L’attacco dell’11 novembre 2026 dimostra come la compromissione di un account di posta elettronica possa contribuire a interrompere servizi pubblici su scala nazionale. Un caso che apre una riflessione sulla cybersicurezza, sulla resilienza delle infrastrutture e sulle nuove minacce della guerra ibrida.
Migliaia di scuole in allarme, senza un attacco diretto ai loro sistemi informatici
La mattina dell’11 novembre 2026 migliaia di istituti scolastici italiani sono stati raggiunti da messaggi di posta elettronica contenenti minacce di attentati esplosivi.
Secondo le informazioni diffuse dal Ministero dell’Istruzione e del Merito e riportate dall’ANSA, le comunicazioni hanno raggiunto circa 6.300 scuole, provocando evacuazioni precauzionali, sospensioni delle lezioni e interventi delle forze dell’ordine.
Per diverse ore, in numerose città italiane, una semplice comunicazione digitale ha avuto conseguenze estremamente concrete: studenti fuori dalle aule, personale impegnato nella gestione dell’emergenza, famiglie allarmate e apparati di sicurezza mobilitati.
Le verifiche effettuate non hanno evidenziato la presenza degli ordigni annunciati.
L’episodio presenta però una caratteristica che merita un approfondimento tecnico.
Non è stato necessario compromettere i server delle scuole, sottrarre dati personali, distribuire malware o bloccare le infrastrutture con un ransomware per produrre un’interruzione delle attività scolastiche.
È stato sufficiente utilizzare il sistema di comunicazione sul quale le organizzazioni fanno quotidianamente affidamento: la posta elettronica.
Il caso dimostra come un attacco possa produrre effetti rilevanti non soltanto attraverso il danneggiamento di un sistema informatico, ma anche sfruttando la fiducia nei canali digitali e i processi organizzativi che da essi dipendono.
Da Taiwan all’Italia: la compromissione di un account di posta elettronica
Le prime ricostruzioni investigative hanno individuato tra le origini dei messaggi un account riconducibile alla Dayeh University di Taiwan, appartenente a un’ex studentessa.
Secondo quanto riportato dalle fonti giornalistiche, la casella sarebbe stata compromessa e successivamente utilizzata da soggetti non autorizzati per diffondere i messaggi minatori.
Questo dettaglio è importante perché introduce una distinzione fondamentale nella sicurezza della posta elettronica: utilizzare un indirizzo realmente esistente non significa necessariamente essere il suo legittimo proprietario.
Un account compromesso può essere sfruttato per inviare messaggi apparentemente autentici, utilizzando le infrastrutture del provider e conservando gli elementi tecnici che normalmente caratterizzano una comunicazione legittima.
La compromissione può verificarsi attraverso molteplici modalità, come il furto delle credenziali, attacchi di phishing, riutilizzo di password sottratte in precedenti violazioni o appropriazione di sessioni di autenticazione.
Non sono stati tuttavia pubblicati elementi sufficienti per stabilire quale di queste tecniche sia stata effettivamente utilizzata nel caso della Dayeh University.
Ed è importante chiarire un secondo aspetto: la localizzazione geografica del dominio di posta elettronica non identifica la provenienza geografica dell’attaccante.
Un account taiwanese può essere utilizzato da un soggetto che opera da qualsiasi altro Paese.
Il ruolo di Microsoft 365: perché i filtri antispam potrebbero non aver bloccato i messaggi
Un elemento tecnico particolarmente interessante riguarda l’infrastruttura di posta elettronica.
La documentazione ufficiale della Dayeh University conferma l’utilizzo di Microsoft 365 per le caselle del dominio cloud.dyu.edu.tw, con servizi di posta riconducibili a Exchange Online.
Anche il sistema di posta istituzionale di numerose scuole italiane utilizza servizi Microsoft.
È quindi plausibile che almeno parte delle comunicazioni sia transitata tra due organizzazioni che utilizzano la medesima piattaforma cloud.
Questo non significa, però, che i messaggi abbiano necessariamente aggirato i controlli perché provenienti dalla stessa infrastruttura Microsoft.
Due organizzazioni ospitate su Microsoft 365 mantengono ambienti amministrativi distinti, comunemente chiamati tenant. L’appartenenza allo stesso fornitore non rende automaticamente attendibile una comunicazione proveniente da un’altra organizzazione.
La questione è più articolata e riguarda il funzionamento dei meccanismi di autenticazione e classificazione della posta elettronica.
