Le mail mandate a 6.000 scuole, con circa 300 evacuazioni. Di chi è la responsabilità? Hacker? Stati canaglia? Criminalità organizzata? Forse la risposta è più semplice. L’anagramma della firma porta altrove.
Riassumi con l’IAScegli l’assistenteAssistente
Apri con il tuo assistente preferito
Oggi, 11 novembre 2026 numerosi istituti scolastici in tutta Italia hanno ricevuto una mail minatoria che ha fatto scattare evacuazioni precauzionali di studenti e personale. In alcune scuole ci sono state scene concitate di forze dell’ordine che ordinavano di uscire immediatamente dal plesso scolastico, instillando il timore di possibili esplosioni. Naturalmente subito radio, TV, giornalisti, influencer, curiosi e tonnellate di commenti sui social.
Di cosa si è trattato?
Le dimensioni del fenomeno
La mail è arrivata a circa 6.000 scuole, quasi tutte statali, ma gli allarmi con evacuazione sono stati poco più di 300. Già nei giorni scorsi circa 200 presidi avevano ricevuto una segnalazione simile. Le evacuazioni di oggi sono state segnalate a Roma, Milano, Napoli, Bologna, Venezia e in molte altre città.
Il testo
Il messaggio annuncia la presenza di esplosivi e contiene minacce violente, anche alla premier. Ecco il testo:
Data: 11/11/2026 09:59:30
Oggetto: Avviso di pericolo
Mittente: 刘芳君 f0523219@cloud.dyu.edu.tw
Destinatari: rmtd030005@istruzione.gov.it; TAIC865007@istruzione.it BAIC87900C@istruzione.it BSIC87400V@istruzion… (indirizzo troncato nell’interfaccia visibile)
Questo è Mikhail Andropov, leader del Vilayat di Misoginistan.
Siamo venuti per annientarvi.
Metteremo in atto un genocidio contro gli italiani.
Mi sono preparato a lungo per questo: uccidere ognuno di voi.
Ho appena lasciato nel vostro edificio, all’interno di un sacchetto di plastica, un potente ordigno esplosivo con innesco a distanza.
L’ho posizionata in modo tale che l’onda d’urto si propaghi in tutto l’edificio.
Di voi rimarranno solo ossa e una poltiglia sanguinolenta.
Inoltre, abbiamo piazzato una bomba nel motore dell’auto del vostro primo ministro.
Dopodiché finiremo i sopravvissuti a coltellate.
Mikhail Andropov
Il mittente
Il testo è firmato da un sedicente Mikhail Andropov, che si presenta come capo del Vilayat di Misoginistan, e proviene da un indirizzo apparentemente riconducibile a un dominio di Taiwan. La stessa firma, secondo alcune ricostruzioni, era già comparsa nelle minacce a media europei e nelle rivendicazioni di allarmi sui voli.
Esiti o seguiti delle minacce
Non risultano trovati ordigni nelle scuole. La Polizia Postale aveva già avvertito, nei giorni scorsi, del rischio di email minatorie che potevano essere catalogate come falsi allarmi e a Bologna alcune scuole hanno atteso indicazioni delle forze dell’ordine prima di evacuare.
Indagini
Il Viminale è informato e le indagini sono affidate a Polizia Postale e Digos. Tra i reati ipotizzabili c’è il procurato allarme.
Le reazioni del governo.
Valditara parla di una strategia evidente e di rischio concreto inesistente, e collega i messaggi agli attacchi ai voli, ai supermercati e, a suo dire, anche agli ospedali, aggiungendo però che è difficile immaginare chi ci sia dietro.
Crosetto parla di una strategia per “seminare preoccupazioni”.
Piantedosi invita alla cautela: è prematuro parlare di regia comune.
Secondo Meloni dalle verifiche non emerge alcun pericolo concreto. La premier ha convocato un vertice a Palazzo Chigi con governo, intelligence e Agenzia per la Cybersicurezza Nazionale e incontrerà domani l’opposizione.
Non solo Italia
Anche oltre 300 scuole tra Scozia e Irlanda del Nord hanno ricevuto email minatorie, giudicate dalla polizia un falso allarme. Quindi un intero Paese (anzi più di uno) in subbuglio, praticamente per nulla. Utile a questo punto ricostruire la meccanica. Partono le mail minatorie, si diffonde il panico,
Chi ha avanzato ipotesi
L’unica pista circolata è quella della guerra ibrida, ormai un tormentone, cioè di una campagna di disturbo coordinata. Per ora a evocarla sono soprattutto commentatori e stampa. Famiglia Cristiana, per esempio, parla di una firma «filorussa» e di un «metodo da guerra ibrida», ma ammette che dietro la firma non c’è ancora un volto. Nei giorni scorsi Meloni, Crosetto e Tajani avevano alzato la guardia sulla guerra ibrida dopo gli allarmi bomba sui voli. Nessun esponente del governo, però, ha accusato formalmente un attore preciso per le scuole.
