fiuto non lo trovino e pieno di frammenti metallici che mutileranno i sopravvissuti; un'altra bomba sarebbe a Palazzo Chigi, «in Piazza Colonna, 370», e una terza sarebbe appena esplosa in una scuola della città «causando la morte di alcune persone», cosa del tutto falsa. Per la prima volta la campagna chiede qualcosa: le dimissioni immediate della presidente del Consiglio, altrimenti ci saranno centinaia di vittime. «Il conto alla rovescia è iniziato», conclude, senza indicare alcun orario. Quasi tutte le scuole restano aperte. In mattinata la presidente del Consiglio incontra i leader delle opposizioni e chiede unità, mentre Palazzo Chigi annuncia un protocollo già operativo, pubblicato dal ministero dell'Istruzione e del Merito: non si evacua più per la sola ricezione di una mail massiva, ma il prefetto può sempre disporre l'evacuazione davanti a elementi concreti di rischio.
Che cosa rivelano i messaggi
Nessun investigatore ha reso pubblici intestazioni, server o account dietro i messaggi, quindi i testi restano la principale evidenza pubblica su chi li ha scritti. Confrontati riga per riga, come fa la matrice della dashboard, dicono più dei nomi che portano in calce.
Il primo dato è che ogni ondata è stata coordinata. Le mail di Roma e di Sofia sono lo stesso testo, adattato ai voli di ciascun aeroporto, e le minacce raggiungono una dozzina di Paesi nelle stesse ore. I messaggi indicano aerei reali in volo, con numero e tratta, informazioni che chiunque può leggere su un sito di tracciamento dei voli: una precisione che serve a rendere la minaccia difficile da ignorare, non la prova di notizie riservate. Fino al 12 novembre nessun messaggio chiede nulla, e anche allora la richiesta è politica, mai di denaro. È la mail alle redazioni a dichiarare lo scopo: seminare il panico e costringere le autorità europee a «spendere una fortuna». Un docente di sicurezza aerea citato dall'AP stima fino a 250.000 dollari il costo di un singolo volo perturbato, senza contare le missioni dei caccia, che ricadono sugli Stati.
I mittenti si sono nascosti dietro le caselle di altri. L'indirizzo usato per le mail ai voli apparteneva a un ente sanitario del comune di Bogotá, che ha chiesto a procura e polizia di indagare; The Record lo identifica con una rete ospedaliera pubblica della città, e non si sa se l'account sia stato violato o soltanto imitato. La mail dell'11 novembre alle scuole italiane è partita dall'account di un ex studente di un'università taiwanese e, almeno in una copia, da un indirizzo di un'università egiziana; altre minacce sono arrivate da indirizzi legati a una scuola lituana e a un'università thailandese, quella di ottobre da un finto ministero saudita. Gli investigatori italiani parlano anche di servizi di anonimizzazione come Proton Mail. Le credenziali dei due account universitari circolavano da tempo: Hudson Rock ha ritrovato quelle taiwanesi in una raccolta di dati sottratti dagli infostealer (i malware che rubano le password salvate nei browser) risalente a più di un anno prima, e quelle egiziane nei log di un computer infettato da Vidar nel 2021. Questo non prova che le password rubate siano state usate per l'invio, e la stessa società lo sottolinea, ma mostra quanto costi poco prendere in prestito il nome di un'istituzione: se le credenziali sono già in circolazione, non serve violare nulla.
Il secondo dato riguarda le scuole, i cui messaggi formano una catena. L'oggetto italiano del 19 ottobre, «La morte è vicina», ritorna in inglese l'11 novembre come «DEATH IS NEAR». Il nitrato d'ammonio del 19 ottobre ricompare il 2 novembre; sacchetto di plastica, detonatore a distanza e coltelli del 2 novembre ricompaiono l'11; i testi italiani del 2 e dell'11 novembre hanno perfino lo stesso errore di grammatica, un participio femminile riferito al maschile «ordigno» («verrà attivata», «l'ho posizionata»). Ogni elemento era stato pubblicato, e un imitatore ostinato avrebbe potuto copiarlo, ma tutti insieme rendono più probabile un unico autore.