SPF, DKIM e DMARC: autenticare una mail non significa verificarne le intenzioni
Tre tecnologie rappresentano strumenti fondamentali per la sicurezza della posta elettronica:
- SPF (Sender Policy Framework): permette di verificare se il server utilizzato per inviare un messaggio è autorizzato dal dominio mittente.
- DKIM (DomainKeys Identified Mail): utilizza firme crittografiche per verificare l’autenticità della firma del dominio e l’integrità delle parti firmate del messaggio.
- DMARC (Domain-based Message Authentication, Reporting and Conformance): definisce le politiche di gestione dei messaggi che non superano correttamente i controlli di autenticazione e allineamento del dominio.
Questi sistemi contribuiscono a contrastare la falsificazione del mittente, ma non possono determinare da soli se il contenuto di una comunicazione sia legittimo.
Se un attaccante riesce a controllare una casella autentica e invia messaggi attraverso l’infrastruttura autorizzata, le comunicazioni possono superare correttamente SPF, DKIM e DMARC.
In un’analisi pubblicata l’11 novembre da AetnaNet, basata su due email originali ricevute da istituti della provincia di Catania, l’autore riferisce che i messaggi avevano superato tutti e tre i controlli.
Nelle copie esaminate, i messaggi contenevano esclusivamente testo, senza allegati o collegamenti malevoli.
Questo rende il caso particolarmente interessante: i sistemi antispam si sono trovati a valutare comunicazioni tecnicamente autenticate e prive di alcuni degli indicatori comunemente associati al phishing o alla distribuzione di malware.
Non significa che i controlli Microsoft siano stati universalmente aggirati. Alcune scuole hanno infatti ricevuto i messaggi nella cartella spam, mentre altre li hanno trovati nella posta in arrivo.
Per determinare le ragioni di queste differenti classificazioni sarebbero necessarie le intestazioni complete delle email e i relativi log di elaborazione.
Il punto è che un messaggio tecnicamente autentico può essere comunque ostile.
La distribuzione dei messaggi: perché non serve inviare migliaia di email contemporaneamente
La stessa analisi di AetnaNet descrive due invii indirizzati rispettivamente a 257 e 243 destinatari, distanziati di circa otto minuti.
Si tratta di un campione limitato, che non consente di ricostruire l’intera campagna, ma suggerisce un possibile modello di distribuzione per gruppi di destinatari.
Microsoft documenta per Exchange Online limiti ordinari che, a seconda del piano e della configurazione, possono consentire fino a 10.000 destinatari giornalieri per casella, con limiti specifici per messaggio e frequenza di invio.
L’utilizzo di gruppi di alcune centinaia di destinatari potrebbe quindi rientrare nei normali limiti quantitativi del servizio.
Naturalmente, rispettare una soglia numerica non garantisce che i sistemi antispam o di rilevamento delle anomalie consentano automaticamente il recapito.
Questo dettaglio ci permette però di comprendere un principio fondamentale della cybersecurity: un’attività malevola può sfruttare funzionalità perfettamente legittime di un servizio informatico, senza richiedere una vulnerabilità software.
Dall’attacco informatico alla guerra ibrida
L’episodio delle scuole italiane assume un significato più ampio se osservato nel contesto delle minacce ibride.
Con il termine guerra ibrida si descrive una strategia che può combinare strumenti militari e non militari, azioni informatiche, disinformazione, sabotaggio, pressioni economiche e operazioni psicologiche.
L’obiettivo non è necessariamente distruggere un’infrastruttura. Può essere sufficiente comprometterne temporaneamente il funzionamento, provocare incertezza nella popolazione, mobilitare risorse pubbliche o ridurre la fiducia nelle istituzioni.
La NATO riconosce che le minacce ibride sfruttano proprio la crescente interconnessione delle società moderne, combinando strumenti tecnologici e operazioni informative per produrre effetti destabilizzanti.
Le email minatorie dell’11 novembre presentano alcune caratteristiche compatibili con una possibile operazione di disturbo: ampia distribuzione geografica, utilizzo di infrastrutture digitali, comunicazioni allarmistiche e conseguenze immediate sui servizi pubblici.
Occorre tuttavia evitare conclusioni premature.
Non esistono, allo stato delle informazioni pubblicamente disponibili, prove sufficienti per attribuire l’episodio a uno Stato, a un servizio di intelligence o a una specifica operazione di guerra ibrida.
La campagna potrebbe essere riconducibile a soggetti criminali, gruppi ideologici, singoli responsabili o organizzazioni più strutturate.
L’eventuale attribuzione richiede indagini tecniche, investigative e di intelligence.
Ciò non riduce il valore dell’insegnamento che possiamo ricavarne: le stesse tecniche potrebbero essere impiegate nell’ambito di campagne ostili più ampie, anche di matrice geopolitica.
