12 novembre 2026. Le scuole italiane sono bersaglio di una campagna coordinata di email minatorie che ha provocato allarmi ed evacuazioni. È importante distinguere un attacco informatico condotto tramite posta elettronica da una violazione accertata dei server scolastici: al momento, le fonti pubbliche non dimostrano che gli istituti abbiano subito intrusioni, furti di dati o infezioni ransomware.
Che cosa è successo
Secondo l’Associazione nazionale presidi, l’11 novembre messaggi sostanzialmente identici sono arrivati quasi contemporaneamente a circa 6.000 istituti; oltre 300 scuole sono state evacuate. Il 12 novembre Palazzo Chigi ha comunicato dati provvisori relativi a 3.778 scuole raggiunte e 77 evacuazioni, 36 delle quali seguite dalla ripresa delle lezioni nella stessa mattinata. Le due cifre si riferiscono a giornate diverse e non vanno sommate come se misurassero lo stesso evento.
Analisi tecnica: email bombing, automazione e destabilizzazione
Il vettore osservabile è la posta elettronica: l’invio massivo di comunicazioni intimidatorie verso indirizzi istituzionali pubblici. Una campagna di questo tipo può essere orchestrata con sistemi automatizzati di invio, elenchi di destinatari e template identici. La simultaneità e la ripetizione del testo sono indicatori di coordinamento, non prove sufficienti per identificare software, infrastrutture o autori.
L’obiettivo apparente non è cifrare file o sottrarre password, ma provocare un effetto operativo e psicologico: interrompere la didattica, impegnare risorse di emergenza, alimentare incertezza e ridurre la fiducia nei servizi pubblici. Si può parlare di campagna di intimidazione digitale e disturbo operativo; definirla ransomware, DDoS o compromissione dei sistemi sarebbe tecnicamente scorretto senza evidenze ulteriori.
Quali tracce analizzare
Un’indagine forense dovrebbe preservare i messaggi originali in formato EML, gli header completi e i log dei gateway di posta, verificando i campi Received, Message-ID, Return-Path, l’allineamento SPF/DKIM/DMARC, gli indirizzi IP di origine e gli eventuali URL o allegati. Tali elementi aiutano a ricostruire l’infrastruttura di consegna, ma un mittente visualizzato può essere falsificato e un IP non identifica automaticamente il responsabile. Le verifiche spettano a tecnici e autorità competenti, rispettando la catena di custodia.
Misure di protezione per scuole e amministrazioni
- Applicare filtri antispam e regole di rilevamento centralizzate basate su contenuto, frequenza e indicatori verificati, evitando blocchi indiscriminati.
- Attivare SPF, DKIM e DMARC per proteggere il dominio scolastico dallo spoofing e monitorare i report.
- Conservare messaggi e log originali; non inoltrare catene di allarme o aprire eventuali allegati sospetti.
- Predisporre un canale istituzionale rapido con Prefettura, forze dell’ordine e responsabili IT, e un protocollo di comunicazione con famiglie e personale.
- Formare il personale sulla distinzione tra email minatoria, phishing e incidente con compromissione, ed esercitare le procedure di emergenza.
Le indicazioni istituzionali del 12 novembre
Il Ministero dell’Istruzione e del Merito ha comunicato che la sola ricezione di email massive di allarme, in assenza di ulteriori elementi concreti di pericolo, non comporta l’evacuazione automatica degli edifici. Il Prefetto può disporre misure di evacuazione in presenza di elementi specifici e concreti di rischio. Ogni segnalazione va comunque gestita secondo le indicazioni delle autorità competenti.
Conclusioni
Il caso dimostra che la cybersecurity non riguarda soltanto malware e password: anche l’abuso di canali digitali legittimi può interrompere servizi essenziali. Filtri efficaci, analisi tecnica, comunicazioni verificate e procedure condivise sono la risposta più solida.