Il terzo dato è il più solido. Le mail italiana e britannica dell'11 novembre contengono, la stessa mattina, le stesse frasi insolite: il genocidio, l'ordigno lasciato nell'edificio, la bomba nell'auto del primo ministro. Il testo inglese integrale, pubblicato dal Daily Record, coincide con quello italiano frase per frase, dal sacchetto di plastica ai coltelli, ed è firmato dallo stesso «Mikhail Andropov», con il progetto «Red Owl» al posto del «Vilayat di Misoginistan». A Edimburgo le scuole venivano evacuate già dalle 10 circa, ora di Londra, prima che il testo italiano fosse pubblicato per intero: la prima versione integrale che abbiamo trovato è comparsa nella diretta di Rai News alle 11:33 italiane. La spiegazione più semplice è un solo testo, tradotto e inviato a due pubblici.
Quel nome lega le scuole alle redazioni, e la mail alle redazioni rivendica i voli. Le mail ai voli, però, usano un altro modello e un'altra firma: il loro legame con il resto della campagna poggia soltanto su quella rivendicazione e su un verbo, «annientarvi». E una rivendicazione non costa niente, perché chiunque può attribuirsi una settimana di titoli.
La mail del 12 novembre si inserisce nella catena con meno naturalezza. Conserva il personaggio e il nitrato di ammonio, ma lascia cadere il genocidio, i coltelli e l'errore sul femminile («rintracciarlo» concorda correttamente con «ordigno»), e aggiunge dettagli, i sacchetti sottovuoto contro i cani da fiuto e i frammenti metallici, che arrivano dopo due giorni di cronache sulle unità cinofile al lavoro nelle scuole. Come quella dell'11, potrebbe essere stata scritta seguendo le notizie. La lettura più probabile è che lo stesso mittente abbia scritto un testo nuovo, e la dashboard le assegna una confidenza moderata; non si può escludere però che qualcuno abbia preso in prestito un nome reso famoso dai giornali.
Sei maschere, forse sette
Dal 19 ottobre all'11 novembre i messaggi hanno usato sei nomi: «Allahu Akbar», le Guardie della rivoluzione, lo Stato Maschile, Mikhail Andropov, il «Vilayat di Misoginistan» e il progetto «Red Owl». Ognuno punta in una direzione diversa: il terrorismo islamista, l'Iran, l'estrema destra russa, l'apparato di sicurezza sovietico attraverso il cognome di un capo del KGB, un ibrido tra misoginia e una parola islamica che indica una provincia o una forma di governo, oppure nulla di riconoscibile. Tre di questi nomi sono invenzioni senza alcuna traccia prima di questa campagna. Un settimo potrebbe aggiungersi all'elenco: i «militanti della provincia di Neviansk» della mail del 3 novembre a Roma, di cui però scrive un solo quotidiano. Poi il mittente ha smesso di cambiare: Mikhail Andropov ha firmato le mail dell'11 novembre alle scuole britanniche, irlandesi e italiane e, il 12, la richiesta di dimissioni.
L'unico movimento reale è lo Stato Maschile. Fondato nel 2016 su VKontakte da un blogger e personal trainer attorno a un'ideologia di «patriarcato nazionale», è stato dichiarato estremista da un tribunale russo nell'ottobre 2021; il suo canale principale ha preso il nome di «Male Legion» e dal 2022 sostiene la guerra contro l'Ucraina. Oggi i ricercatori lo descrivono come un movimento in declino, e il canale Telegram del fondatore conta circa 5.400 iscritti. Nel 2021, durante una sua campagna di molestie contro una catena di ristoranti di Mosca, erano circolate minacce di bomba da cui il fondatore aveva preso le distanze; il responsabile della sicurezza degli aeroporti lituani ha raccontato al Financial Times che il gruppo, «o qualcuno che si presentava a suo nome», aveva già mandato minacce ai loro scali. Il 5 novembre il fondatore ha scritto che il movimento non esiste dal 2021 e non ha nulla a che fare con le mail; il giorno dopo un account a lui collegato ha risposto alla BBC russa con una battuta: «Quale Stato Maschile? Dove l'avete visto? Non esiste da anni».
