Allarmi bomba nelle scuole e hacker nei frigoriferi: quali rischi sono davvero concreti?

Migliaia di scuole raggiunte da email che annunciano la presenza di ordigni, supermercati europei colpiti da attacchi informatici, avvertimenti sui possibili rischi per router ed elettrodomestici domestici. Sono alcuni degli episodi che, negli ultimi giorni, hanno occupato ampio spazio nell'informazione nazionale. Avvenimenti diversi, spesso raccontati insieme e talvolta associati a scenari di guerra ibrida, con riferimenti a possibili operazioni riconducibili a Paesi stranieri. Ma esiste un elemento essenziale da chiarire: una minaccia dichiarata, un attacco realmente avvenuto e un rischio futuro non sono la stessa cosa.

Comprendere questa differenza non significa minimizzare la sicurezza informatica, sottovalutare un allarme o mettere in discussione il lavoro delle autorità. Al contrario, permette di valutare correttamente le situazioni, individuare le precauzioni realmente utili e distinguere ciò che è stato accertato dalle ipotesi ancora prive di conferme. Per chi ascolta un telegiornale senza possedere particolari conoscenze tecniche, questa distinzione può cambiare completamente la percezione del pericolo.

L'11 novembre 2026 circa 6.300 istituti scolastici italiani hanno ricevuto messaggi di posta elettronica contenenti minacce di attentati esplosivi. Almeno 300 scuole sono state evacuate, mentre in numerose altre le attività sono proseguite secondo le indicazioni ricevute dalle autorità. Famiglie, insegnanti e studenti hanno vissuto momenti di comprensibile preoccupazione. Le verifiche effettuate non hanno però individuato ordigni né elementi concreti che confermassero le minacce. Il governo ha comunicato che, sulla base degli accertamenti disponibili, non risultavano pericoli effettivi per gli istituti coinvolti.

È fondamentale distinguere i due aspetti. L'invio delle email è un fatto reale, così come sono reali le evacuazioni, il lavoro delle forze dell'ordine, l'interruzione delle lezioni e le conseguenze organizzative per migliaia di famiglie. La presenza delle bombe, invece, era un'affermazione contenuta nei messaggi minatori, non un fatto dimostrato. Confondere queste due informazioni può indurre a percepire un'emergenza di natura diversa da quella effettivamente accertata.

Perché una minaccia di bomba deve essere verificata, anche quando appare poco credibile. Una scuola che riceve un messaggio minatorio non può ignorarlo autonomamente sulla base di una semplice impressione. Occorre informare le autorità competenti, valutare gli elementi disponibili e applicare le procedure indicate. L'evacuazione, quando viene disposta, rappresenta una misura precauzionale e non la dimostrazione che sia stato trovato un esplosivo.

La valutazione può cambiare a seconda delle circostanze. Un avvertimento specifico, accompagnato da elementi verificabili, non è equivalente a un testo identico inviato contemporaneamente a migliaia di indirizzi pubblici. Per questo la gestione delle segnalazioni richiede competenze investigative, protocolli condivisi e informazioni tempestive. Nel caso dell'11 novembre, anche istituti di Irlanda, Irlanda del Nord e altre aree europee hanno ricevuto comunicazioni analoghe. Le autorità locali, valutandole non credibili, hanno in diversi casi indicato di mantenere regolari le attività scolastiche.

Le differenti decisioni non dimostrano automaticamente che qualcuno abbia agito correttamente e qualcun altro abbia sbagliato. Possono dipendere da procedure, informazioni disponibili e valutazioni operative diverse. Mostrano però quanto sia importante disporre di strumenti comuni per distinguere una minaccia concreta da una comunicazione progettata per provocare allarme, evitando sia la sottovalutazione sia reazioni non proporzionate.

Un altro elemento riguarda la semplicità tecnica dell'operazione. Inviare migliaia di email a indirizzi scolastici pubblicamente disponibili non richiede necessariamente la violazione dei sistemi informatici delle scuole. Può essere sufficiente un programma per l'invio automatizzato dei messaggi, eventualmente utilizzando un account di posta compromesso. Non si tratta, quindi, di una dimostrazione automatica che migliaia di istituti abbiano subito un'intrusione informatica.

Secondo le informazioni circolate durante gli accertamenti, i messaggi sarebbero partiti da un account compromesso riconducibile a un'università di Taiwan. Anche questo dato richiede una lettura corretta: il Paese a cui appartiene un servizio di posta elettronica non identifica necessariamente la provenienza dell'autore. Un criminale può utilizzare un account sottratto a un'altra persona, un server collocato all'estero oppure sistemi intermedi per nascondere la propria identità.