La difesa delle infrastrutture digitali deve quindi tenere conto non soltanto dei rischi criminali tradizionali, ma anche della possibilità che gli strumenti informatici vengano utilizzati per condizionare il funzionamento della società.
La cybersicurezza non può più essere considerata una spesa rinviabile
Per anni, soprattutto nelle organizzazioni di dimensioni ridotte, la cybersecurity è stata spesso percepita come una materia riservata alle grandi imprese, agli istituti bancari o alle infrastrutture strategiche.
In molte realtà pubbliche e private gli investimenti nella sicurezza sono stati subordinati ad altre esigenze operative: aggiornamenti software rinviati, autenticazione multifattore non attivata, sistemi di monitoraggio assenti, formazione del personale limitata e piani di continuità operativa mai realmente verificati.
Questa impostazione non era priva di rischi in passato, ma diventa ancora meno sostenibile nell’attuale scenario.
La digitalizzazione ha progressivamente trasformato anche organizzazioni apparentemente periferiche in componenti di un ecosistema fortemente interconnesso.
Un piccolo Comune gestisce servizi anagrafici, documenti amministrativi, procedure di pagamento e comunicazioni istituzionali.
Una scuola custodisce informazioni relative a studenti, famiglie e personale, utilizza piattaforme didattiche e coordina servizi essenziali per la comunità.
Un’azienda privata può essere il fornitore tecnologico di un ente pubblico, gestire dati di centinaia di clienti oppure rappresentare un punto di accesso indiretto ad altre infrastrutture.
Non è necessario essere un’organizzazione strategica per diventare un bersaglio interessante. A volte è sufficiente essere collegati a un’organizzazione strategica, oppure erogare un servizio la cui interruzione produce conseguenze collettive.
La sicurezza informatica diventa così un problema di sistema.
I dati ENISA: la pubblica amministrazione è già tra i principali bersagli
La necessità di rafforzare la cybersecurity non deriva soltanto da considerazioni teoriche.
L’ENISA, l’Agenzia dell’Unione europea per la cybersicurezza, nel rapporto Threat Landscape 2026, pubblicato il 22 settembre, individua la pubblica amministrazione come il settore maggiormente colpito dagli incidenti censiti.
Nel periodo analizzato, relativo al 2025, il settore pubblico rappresenta il 32% dei casi registrati.
Il rapporto evidenzia inoltre l’influenza delle dinamiche geopolitiche sulle attività informatiche ostili, con particolare riferimento a campagne DDoS, hacktivismo e operazioni contro soggetti essenziali.
Sono dati che richiedono una lettura attenta: non indicano che ogni amministrazione sia stata compromessa o che ogni incidente abbia prodotto danni significativi. Dimostrano però quanto il settore pubblico sia esposto alle attività ostili osservate dall’agenzia.
La crescente dipendenza dai servizi digitali amplia inoltre le possibili conseguenze degli incidenti.
Un sistema compromesso non rischia soltanto di perdere dati: può impedire l’erogazione di prestazioni, interrompere attività amministrative, bloccare processi produttivi o compromettere la capacità di comunicazione di un’organizzazione.
Dalla NIS2 alla resilienza operativa: che cosa bisogna cambiare
Il quadro normativo europeo ha già riconosciuto questa trasformazione.
La direttiva NIS2, recepita in Italia attraverso il Decreto Legislativo 138/2024, introduce per i soggetti che rientrano nel suo ambito specifici obblighi relativi alla gestione dei rischi di cybersicurezza.
L’approccio non si limita alla protezione tecnologica, ma comprende la gestione degli incidenti, la continuità operativa, la sicurezza dei fornitori, la formazione e le misure organizzative.
Non tutte le organizzazioni pubbliche e private sono automaticamente soggette agli obblighi NIS2. Tuttavia, i principi di gestione del rischio che la direttiva promuove rappresentano un riferimento utile anche per le realtà che non rientrano direttamente nel suo campo di applicazione.
In concreto, una strategia di sicurezza dovrebbe prevedere:
- Protezione delle identità digitali: autenticazione multifattore, privilegi minimi, controllo degli account inattivi e verifica delle attività di accesso sospette.
- Sicurezza della posta elettronica: configurazione di SPF, DKIM e DMARC, protezioni antiphishing, monitoraggio degli invii anomali e corretta gestione delle segnalazioni.
- Monitoraggio degli endpoint e delle infrastrutture: sistemi di rilevamento delle minacce, gestione delle vulnerabilità, aggiornamenti e raccolta centralizzata dei log.
