Il caso di stamani 11 novembre 2026 mostra come una minaccia inviata per posta elettronica possa interrompere le lezioni in migliaia di istituti scolastici. Gli header possono aiutare a ricostruire il percorso del messaggio. I log possono dirci quando l’invio è diventato visibile a chi gestisce la posta e quanto tempo c’era per avvertire le scuole.
L’11 novembre circa 6.300 istituti italiani sono stati raggiunti da una mail minatoria, secondo il ministro dell’Istruzione Giuseppe Valditara, citato da Reuters. Moltissime scuole sono state evacuate, secondo il primo bilancio riportato dall’agenzia. Sempre Valditara ha poi spiegato, in un’altra intervista ripresa dal Sole 24 Ore, che in alcuni istituti il messaggio era finito nello spam.
Sono dati che descrivono tre cose diverse: la portata dell’invio, ciò che è successo alle copie recapitate e le decisioni prese dalle scuole.
Dal mittente dichiarato al server che ha consegnato la mail
Nella schermata pubblicata dalla stampa il campo From mostra un indirizzo su cloud.dyu.edu.tw. La Da-Yeh University, a Taiwan, documenta quel sottodominio per le caselle studentesche su Microsoft 365. Il Sole 24 Ore riferisce che i primi accertamenti indicherebbero un account compromesso, forse appartenente a un’ex studentessa. Gli header originali e i log su cui verificare questa ricostruzione non risultano pubblicati nelle fonti consultate. Il nome visualizzato del mittente è un dato dichiarato nel messaggio e non basta per identificare chi ha effettuato l’invio
La posta ordinaria delle segreterie usa anche le caselle ministeriali del tipo [email protected]. Nella nostra verifica DNS dell’11 novembre, l’MX di istruzione.it puntava a istruzione-it.mail.protection.outlook.com. Per le copie consegnate a quel dominio, la piattaforma Microsoft era dunque il punto d’ingresso pubblicato. Se fosse confermato anche l’invio dalla casella universitaria, avremmo Microsoft 365 ai due estremi, con due organizzazioni distinte e controlli distinti. ANSA ha segnalato l’assenza di minacce ricevute in Trentino-Alto Adige e Valle d’Aosta, dove gli istituti usano domini autonomi. È un indizio sulla selezione dei destinatari. Il numero di istituti raggiunti non rivela quanti messaggi distinti siano stati spediti, quali domini abbiano ricevuto le copie o da dove provenga l’elenco.
Per chi svolge gli accertamenti, il confronto più informativo sarebbe tra una copia arrivata in posta in arrivo e una finita nello spam. La riga Received aggiunta dal gateway ricevente può identificare il server che gli ha consegnato la copia. Gli Authentication-Results generati dal servizio ricevente aiutano a capire se SPF o DKIM hanno superato la verifica e quale identità era allineata al dominio nel From. Anche un DMARC pass sarebbe compatibile con l’abuso di una casella legittima. Per verificare l’uso di quella specifica utenza servirebbero i log lato mittente. Lato ricevente, campi come CIP, CAT e SCL nel report antispam Microsoft, se presenti, e il message trace aiuterebbero a ricostruire la classificazione e il trattamento delle copie
Cosa abbiamo verificato sulle liste di reputazione
L’11 novembre abbiamo interrogato Spamhaus DBL e SURBL per cloud.dyu.edu.tw e dyu.edu.tw. I controlli positivi delle due liste hanno risposto e le quattro interrogazioni sui domini hanno restituito NXDOMAIN. Il risultato vale per quei nomi, quelle liste e il momento del test. SURBL riguarda i domini presenti negli URL. L’IP del server che ha consegnato la mail richiederebbe un controllo distinto. Red Hot Cyber riporta una segnalazione storica su VirusTotal da un motore su 92. I due riscontri possono coesistere e il motivo per cui alcune copie sono finite nello spam resta da accertare.
Un dominio insolito per la corrispondenza di una segreteria può contribuire alla valutazione. Per un gestore che riceve posta per migliaia di istituti, il segnale da cercare è anche la concentrazione in pochi minuti di messaggi molto simili diretti a molte caselle. La domanda tecnica per il MIM è quando questo schema è diventato visibile nella piattaforma e se l’informazione sia stata passata a chi stava valutando la minaccia.
Il costo dell’insicurezza ricade anche sugli altri
Se gli accertamenti confermassero l’abuso di un account universitario, il punto da ricostruire sarebbe la cronologia tra primo invio, primo avviso e contenimento. Se l’account apparteneva davvero a un’ex studentessa, entrerebbe in gioco anche la gestione delle utenze dopo la fine degli studi. Exchange Online consente agli amministratori di impostare limiti e azioni antispam in uscita. Per valutare un eventuale difetto di gestione servirebbe sapere quali regole si applicavano, se sia scattato un avviso e quante copie fossero già state consegnate (delle circa 6000 inviate).
Chi lascia i propri sistemi senza protezioni adeguate espone anche altri alle conseguenze di una compromissione. Quando una casella di posta violata viene usata per inviare minacce, una parte dei costi ricade su persone e organizzazioni che non hanno alcun controllo su come quella casella viene gestita. In questo caso, le scuole hanno interrotto le lezioni, molte famiglie hanno dovuto lasciare il lavoro per ritirare i figli e le forze dell’ordine hanno mobilitato personale per le verifiche. Se l’ipotesi della casella universitaria compromessa sarà confermata, l’episodio mostrerà come il costo di una carenza di sicurezza possa ricadere su un’intera collettività, anche a decine di migliaia di chilometri di distanza.
Dalla reazione all’allarme a una risposta coordinata e proattiva
Il ministro Valditara ha chiesto investimenti importanti in cybersecurity. Il caso dell’11 novembre aiuta a capire dove indirizzarli. In molti istituti la risposta è partita dalla singola segreteria, dopo che qualcuno ha letto la mail e ha segnalato la minaccia. È una risposta reattiva: ogni scuola vede inizialmente il proprio caso, mentre il quadro dell’invio di massa emerge man mano che le segnalazioni vengono collegate.
Un approccio proattivo si prepara prima dell’incidente. Chi gestisce la posta può predisporre il rilevamento di messaggi simili recapitati a molti istituti in pochi minuti. Ministero, scuole e forze dell’ordine possono concordare in anticipo chi raccoglie le segnalazioni, chi valuta la minaccia e attraverso quale canale i dirigenti ricevono le indicazioni operative. A Potenza, secondo ANSA, alcune scuole erano già state avvertite dalla Polizia Postale e, dopo aver segnalato la mail, hanno proseguito le lezioni su indicazione della Questura. In Scozia, il consiglio del Renfrewshire ha trasmesso ai dirigenti e alle famiglie la valutazione di Police Scotland.
L’efficacia degli investimenti si può misurare su due intervalli distinti. Il primo va dalla prima segnalazione al riconoscimento dell’invio di massa. Il secondo va da quel riconoscimento all’arrivo di un’indicazione operativa ai dirigenti. Misurarli separatamente aiuta a capire dove intervenire, sul rilevamento tecnico o sul coordinamento della risposta.