Una smentita prova poco, perché qualunque candidato la darebbe. Pesa di più la sequenza: chi firma nel giro di tre settimane a nome di islamisti, Iran, misogini russi e KGB non crede sinceramente in nessuna di queste cause. I nomi fanno parte della messinscena, e prenderli per buoni significa lasciare che sia l'inganno a scrivere la storia: il 5 novembre un quotidiano ha titolato che il movimento si era «assunto la responsabilità» delle minacce, quando l'unica rivendicazione era la firma in fondo alla mail.
L'Italia
L'Italia è stata colpita in ogni fase. Le sue scuole hanno ricevuto le ondate del 19 ottobre e del 2, dell'11 e del 12 novembre, quella dell'11 di gran lunga la più ampia; nella prima giornata coordinata contro i voli c'erano due Ryanair diretti a Roma, e il 5 novembre sono stati minacciati almeno otto voli da o per scali italiani, due dei quali indicati nella mail arrivata a Fiumicino. Sulle minacce a Malpensa indagano la procura di Busto Arsizio e la Polizia Postale, con segnalazioni anche alle procure di Roma e di Civitavecchia; la procura di Genova ha aperto un fascicolo sulla mail dell'11 novembre alle scuole per procurato allarme, interruzione di pubblico servizio e minacce gravi, con la possibile aggravante del terrorismo.
La lettura politica ha anticipato le indagini. Il 5 novembre il ministro della Difesa ha detto in Senato di vedere in frigoriferi, sangue in Francia, droni e aerei una «guerra sotto soglia»: «per me è tutto legato»; l'11 ha parlato di mitomani e ha previsto altri emulatori. Il ministro dell'Interno ha definito prematuro parlare di una regia comune, mentre il ministro dell'Istruzione e del Merito ha giudicato il rischio concreto praticamente inesistente. L'11 novembre la presidente del Consiglio ha riunito a Palazzo Chigi ministri, vertici dell'intelligence e Agenzia per la cybersicurezza nazionale, e la mattina dopo ha incontrato i leader delle opposizioni; lo stesso giorno il governo ha stabilito che una mail massiva, da sola, non basta più a svuotare una scuola. Gli investigatori citati dall'ANSA vedono una pista «che sembrerebbe portare verso Mosca», ma anche la possibilità di un depistaggio.
Per chi indaga, il dettaglio più interessante è il vuoto sulla mappa. La mail dell'11 novembre è arrivata ovunque tranne che in Trentino-Alto Adige e in Valle d'Aosta, le due regioni le cui scuole non passano dal sistema di posta del ministero. Tutto lascia pensare che il mittente abbia lavorato sull'elenco ministeriale degli indirizzi istituzionali delle scuole statali; come sia stato costruito, raccogliendo elenchi pubblici oppure entrando in un sistema, è una delle domande a cui solo gli investigatori possono rispondere.
Una campagna, e di chi?
Su alcune questioni le evidenze consentono una risposta netta, su altre nessuna: conviene quindi procedere per punti.
- Le minacce ai voli del 3, del 5 e del 6 novembre sono state una campagna coordinata via email. Mail agli aeroporti di una dozzina di Paesi nelle stesse mattine, con aerei in volo indicati per numero. Confidenza alta.
- Le mail di Roma e di Sofia sono dello stesso autore. Stesse frasi, nello stesso ordine. Confidenza alta.
- Non è stato piazzato nulla e non è stato chiesto alcun riscatto. Lo scopo era il disagio e la paura; l'unica richiesta, il 12 novembre, è stata politica. Confidenza alta.
- Le mail alle scuole dell'11 novembre in Italia, nel Regno Unito e in Irlanda sono un solo testo, da una sola fonte. Confidenza da moderata ad alta, perché il testo inglese integrale l'ha pubblicato una sola testata.
