Mercoledì 11 novembre più di otto scuole statali italiane su dieci hanno ricevuto una mail che annunciava una bomba nell'edificio, e il giorno dopo un messaggio simile ne ha raggiunte migliaia. Nelle settimane precedenti minacce dello stesso tipo avevano coinvolto decine di voli in Europa, alcuni dirottati, mentre qualcuno era entrato negli impianti che tengono al freddo i banchi dei supermercati, prima in Francia e poi anche in Italia.
Episodi così diversi vengono spesso chiamati tutti "attacchi hacker", e la risposta che viene in mente per prima è l'educazione digitale, cioè insegnare a riconoscere i messaggi falsi e a usare con prudenza computer e telefoni. Funziona molto bene contro le truffe che contano sull'errore di chi legge un messaggio. Le mail alle scuole, gli account rubati, gli impianti esposti su internet e le reti che si guastano chiedono invece competenze diverse a persone diverse, e spesso non a chi apre la posta.
Allarme bomba nelle scuole: perché riconoscere la mail falsa non basta #
La mail di mercoledì aveva un testo violento e sconclusionato ed era stata spedita in massa agli indirizzi pubblici delle scuole statali, tanto che diversi presidi hanno capito presto che non era credibile. Una minaccia di bomba però non può essere ignorata solo perché sembra falsa. Come ha raccontato il Post, la scelta se far uscire gli studenti è ricaduta soprattutto sui presidi, che hanno deciso in fretta e in modi diversi anche fra scuole dello stesso comune.
Il problema, per l'Associazione nazionale presidi, è che i piani di emergenza delle scuole sono pensati per incendi e terremoti, mentre una minaccia esterna richiede punti di raccolta più lontani e più tempo all'aperto. Nella posta delle scuole manca inoltre un filtro che segnali i messaggi allarmanti, e manca un collegamento diretto con la polizia postale.
Dove una procedura esisteva, l'allarme è stato gestito con più calma. A Potenza la polizia postale aveva avvisato le scuole dei possibili falsi allarmi, e i presidi hanno chiamato gli agenti e aspettato le loro indicazioni. Poco prima della seconda mail, poi, una nota del governo aveva ricordato una regola già in vigore per alcune amministrazioni pubbliche: nessuna evacuazione senza «elementi concreti ulteriori rispetto alla semplice ricezione di una mail massiva». Il giorno dopo le scuole evacuate sono state meno di ottanta su quasi quattromila, anche se non è chiaro quanto abbia contato la nota.
Anche questa è educazione digitale, ma riguarda l'organizzazione della scuola più che chi apre la posta, e infatti l'associazione dei presidi chiede procedure nazionali e una formazione apposita del personale. Non si sa chi abbia mandato le minacce.
Account hackerato: perché l'autenticazione a due fattori protegge la casella di posta #
Le mail, poi, non partivano da indirizzi inventati. Quella di mercoledì è stata spedita dall'account di un'ex studentessa di un'università di Taiwan, quella di giovedì dall'indirizzo di un professore che lavora per il ministero dell'Istruzione delle Filippine, ed entrambi gli account con ogni probabilità erano stati violati. Per mandarle non sono servite grandi capacità tecniche: l'account di Taiwan era in vendita nel dark web, la parte di internet raggiungibile solo con programmi appositi, e gli indirizzi delle scuole sono pubblici.
Secondo un'azienda di sicurezza informatica che lo ha analizzato, quell'account era stato rubato più di un anno prima, e nessuno lo aveva chiuso. Dopo gli allarmi l'università lo ha sospeso e ha annunciato che sospenderà gli account degli ex studenti inattivi da molto tempo: una misura semplice, arrivata quando da quella casella erano già partite mail per migliaia di scuole.
Non è chiaro come chi ha spedito le mail sia entrato nei due account, ma in casi come questi la difesa più utile riguarda chi possiede la casella più che chi riceve la mail. L'autenticazione a due fattori, cioè la richiesta di un codice o di una conferma sul telefono oltre alla password, impedisce a chi ha rubato soltanto la password di entrare. L'Agenzia per la cybersicurezza nazionale (ACN) raccomanda ai dipendenti pubblici di attivarla sempre, e la stessa protezione serve alla posta di un negozio o di uno studio.
Phishing e truffe via SMS: dove l'educazione digitale serve di più #
Il phishing invece punta sugli errori delle persone. È la truffa che imita un servizio noto, come una banca, un ente pubblico o un corriere, per farsi dare password o dati della carta, e quando arriva per SMS o in chat prende il nome di smishing. Sono messaggi costruiti per mettere fretta: una carta bloccata, un pacco da ritirare, una multa da pagare subito.