Lo stesso principio vale per i nomi e i riferimenti contenuti nelle comunicazioni. La firma utilizzata nelle email e alcuni richiami a terminologie associate alla Russia e al mondo islamico non costituiscono una prova dell'esistenza di collegamenti con governi o organizzazioni straniere. Un autore può scegliere liberamente uno pseudonimo, introdurre riferimenti politici o utilizzare elementi ingannevoli per confondere le indagini. Per stabilire un'attribuzione servono verifiche tecniche e investigative molto più approfondite.

È qui che entra nella discussione il concetto di guerra ibrida. Con questa espressione si indicano attività che possono combinare strumenti militari e non militari, attacchi informatici, disinformazione, sabotaggi, pressioni economiche e operazioni finalizzate a destabilizzare istituzioni o servizi essenziali. È un fenomeno studiato dalle autorità di sicurezza e non rappresenta un'invenzione. Ma riconoscere l'esistenza della guerra ibrida non significa poter attribuire automaticamente a questa categoria ogni episodio anomalo o minaccioso.

Una campagna di false minacce potrebbe teoricamente rientrare in un'operazione organizzata per generare instabilità. Potrebbe però essere anche l'iniziativa di criminali, gruppi senza legami statali, persone interessate a ottenere visibilità oppure autori che imitano episodi precedenti. Individuare quale spiegazione sia corretta è compito delle indagini. La coincidenza temporale con altri incidenti non basta, da sola, a dimostrare una regia comune.

Gli attacchi informatici riconducibili ad attori statali o a gruppi collegati a interessi geopolitici sono documentati da anni. Esistono operazioni di spionaggio, sabotaggio e disturbo dei servizi pubblici che meritano massima attenzione. Ma la conoscenza generale di queste attività non può sostituire le prove relative a un fatto specifico. Affermare che un episodio potrebbe essere collegato a una guerra ibrida è un'ipotesi; sostenere che ne faccia effettivamente parte è una conclusione che richiede riscontri.

Un ragionamento analogo vale per gli attacchi ai sistemi di refrigerazione commerciale che hanno interessato diversi Paesi europei a partire dall'11 ottobre. In questo caso non si parla soltanto di minacce inviate per posta elettronica. Si sono verificati accessi informatici non autorizzati e alterazioni del funzionamento di impianti professionali. In numerosi supermercati i prodotti conservati sono stati danneggiati dalle variazioni di temperatura, con conseguenze economiche concrete.

Il 4 novembre l'Agenzia dell'Unione europea per la cybersicurezza, ENISA, insieme alla Commissione europea e ad altri organismi competenti, ha confermato l'esistenza degli incidenti e la necessità di coordinare le misure di sicurezza. Il problema riguarda apparati professionali impiegati per controllare impianti commerciali, spesso dotati di funzioni di gestione e monitoraggio remoto.

Un'analisi tecnica pubblicata da Unit 42, il gruppo di ricerca sulla sicurezza di Palo Alto Networks, ha individuato nei giorni 5 e 6 novembre oltre 5.000 dispositivi di produttori coinvolti nelle segnalazioni raggiungibili da Internet. Questo numero non indica altrettanti sistemi violati e non dimostra che tutti fossero vulnerabili. La modalità esatta utilizzata dagli aggressori per ottenere il primo accesso agli impianti colpiti, inoltre, non risultava ancora definitivamente accertata.

Si tratta di informazioni importanti perché mostrano il ruolo che può avere l'esposizione diretta di sistemi professionali alla rete pubblica. Un'apparecchiatura accessibile da Internet attraverso un'interfaccia di amministrazione presenta condizioni di rischio differenti rispetto a un dispositivo domestico collocato dietro un router con firewall attivo.

Il 10 novembre il direttore esecutivo dell'ENISA, Juhan Lepassaar, ha avvertito che dopo i sistemi frigoriferi commerciali potrebbero essere presi di mira anche router ed elettrodomestici delle abitazioni. Il messaggio richiama l'attenzione sulla sicurezza dei prodotti connessi e sulla necessità di investire nella prevenzione. Non costituisce però la prova dell'esistenza di una nuova campagna già avviata contro i frigoriferi delle famiglie.

Un frigorifero collegato al Wi-Fi non è automaticamente accessibile da Internet. Questa è probabilmente una delle informazioni tecniche più utili per comprendere il problema. Nelle normali reti domestiche i dispositivi utilizzano indirizzi IP privati e comunicano con Internet attraverso il router. Il firewall integrato impedisce generalmente l'apertura di nuove connessioni non richieste provenienti dall'esterno, a meno che non siano presenti autorizzazioni o configurazioni specifiche.

Molte connessioni mobili 4G e 5G, oltre ad alcune connessioni fisse, utilizzano il CGNAT, un sistema con cui il provider condivide un indirizzo IPv4 pubblico tra più clienti. In queste condizioni un aggressore non può normalmente raggiungere direttamente un elettrodomestico domestico attraverso una semplice connessione IPv4 in ingresso. Anche con un indirizzo IPv4 pubblico dedicato, un firewall correttamente configurato costituisce una barriera contro gli accessi non autorizzati.