- Le ondate contro le scuole dal 19 ottobre hanno lo stesso autore. Confidenza moderata: oggetto, ordigno, coltelli ed errore di grammatica in comune rendono improbabile un imitatore, ma ogni elemento era pubblico.
- Il «Mikhail Andropov» delle redazioni e quello delle scuole, l'11 e il 12 novembre, sono lo stesso operatore. Confidenza moderata: stesso personaggio e stesse vanterie, ma ogni testo era già pubblico quando è arrivato il successivo.
- Le mail ai voli vengono dallo stesso operatore di scuole e redazioni. Confidenza da bassa a moderata: il legame è una rivendicazione e un verbo.
- I nomi in calce ai messaggi non dicono nulla di affidabile sul mittente. Confidenza alta.
- Dietro la campagna c'è la regia di uno Stato. Informazioni insufficienti.
Sull'ultimo punto il quadro offre una pista e un avvertimento. La pista viene da funzionari delle intelligence europee che, in forma anonima, hanno detto al Financial Times che l'ipotesi principale porta ad attivisti o hacker filo-Cremlino, che alcuni di loro considerano la Russia l'origine più probabile e che resta da capire se i servizi russi abbiano diretto, incoraggiato o autorizzato l'operazione; anche gli investigatori italiani citati dall'ANSA vedono una pista verso Mosca, avvertendo però che potrebbe essere stata costruita per sviarli. Il Cremlino definisce le accuse «stupide» e «infondate»; nessun governo ha attribuito la campagna e nessun arresto vi è stato collegato. L'avvertimento viene dai precedenti. Quando i governi europei hanno indicato uno Stato dietro ondate di false mail di massa, quasi sempre si trattava della Russia, e quasi sempre con formule prudenti: il capo del controspionaggio ceco aveva visto una «traccia russa chiaramente visibile» dietro le minacce alle scuole del 2024, e il mittente identificato dieci mesi dopo era un giovane in Ucraina, con ogni probabilità pagato dalla Russia secondo l'intelligence ceca. Molte ondate simili, però, si sono chiuse con ragazzi o piccoli gruppi locali: in Gran Bretagna nel 2018, negli aeroporti francesi nel 2023, in Germania e in Austria, in Polonia e in Croazia, talvolta dietro finti richiami islamisti; nel 2022 la Serbia accusò l'Ucraina, e l'ondata di falsi allarmi contro le compagnie aeree indiane del 2024 è stata ricondotta a singoli individui.
Per questo la dashboard mette a confronto sette spiegazioni. Due spiccano, e non si escludono a vicenda: un'operazione al servizio della Russia, condotta direttamente o tramite intermediari pagati, e autori di falsi allarmi in cerca di caos o di visibilità, senza uno Stato alle spalle. Entrambe hanno una confidenza da bassa a moderata, e il caso ceco mostra come possano sovrapporsi. Seguaci dello Stato Maschile che agiscono da soli, il movimento in quanto tale, l'Iran e il denaro restano su una confidenza bassa; gli imitatori spiegano gli episodi ai margini, non le ondate principali. La matrice e il registro degli episodi mostrano, messaggio per messaggio, che cosa sostiene ciascuna lettura.
Una dashboard che seguirà l'indagine
La dashboard raccoglie l'intero lavoro: i numeri principali; il registro degli episodi, con le singole affermazioni e il loro stato; un tabellone dei voli citati dalle cronache; una mappa di dove sono arrivate le minacce, per tipo di bersaglio; la cronologia dai precedenti al 12 novembre; le firme nell'ordine in cui sono comparse; i messaggi, riportati come li ha pubblicati la stampa, con la matrice di ciò che hanno in comune; la valutazione, gli attori e diciassette precedenti; gli indicatori ricavati dai testi, i consigli per aeroporti, scuole e redazioni e cinque regole Sigma per i sistemi di posta; le domande aperte e un registro consultabile di 152 fonti. Ogni voce rimanda alle sue fonti, e ogni fonte elenca i punti della dashboard in cui è citata.