In questi casi saper riconoscere il messaggio è la difesa principale: diffidare dei toni ultimativi, non aprire i link, ricordare che istituzioni e banche non chiedono dati personali per SMS. Fra i dati che i truffatori cercano c'è anche il codice temporaneo che la banca manda per confermare un'operazione, cioè il secondo fattore dell'autenticazione, e chi lo detta a un finto operatore rende inutile la protezione. Anche un indirizzo web può imitarne un altro cambiando una sola lettera, come racconta l'articolo sui domini .ai, .io e .si.
Su questo l'Italia è indietro: secondo l'Istat, nel 2025 poco più di metà delle persone fra i 16 e i 74 anni aveva competenze digitali almeno di base, lontano dall'obiettivo europeo di otto su dieci. Intanto, come risulta dal rapporto del Clusit, l'associazione italiana per la sicurezza informatica, gli incidenti gravi causati dal phishing in Italia sono cresciuti di due terzi in un anno.
Attacco hacker ai frigoriferi dei supermercati: il punto debole erano gli impianti #
L'attacco ai banchi frigo è il caso opposto, perché non ha avuto bisogno dell'errore di nessuno. Gli hacker non sono entrati nei frigoriferi ma nei controllori della refrigerazione, i computer con cui la grande distribuzione regola temperature e sbrinamento dei banchi. Come spiega il bollettino dell'ACN, hanno sfruttato installazioni vecchie, pannelli di gestione raggiungibili da internet e accessi protetti male, e da lì hanno avviato lo sbrinamento e cambiato le impostazioni fino a interrompere la catena del freddo. Non è chiaro chi abbia organizzato gli attacchi.
Impianti esposti in questo modo sono molti: un'altra azienda ha contato quasi 13mila sistemi di gestione della refrigerazione raggiungibili da internet, più che altrove in Francia e in Italia, spesso protetti da password deboli. In uno dei supermercati colpiti il controllore non riceveva assistenza tecnica da più di cinque anni.
Per questo il bollettino si rivolge alla grande distribuzione e ai manutentori, non a chi lavora nei negozi. Chiede di togliere da internet i pannelli di gestione, separare la rete degli impianti da quella degli uffici, cambiare le password di fabbrica e sostituire gli apparecchi che il produttore non aggiorna più. Gli accessi dei tecnici vanno chiusi a fine intervento, e quelli da remoto protetti con l'autenticazione a più fattori, la stessa che serve a una casella di posta.
Lo stesso vale per gli apparecchi di negozi, ristoranti e studi collegati a internet e mantenuti da ditte esterne, dalle telecamere alle celle frigorifere. È la divisione dei compiti raccontata nell'articolo sulla falla PHP2Shell: a correggere un difetto è chi gestisce il sistema, mentre chi lo acquista deve sapere chi lo aggiorna e fino a quando.
Le regole europee, intanto, chiedono di più a chi fabbrica gli apparecchi. Il Cyber Resilience Act, il regolamento europeo sulla sicurezza dei prodotti digitali, obbliga già i produttori a segnalare in fretta alle autorità le falle sfruttate negli attacchi. Dalla fine del 2027 chiederà loro anche di garantire gli aggiornamenti di sicurezza, di norma per almeno cinque anni, e di dire al momento dell'acquisto fino a quando arriveranno. Dal 14 gennaio 2027 il nuovo Regolamento Macchine vorrà inoltre che il software da cui dipende la sicurezza di una macchina sia protetto dalle alterazioni. Entrambe le regole valgono però soprattutto per i prodotti nuovi, e gli apparecchi già installati restano affidati a chi li gestisce.
Impianti pubblici, reti e intelligenza artificiale: perché serve una riserva pronta #
Anche gli impianti di una città possono finire nel mirino: ad aprile un gruppo di hacker ha messo in vendita su Telegram un presunto accesso al sistema che comanda le valvole contro l'allagamento di Piazza San Marco, a Venezia. La rivendicazione non è stata confermata, e alcune analisi tecniche descrivevano il sistema come isolato.
Chi attacca usa già anche le AI: programmi di intelligenza artificiale senza filtri, capaci di scrivere mail di phishing e codice per attaccare, si scaricano facilmente e funzionano sul proprio computer, come ha documentato Talos, il gruppo di ricerca sulla sicurezza di Cisco. Per il Clusit la causa probabile della crescita del phishing in Italia è l'AI, che rende più realistici mail, SMS e perfino messaggi vocali.
Anche gli assistenti delle aziende di AI, che rifiutano le richieste pericolose, a volte vengono ingannati. Un anno fa Anthropic, l'azienda che sviluppa Claude, ha raccontato di aver bloccato un gruppo di hacker che aveva fatto credere a Claude Code, il suo programma che scrive codice, di lavorare per un'azienda di sicurezza. In questo modo il gruppo aveva tentato di entrare nei sistemi di una trentina di aziende ed enti, e secondo Anthropic l'AI aveva svolto quasi tutto il lavoro.
