Nel primo pomeriggio del 12 novembre 2026, circa 3800 istituti scolastici italiani hanno ricevuto email minacciose che hanno generato un allarme di tipo bomba. I messaggi, inviati poco prima delle 10, erano identici per tutti i destinatari e firmati con un nome fittizio, “Mikhail Andropov”, che si presentava come capo di un gruppo virtuale chiamato “Vilayat di Misoginistan”. L’allarme ha causato evacuazioni limitate, ma la maggior parte delle scuole ha mantenuto l’attività didattica. L’obiettivo dichiarato delle autorità è impedire che minacce infondate blocchino servizi essenziali e garantire la sicurezza di studenti, personale scolastico e famiglie.
Indirizzi compromessi e origine filippina
Le indagini preliminari hanno evidenziato che gli account violati includono domini legati a istituti educativi delle Filippine. Alcuni dei mittenti erano collegati a una docente di Davao, Jorhaida Budiang, e a una scuola di Batangas City, suggerendo l’utilizzo di credenziali rubate o acquistate sul dark web. In totale, 1.803 email sono state recapitate in tempo reale, creando una rete di allarmi di bomba senza precedenti nella storia recente della scuola italiana. La scelta di un nome di stampo russo e l’uso di un account taiwanese già compromesso il giorno precedente indicano una strategia mirata a confondere le autorità, sfruttando la velocità di diffusione delle piattaforme di posta elettronica.
Le autorità hanno sottolineato che le minacce non corroborate da prove concrete non giustificano l’interruzione delle attività scolastiche. I dirigenti sono invitati a fornire al Prefetto tutti gli elementi disponibili per una valutazione accurata, mentre il governo si dichiara pronto a riferire al Parlamento le misure adottate nei prossimi giorni.
Risposta istituzionale e coordinamento operativo
Di fronte a questa emergenza, il governo ha emanato una comunicazione urgente a tutti i presidi e ai prefetti, invitandoli a non disporre evacuazioni in assenza di evidenze concrete oltre le email massive. La direttiva, trasmessa a metà mattinata, sottolinea la necessità di valutare ogni minaccia con criteri più rigorosi per evitare il blocco di servizi essenziali. Solo 77 plessi sono stati evacuati, di cui 36 hanno ripreso le lezioni pochi minuti dopo, mentre la maggior parte degli studenti è rimasta in aula. Nel pomeriggio, il Comitato per la Sicurezza della Repubblica (CISR) si è riunito in una sessione tecnica con i vertici dell’intelligence, dell’Agenzia per la Cybersicurezza, il sottosegretario Alfredo Mantovano, il ministro dell’Istruzione Giuseppe Valditara e il ministro dell’Interno Matteo Piantedosi.
Le Procure di Roma e Milano hanno aperto fascicoli per procurato allarme, minacce aggravate e pubblica intimidazione. Il pool antiterrorismo della Procura di Roma, guidato dal procuratore capo Francesco Lo Voi, sta raccogliendo le testimonianze delle scuole colpite, mentre la Procura di Milano indaga su possibili autori ignoti. Parallelamente, la Polizia Postale e le forze di sicurezza stanno tracciando i percorsi dei server di posta, con il supporto dell’Europol, per identificare la provenienza dei messaggi e verificare eventuali legami con altri attacchi recenti, come gli atterraggi di emergenza di voli di linea sorpresi da caccia militari.
Un tavolo tecnico ristretto avrà luogo la mattina successiva per definire procedure operative a breve, medio e lungo termine. Oltre alle scuole, il focus si estenderà ad ospedali, infrastrutture di trasporto, telecomunicazioni ed enti locali, con l’intento di creare protocolli di risposta rapida e condivisi a livello nazionale.
