VISIONEDIGITALE / STORIE13.11.2026

Come si trova chi ha mandato le mail con l’allarme bomba

Header, IP, log e account compromessi: ecco come gli investigatori provano a risalire a chi ha inviato le mail con i falsi allarmi bomba nelle scuole, e perché l’attribuzione non è automatica.

Di ddff89613 Novembre 20265 min di lettura

Illustrazione editoriale di un computer con messaggi email e tracce digitali, senza testo visibile — Illustrazione generata con intelligenza artificiale.

Per risalire a chi ha inviato le mail con i falsi allarmi bomba nelle scuole italiane, gli investigatori non partono dal nome che compare nel messaggio, ma da elementi tecnici più difficili da manipolare: header, indirizzi IP e log dei servizi coinvolti. È lì che si prova a ricostruire il percorso della comunicazione, distinguendo il mittente tecnico dall’autore reale della minaccia.

La vicenda, emersa tra l’11 e il 13 novembre 2026, ha già prodotto indagini delle procure per procurato allarme e pubblica intimidazione. In parallelo, le prime verifiche hanno indicato una pista che attraversa più Paesi: un account compromesso di Da-Yeh University, a Taiwan, e successivi invii che sarebbero transitati anche da altri indirizzi, tra cui account nelle Filippine e uno pakistano. Non è però detto che questi account coincidano con chi ha materialmente ideato e spedito la campagna.

Come si ricostruisce l’origine di una mail minatoria

Quando arriva una mail di minaccia, la parte visibile del messaggio racconta poco. Per gli investigatori contano soprattutto tre livelli:

gli header, cioè i metadati del messaggio che possono mostrare il tragitto seguito dalla mail;
gli indirizzi IP, che aiutano a capire da quale nodo è partita la connessione;
i log dei provider e dei servizi intermedi, necessari per collegare orari, accessi e account usati.

Questi dati non danno automaticamente il nome dell’autore, ma permettono di restringere il campo. Se un account è stato rubato o compromesso, l’indirizzo che compare come mittente può appartenere a una vittima inconsapevole. Per questo, in casi come questo, l’identità digitale non coincide necessariamente con quella reale.

Il primo indizio: un account universitario a Taiwan

Le fonti concordano sul fatto che una delle prime piste porti a un account della Da-Yeh University. L’ateneo ha riferito che la mail sarebbe partita da uno dei propri account e ha avviato verifiche interne, senza sostenere che l’intero sistema sia stato violato. Questa distinzione è importante: un account compromesso indica un accesso abusivo a una singola credenziale o casella, non per forza una breccia nell’infrastruttura dell’università.

In seguito, gli invii risultano distribuiti anche su altri indirizzi in Paesi diversi. Questo è compatibile con due scenari: un unico attore che cambia strumenti per confondere le tracce, oppure più soggetti che riutilizzano account compromessi diversi. Al momento, le fonti non consentono di sciogliere con certezza questa alternativa.

Perché l’attribuzione è difficile anche quando i dati ci sono

La difficoltà non sta solo nel trovare da dove è partita una mail, ma nel capire chi abbia davvero premuto invio. Un autore può mascherare la connessione con VPN, con la rete Tor o con server intermedi. In questi casi l’IP visibile può indicare un punto di passaggio, non il luogo da cui la mail è stata realmente generata.

Qui entra in gioco la collaborazione internazionale. Se gli account, i server o i servizi coinvolti sono distribuiti in Paesi diversi, servono richieste alle autorità competenti e confronti tra log, orari e abitudini di accesso. Senza questo passaggio, il quadro tecnico rischia di restare incompleto.

Le conseguenze concrete nelle scuole e nelle indagini

Il caso non è soltanto un esercizio di informatica forense. Gli allarmi hanno provocato disagi reali negli istituti coinvolti e hanno aperto fascicoli giudiziari in Italia. Le procure stanno valutando ipotesi di reato che, secondo le fonti, includono il procurato allarme e la pubblica intimidazione.

La dimensione europea aggiunge un ulteriore livello di complessità. Le mail minatorie arrivate nelle scuole italiane si inseriscono infatti in una più ampia ondata di falsi allarmi già osservata il mese scorso in diversi Paesi dell’Unione europea. Questo non prova automaticamente un collegamento diretto tra tutti gli episodi, ma spiega perché gli investigatori guardino a una possibile campagna più ampia e non a un singolo messaggio isolato.

I punti che le indagini stanno cercando di chiarire

se dietro gli invii ci sia un solo autore o una pluralità di soggetti;
se gli indirizzi compromessi siano stati usati in sequenza o in modo coordinato;
quanto dei dati raccolti punti a un’origine tecnica e quanto, invece, all’identità reale dell’autore;
se il passaggio da Taiwan ad altri Paesi sia il segno di un tentativo di copertura o di una catena di account già compromessi;
quale peso abbiano header, IP e log nel collegare i singoli invii a una stessa infrastruttura.

In sintesi, il caso mostra un limite classico delle indagini digitali: trovare il percorso della mail è possibile, ma attribuirla con certezza a una persona richiede più di un indirizzo visibile in un messaggio. Serve incrociare tracce tecniche, tempi di accesso, dati dei provider e cooperazione tra Paesi. Senza questo lavoro, il mittente apparente resta solo un indizio, non una prova definitiva dell’autore reale.

Fonti

Visite totale 1 , 1 visite oggi

FINE / 2026Uno sguardo curioso sul presente.