Un agente AI, cioè un programma che esegue compiti da solo, sa anche trovare un apparecchio sulla rete di casa e cambiarne le impostazioni: nel caso raccontato nell'articolo sulle smart TV, l'agente lo ha fatto su richiesta del proprietario della TV. È probabile quindi che per attaccare servano meno persone e meno competenze di qualche anno fa.
Un servizio pubblico però può fermarsi anche senza un attacco. Il 16 ottobre un guasto alla rete dati nazionale che serve il controllo del volo ha costretto ENAV, la società che gestisce il traffico aereo civile, a dimezzare per alcune ore i voli ammessi nello spazio aereo. ENAV ha escluso un attacco informatico: il problema era nella rete, gestita da un fornitore esterno. A limitare i danni è stata una rete di riserva via satellite, che ha riportato la capacità a tre quarti del traffico in attesa che il guasto fosse risolto.
Impianti e account: cosa chiedere a chi li installa e li gestisce #
Per un negozio, un ristorante o uno studio, la divisione dei compiti si traduce in poche domande. Puoi attivare da solo l'autenticazione a due fattori sulla posta e sugli account di lavoro. Per gli impianti e la rete, invece, rispondono chi li ha installati e chi li mantiene:
- Quali apparecchi dell'attività sono raggiungibili da internet, e chi può accedervi da remoto?
- Fino a quando il produttore li aggiornerà, e chi installa gli aggiornamenti?
- Le password di fabbrica sono state cambiate, e gli accessi dei tecnici si chiudono a fine intervento?
- Se la connessione si interrompe, quali impianti continuano a funzionare?
Se le risposte non ti sono chiare, o vuoi un secondo parere sul preventivo per un impianto collegato a internet, scrivimi.
Domande frequenti #
Chi deve difendersi dagli attacchi hacker? #
Dipende dall'attacco. L'educazione digitale di chi riceve i messaggi protegge soprattutto contro il phishing e le truffe via SMS, che funzionano solo se la persona clicca un link o comunica i propri dati. Contro gli account rubati serve l'autenticazione a due fattori, contro gli attacchi agli impianti servono apparecchi aggiornati e non raggiungibili da internet, e contro i guasti delle reti un collegamento di riserva.
Come riconoscere un SMS truffa o una mail di phishing? #
Diffida dei messaggi che mettono fretta o minacciano conseguenze, come una carta bloccata, un pacco fermo o una multa da pagare subito, e non aprire i link. Banche ed enti pubblici non chiedono password, PIN o codici di conferma per SMS o in chat. Per controllare, vai tu sul sito o nell'app ufficiale.
Cosa fare se ti hanno hackerato l'account? #
Cambia subito la password, e anche quella di ogni altro servizio dove hai usato la stessa, attiva l'autenticazione a due fattori e controlla che nelle impostazioni non siano stati aggiunti telefoni o indirizzi di recupero che non conosci. Se l'account è stato usato per truffe o minacce, puoi segnalarlo alla polizia postale sul portale commissariatodips.it.
Cos'è l'autenticazione a due fattori e come si attiva? #
È la richiesta di una seconda prova oltre alla password: un codice via SMS, un codice generato da un'app o una conferma sul telefono. Con l'autenticazione a due fattori chi ha rubato la password non riesce a entrare senza avere anche il tuo telefono. La attivi nelle impostazioni di sicurezza di ogni account, dalla posta ai social.
Come è avvenuto l'attacco hacker ai frigoriferi dei supermercati? #
Gli hacker sono entrati nei controllori della refrigerazione, i computer che regolano temperature e sbrinamento dei banchi, rimasti raggiungibili da internet, vecchi e protetti male. Da lì hanno avviato lo sbrinamento e cambiato le impostazioni, e la catena del freddo si è interrotta. Non è chiaro chi ci sia dietro.
Da dove arrivano le mail con l'allarme bomba nelle scuole? #
Da caselle vere, con ogni probabilità violate: quella dell'11 novembre dall'account di un'ex studentessa di un'università di Taiwan, quella del 12 novembre dall'indirizzo di un professore del ministero dell'Istruzione delle Filippine. Gli indirizzi delle scuole statali sono pubblici, e la stessa mail è arrivata a migliaia di istituti.
A chi rivolgersi per una truffa online? #
Alla polizia postale, che raccoglie segnalazioni e denunce sul portale commissariatodips.it, oppure a un qualunque ufficio di polizia o dei carabinieri. Se la truffa riguarda un pagamento con carta o conto, avvisa subito anche la banca per bloccare le operazioni.