Che cosa non si può dire
Non è accertato se dietro ci sia uno Stato, un gruppo hacker, un’organizzazione criminale o un singolo, né se ci sia un’unica regia. Un’osservazione: la firma mescola riferimenti incongruenti (un nome sovietico e un titolo di sapore islamista), quindi non indica un’appartenenza coerente. Naturalmente c’è facile speculazione nel ricondurre a: ambienti estremisti russi, organizzazioni islamiste, Guardiani della Rivoluzione iraniani, movimenti radicali anti-femministi.
E ora cerchiamo di capire cosa è accaduto
Per comprendere meglio, occorre partire dagli attacchi di Hugging Face, quando si registrarono dal 9 al 13 luglio 2026 ben 17.600 azioni ostili ai danni di Hugging Face da parte OpenAI, i cui agenti autonomi uscirono dalla sand-box, sfruttando una vulnerabilità di un proxy nel registro dei pacchetti (tra cui il modello GPT-5.6 Sol). Non fu il solo caso. Fenomeni di violazioni eclatanti sono stati registrati in tutti questi mesi in Argentina, Belgio, Brasile, Bulgaria, Canada, Cile, Cina, Colombia, Danimarca, Estonia, Finlandia, Francia, Germania, Giappone, India, Irlanda, Italia, Lussemburgo, Paesi Bassi, Portogallo, Regno Unito, Repubblica Ceca, Russia, Singapore, Spagna, Stati Uniti, Svezia, Svizzera, Ungheria. Poi ci sono stati casi analoghi a quello registrato stamane in Italia, che si è ripetuto pedissequamente nella stessa giornata odierna anche in scuole in Gran Bretagna. E questi casi analoghi hanno riguardato l’Irlanda (27 maggio e 14 0ottobre), Regno Unito, Ungheria, Scozia e Serbia, tutte nello stesso giorno (19 ottobre. Sempre in Italia lo scorso 2 novembre, con mail a firma dei Guardiani della Rivoluzione Iraniana. Ma c’è una singolarità che possiamo ora svelarvi. In Hugging Face ci sono due modelli di AI chiamati Dolphin e Markov AI. Il primo è noto per applicazioni video e servizi alle imprese. Il secondo è una realtà tecnologica che lavora alla preparazione di dati e ambienti di addestramento per intelligenze artificiali capaci di usare software e computer. Paradossalmente la mail di oggi indirizzata alle scuole è firmata da Mikhail Andropov che è l’esatto anagramma di Dolphin e Markov AI, i due software che si sono trovati sotto attacco in Hugging Face.
Una coincidenza? Forse, ma l’anagramma è perfetto.
E allora che considerazioni possiamo fare?
Si tratta di guerra ibrida? Ma la guerra viene dichiarata tra Stati, qui non risulta alcuno Stato.
Si tratta di hacker senza scrupoli? Non si direbbe, anzi si potrebbe escludere al 100% una mano esclusivamente umana, come ha commentato a IF-Italia nel Futuro un esperto internazionale. Appare invece una forma di industrializzazione del fenomeno, che indurrebbe a pensare ad azioni fatte dalla intelligenza artificiale, magari maneggiata da umani o azioni pensate e condotte direttamente da agenti IA fuori controllo. In tal caso non appare affiorare alcun pericolo, se non la spinta irrazionale alla diffusione del senso di incertezza e di paura. Quella sì può far comodo a più di qualcuno. A questo punto non tutte le ipotesi sono buone, perché tendono a restringersi all’azione di agenti AI fuori controllo e non a singoli o piccoli gruppi di terroristi digitali, né hacker senza scrupoli. Sarebbe più utile ridimensionare ciò che è accaduto, altrimenti, se queste sono le reazioni, le conseguenze sociali potrebbero essere devastanti. Ad esempio, nel caso in cui dovessero arrivare mail analoghe a quelle di stamane, ma questa volta indirizzate magari a qualche migliaio di ospedali e cliniche pubbliche e private, cosa facciamo? Rimandiamo tutti i pazienti, compresi quelli in terapia intensiva, a casa?
E allora nervi saldi e ricominciamo daccapo.
