Allarmi via email nelle scuole: come si manda una mail anonima (e cosa insegna alle aziende)

Cos'è successo, in breve

Mercoledì 11 novembre una email firmata «Andropov» ha raggiunto circa 6.300 scuole italiane, con minacce di ordigni e toni apocalittici. Giovedì 12 una seconda ondata ha toccato altri 1.800 istituti, oltre a Palazzo Chigi e a un tribunale romano, firmata «Mikhail Andropov» e partita — secondo le prime ricostruzioni — da vari indirizzi con domini registrati nelle Filippine. L'antiterrorismo della Procura di Roma indaga per procurato allarme e minacce aggravate; il governo ha invitato a proseguire regolarmente le attività, e lo stesso ministro dell'Istruzione ha definito il rischio concreto «quasi inesistente». Ondate simili si sono viste anche in Francia.

Chi gestisce un'azienda può leggere questa vicenda in due modi: come cronaca, o come un'occasione per capire come funziona davvero la posta elettronica — perché le stesse tecniche usate per spaventare le scuole vengono usate ogni giorno, in piccolo, contro le imprese.

Come si manda una email «anonima»

La posta elettronica nasce negli anni Ottanta, quando la rete era un club di università che si fidavano l'una dell'altra. Il protocollo di invio (SMTP) riflette quella fiducia: il campo «mittente» è una semplice etichetta, come il nome scritto a mano sul retro di una busta. Nessuno, di default, verifica che corrisponda al vero autore. Da qui le tre strade tipiche di chi vuole nascondersi:

• Lo spoofing: si spedisce un messaggio dichiarando un mittente diverso dal proprio. Tecnicamente banale, è la base di quasi tutto il phishing.
• Account e domini usa-e-getta: caselle aperte con dati falsi presso fornitori esteri poco collaborativi, o domini registrati apposta — come i domini filippini di questi giorni — destinati a vivere poche ore.
• Catene di anonimizzazione: VPN, rete Tor, server compromessi usati come trampolino, così l'indirizzo IP che compare nei registri non è quello reale.

Anonime, ma non invisibili

«Anonimo» non significa «irrintracciabile». Ogni email porta con sé gli header completi: la catena dei server attraversati, orari, indirizzi IP. I fornitori conservano registri, gli investigatori possono richiederli e la cooperazione internazionale — pur lenta — funziona: molti autori di falsi allarmi degli anni scorsi sono stati identificati, spesso proprio perché un anello della catena (una VPN pagata con carta propria, un accesso senza protezioni, un dettaglio ripetuto) li ha traditi. È un lavoro di pazienza da lasciare alla Polizia Postale: i reati contestati, procurato allarme e minacce aggravate, non sono bravate.

Cosa c'entra la tua azienda

Le stesse tecniche hanno una versione quotidiana e molto meno rumorosa, che colpisce le imprese:

• la finta fattura del fornitore, identica alle vere, con un IBAN diverso;
• l'email che sembra del titolare e chiede un bonifico urgente all'amministrazione (la cosiddetta truffa del CEO);
• il phishing spedito ai tuoi clienti usando il tuo dominio come mittente — con il tuo marchio che ci rimette la faccia.

Le tre sigle che proteggono il tuo dominio

Contro lo spoofing del proprio dominio esistono tre strumenti standard, che si configurano nei DNS una volta e lavorano per sempre:

• SPF: l'elenco pubblico dei server autorizzati a spedire a nome del tuo dominio. Chi spedisce da fuori elenco viene segnalato.
• DKIM: il sigillo digitale. Ogni messaggio in uscita viene firmato; se qualcuno lo altera o lo falsifica, il sigillo non torna.
• DMARC: la regola che dice ai destinatari cosa fare dei messaggi che falliscono i controlli — e qui sta il punto. Con la politica p=none il messaggio falso viene comunque consegnato; con p=reject viene scartato. Moltissime PMI hanno un DMARC assente o lasciato su «none»: la protezione c'è sulla carta, ma la porta è aperta.

La verifica costa cinque minuti: chiedi a chi gestisce il tuo dominio come sono configurati SPF, DKIM e DMARC — e con quale politica. Se la risposta è vaga, è il momento di sistemarli.

Se arriva un'email minatoria o sospetta

• Non rispondere e non cliccare: il testo in sé non infetta, ma allegati e collegamenti possono farlo.
• Conserva l'originale senza inoltrarlo modificato: gli header servono alle indagini.
• Segnala alla Polizia Postale, anche tramite il portale ufficiale: è il canale giusto, per le minacce come per le truffe.
• In azienda, adotta una regola fissa: ogni cambio di IBAN o pagamento urgente si verifica a voce, su un numero già noto. Sempre.

In sintesi

Gli allarmi via email arrivati l'11 e il 12 novembre 2026 a migliaia di scuole italiane, firmati «Andropov» e partiti da domini esteri, sfruttano una debolezza storica della posta elettronica: il mittente non è verificato di default. Le email anonime si costruiscono con spoofing, account usa-e-getta e catene di anonimizzazione, ma non sono invisibili: header, registri dei fornitori e cooperazione internazionale portano spesso a identificare gli autori. Per le aziende la lezione è concreta: le stesse tecniche alimentano finte fatture, truffe del CEO e phishing verso i clienti. Le difese esistono e si chiamano SPF, DKIM e DMARC — con politica p=reject, non «none» — più una regola d'oro: i pagamenti si verificano a voce. Davanti a un messaggio minatorio: niente clic, conservare tutto, segnalare alla Polizia Postale.

Domande frequenti

Chi manda una email anonima può davvero essere scoperto?

Spesso sì. Gli header rivelano la catena dei server, i fornitori conservano i registri degli accessi e gli errori operativi (una VPN intestata, un accesso da rete personale) fanno il resto. Servono tempo e rogatorie, ma le identificazioni arrivano.

Posso impedire che qualcuno usi il mio dominio come mittente?

Sì, in larga parte: con SPF, DKIM e DMARC configurati con politica restrittiva (p=reject), i messaggi falsificati che dichiarano il tuo dominio vengono scartati dai destinatari che applicano i controlli — cioè ormai tutti i grandi provider.

Aprire una email minatoria è pericoloso per il computer?

Leggere il testo no. Il rischio sta negli allegati e nei collegamenti: non vanno aperti. In caso di dubbio, meglio far analizzare il messaggio a chi gestisce la vostra posta.

Perché le scuole hanno evacuato se il rischio era definito quasi inesistente?

Per prudenza: davanti a una minaccia, anche inverosimile, i protocolli impongono verifiche. È il costo collettivo di questi gesti — ed è uno dei motivi per cui la legge li punisce come procurato allarme.

In A126 affianchiamo le aziende nella trasformazione digitale: siti ed e-commerce, gestionali su misura, sicurezza e consulenza strategica. Se vuoi una verifica della configurazione email del tuo dominio, contattaci per una consulenza gratuita.

A126 Corporate Advisors — trasformazione digitale per imprese e professionisti.