È pensata per crescere. A ogni ciclo di ricerca BackBox AI produrrà un nuovo database, e uno strumento di confronto elencherà i record nuovi o modificati, che passeranno dalle stesse verifiche prima di entrare nella dashboard. Gli identificativi non cambiano, un dato superato resta visibile insieme al motivo e ogni versione ha la sua voce nel registro delle modifiche. I prossimi cicli partiranno dalle domande aperte: chi ha inviato i messaggi e da quali account, se le mail ai voli siano della stessa mano di quelle alle scuole, se un governo attribuirà la campagna, come sono state ottenute le liste delle scuole e dove andrà la campagna dopo la richiesta politica del 12 novembre.
Dove si fermano le fonti aperte
Senza intestazioni, server o dati sugli account, i legami tra le ondate poggiano su parole, tempi e bersagli, non su infrastrutture comuni. Gli account di invio sono noti da singole fonti e dalla dichiarazione di un'università, e il fatto che le loro credenziali compaiano nei dati degli infostealer non dimostra che siano state usate; i conteggi dei primi giorni sono cambiati di continuo e cambieranno ancora; alcuni testi si conoscono solo in parte, e il testo britannico integrale dell'11 novembre l'ha pubblicato una sola testata. Diverse fonti sono a pagamento o chiuse all'accesso automatico e sono state lette attraverso le testate che le riprendono. E ogni messaggio è a sua volta una dichiarazione: ciò che un mittente dice di sé è la parte meno affidabile di tutto il quadro.
La dashboard nomina istituzioni e ruoli, non persone: il fondatore del movimento il cui nome è stato preso in prestito, i titolari degli account violati, gli equipaggi e il personale delle scuole restano anonimi. Non è uno strumento di attribuzione né una prova utilizzabile in giudizio, ma un quadro ragionato di ciò che è pubblico, con il grado di certezza di ciascuna affermazione.
A chi serve, e che cosa fare subito
Aeroporti, compagnie aeree, scuole e redazioni possono ricavare da queste settimane qualche lezione che costa poco. Il nome in calce a una minaccia non deve guidare né la risposta né la comunicazione, perché questi nomi sono pubblici e vengono copiati; ogni messaggio va segnalato con le intestazioni complete alla polizia e, per l'aviazione, all'autorità nazionale per la sicurezza. Le autorità scolastiche dovrebbero concordare in anticipo con la polizia i casi in cui una mail di massa non richiede l'evacuazione, come hanno fatto l'11 novembre la polizia scozzese e il ministero dell'Istruzione irlandese e come prevede ora il protocollo italiano del 12 novembre, e considerare le liste di posta centrali parte della propria superficie d'attacco. Le redazioni farebbero bene a verificare prima di trasformare una firma in una rivendicazione. E qualsiasi istituzione può diventare il mittente, anche con credenziali rubate anni prima: reimpostare le password che compaiono nei dati degli infostealer, compresi gli account degli ex studenti, adottare un'autenticazione a più fattori resistente al phishing e tenere d'occhio gli invii massivi in uscita avrebbe forse risparmiato a una rete ospedaliera di Bogotá e a due università il loro ruolo in questa storia. La dashboard elenca gli indicatori ricavati dai messaggi e mette a disposizione cinque regole Sigma, provate sui testi pubblicati, come punto di partenza per i filtri di posta.
Ad analisti, CERT e giornalisti offriamo un registro riproducibile e aggiornato, in cui ogni numero ha una fonte e ogni attribuzione ha un grado di confidenza. Se devi seguire le campagne e le minacce che riguardano la tua organizzazione, scrivici.
Aggiornamenti
- 12 novembre 2026, ore 12:30 UTC. Versione 1.1 dei dati della dashboard, con i cicli di ricerca cinque e sei: la seconda mail alle scuole italiane e la prima richiesta della campagna, il protocollo italiano sulle evacuazioni, l'ondata di ottobre in Bulgaria, una possibile settima firma sulla minaccia del 3 novembre a Roma, i mittenti dell'11 novembre e le loro credenziali trafugate, una quinta regola Sigma.
- 11 novembre 2026, ore 17:30 UTC. Prima pubblicazione, con i dati della versione 1.0 della dashboard.