- Continuità operativa: backup verificati, procedure di ripristino, canali alternativi di comunicazione e piani di gestione delle crisi.
- Formazione del personale: riconoscimento delle comunicazioni sospette, gestione corretta delle credenziali e conoscenza delle procedure di escalation.
- Sicurezza dei fornitori: verifica delle dipendenze tecnologiche, delle responsabilità contrattuali e delle misure di protezione adottate dai soggetti esterni.
L’episodio dell’11 novembre suggerisce inoltre un ulteriore livello di attenzione: le organizzazioni devono prepararsi anche a gestire comunicazioni ostili che non comportano necessariamente la compromissione dei propri sistemi.
Una scuola che riceve una minaccia non può affidarsi soltanto al giudizio di un filtro antispam. Deve disporre di una procedura per coinvolgere tempestivamente le autorità competenti, preservare le evidenze digitali e gestire l’eventuale emergenza senza alimentare inutilmente il panico.
La decisione sulla necessità di evacuare resta una valutazione di sicurezza fisica, da assumere secondo le procedure previste e in coordinamento con le forze dell’ordine.
La tecnologia può aiutare a riconoscere e analizzare la minaccia, ma non può sostituire la gestione responsabile dell’emergenza.
La vera sfida è la resilienza, non l’illusione della sicurezza assoluta
Una delle convinzioni più pericolose nella gestione delle infrastrutture informatiche è che un’organizzazione possa diventare completamente immune agli attacchi semplicemente acquistando prodotti di sicurezza.
Firewall, antivirus, sistemi EDR, piattaforme di monitoraggio e servizi SOC sono strumenti importanti, ma non eliminano ogni rischio.
Una strategia realmente efficace deve partire dal presupposto che un incidente possa comunque verificarsi.
È su questo principio che si fonda la cyber resilience, la resilienza informatica: la capacità di un’organizzazione di prevenire gli incidenti quando possibile, rilevarli tempestivamente, contenerne le conseguenze, continuare a erogare i servizi essenziali e ripristinare rapidamente le condizioni operative.
Nel contesto delle minacce ibride questo approccio assume un significato ancora più importante.
L’attaccante potrebbe non essere interessato a sottrarre un database o a cifrare un server. Potrebbe voler compromettere la fiducia dei cittadini, generare confusione, interrompere un servizio o costringere un’organizzazione a mobilitare risorse per gestire una minaccia deliberatamente costruita.
Ecco perché la sicurezza informatica non può più essere considerata una questione esclusivamente tecnica, affidata al solo personale IT.
È una responsabilità organizzativa che coinvolge amministratori, dirigenti, responsabili dei servizi, fornitori e personale operativo.
Conclusioni: la difesa digitale comincia molto prima dell’attacco
Il caso delle email minatorie inviate alle scuole italiane offre una lezione che va oltre il singolo episodio.
Non dimostra che i sistemi informatici del Ministero siano stati violati. Non dimostra l’esistenza di una vulnerabilità specifica di Microsoft 365. E, soprattutto, non consente ancora di identificare una regia statale o una precisa operazione di guerra ibrida.
Dimostra però come strumenti digitali di uso quotidiano possano essere sfruttati per produrre conseguenze operative molto più ampie del semplice recapito di un messaggio.
L’evoluzione delle minacce richiede quindi un cambiamento culturale.
La domanda che un’organizzazione dovrebbe porsi non è più soltanto: “Quanto è probabile che qualcuno attacchi i nostri sistemi?”, ma anche: “Che cosa accadrebbe ai servizi che eroghiamo se domani fossimo coinvolti in un attacco, direttamente o indirettamente?”.
Per una pubblica amministrazione, la risposta riguarda la continuità dei servizi ai cittadini. Per una scuola, la tutela degli studenti e il regolare svolgimento delle attività didattiche. Per un’impresa, la capacità di continuare a operare e proteggere clienti, dipendenti e partner.
In uno scenario internazionale nel quale le minacce informatiche possono intrecciarsi con campagne di disinformazione, sabotaggio e destabilizzazione, investire nella cybersecurity significa contribuire alla resilienza dell’intero sistema economico e sociale.
La sicurezza informatica non è più soltanto la difesa di un computer o di una rete. È una componente della capacità di un Paese di continuare a funzionare anche quando qualcuno cerca deliberatamente di impedirglielo.
Fonti e approfondimenti
ANSA – Allarmi bomba in 6.300 scuole, 11 novembre 2026
AetnaNet – Analisi tecnica delle email ricevute da due istituti
Dayeh University – Documentazione Microsoft 365
Microsoft Learn – Intestazioni e controlli antispam