Questa protezione non è assoluta. L'apertura volontaria di porte, le funzionalità di gestione remota, alcune configurazioni UPnP e i servizi esposti possono creare percorsi di accesso. Anche IPv6 deve essere considerato separatamente, perché può assegnare indirizzi globali ai dispositivi e richiede adeguate regole firewall. Ma il principio rimane valido: non basta che una lavatrice o un frigorifero siano collegati alla rete per consentire a uno sconosciuto di controllarli liberamente dall'esterno.

Esiste inoltre una modalità di comunicazione diversa. Numerosi apparecchi intelligenti si collegano autonomamente ai server del produttore per ricevere comandi dalle applicazioni utilizzate sugli smartphone. Se un criminale compromette l'account dell'utente, il servizio cloud o il software del dispositivo, potrebbe sfruttare un collegamento già attivo senza dover superare direttamente il firewall domestico.

È un rischio reale, ma anche qui servono condizioni precise. La presenza di un servizio cloud non significa automaticamente che esista una vulnerabilità. Perché l'attacco riesca occorre un difetto sfruttabile, una compromissione del servizio oppure l'accesso illegittimo a credenziali valide. Non è quindi corretto considerare ogni dispositivo smart un bersaglio facilmente raggiungibile, così come non sarebbe corretto ritenerlo invulnerabile.

Quanto è probabile che un normale cittadino subisca un attacco al frigorifero? Non esistono dati attendibili che consentano di attribuire una percentuale generale a questo scenario. Il rischio dipende dal modello utilizzato, dalle eventuali vulnerabilità conosciute, dall'affidabilità del produttore e dalla configurazione della rete. Per una famiglia con dispositivi aggiornati, servizi non esposti e router correttamente protetto, un attacco diretto dall'esterno presenta ostacoli tecnici rilevanti. Non ci sono elementi per trasformare gli incidenti dei supermercati in una previsione di attacchi imminenti alle abitazioni.

Un criminale potrebbe invece essere interessato a compromettere automaticamente grandi quantità di dispositivi senza conoscere o scegliere personalmente i proprietari. È il fenomeno delle botnet, reti di apparecchi infettati e utilizzati per svolgere attività illecite. In questo caso non conta tanto l'identità della singola vittima, quanto il numero dei dispositivi disponibili.

Un esempio documentato è BADBOX 2.0, una rete di milioni di dispositivi compromessi segnalata dall'FBI nel giugno 2025. Tra i prodotti coinvolti figuravano apparecchi Android per la televisione, proiettori e altri dispositivi connessi. Alcuni contenevano già software malevolo al momento dell'acquisto; altri potevano essere compromessi attraverso applicazioni distribuite da fonti non affidabili. I criminali utilizzavano questi apparecchi anche come punti di passaggio per attività informatiche illecite.

L'episodio dimostra che i rischi informatici domestici esistono, ma offre anche un'indicazione pratica: la provenienza del dispositivo, l'affidabilità del software e la sicurezza delle applicazioni installate possono essere più determinanti della semplice presenza di una connessione Wi-Fi. Le telecamere di sorveglianza e gli apparati di rete richiedono inoltre una particolare attenzione, perché una compromissione può esporre immagini private, comunicazioni o altri dispositivi della rete locale.

La responsabilità principale della sicurezza strutturale appartiene comunque a chi progetta e commercializza i prodotti. Un utente non può correggere autonomamente una vulnerabilità presente nei server del produttore, modificare un firmware difettoso o mettere in sicurezza un servizio cloud gestito da terzi. Può aggiornare i dispositivi, proteggere gli account e scegliere prodotti affidabili, ma gli interventi sulle infrastrutture e sul software devono arrivare dalle aziende.

Questo principio trova spazio anche nella normativa europea. Il Cyber Resilience Act introduce obblighi per i produttori di prodotti digitali. Dall'11 settembre 2026 sono già operative determinate prescrizioni sulla segnalazione di vulnerabilità sfruttate e incidenti gravi, mentre dall'11 dicembre 2027 diventeranno applicabili i principali requisiti di sicurezza dei prodotti. La prevenzione deve quindi iniziare nella progettazione e proseguire attraverso aggiornamenti e assistenza durante il ciclo di vita degli apparecchi.

Arrivati a questo punto emerge una domanda più ampia: perché episodi così differenti vengono spesso raccontati attraverso un unico scenario di crescente insicurezza? La successione ravvicinata degli eventi, il loro impatto emotivo e le possibili implicazioni internazionali possono favorire interpretazioni comuni. Tuttavia, raccontare insieme diversi episodi non significa necessariamente che siano collegati nella realtà.

Le email minatorie alle scuole possono essere inviate con strumenti relativamente semplici. La compromissione di un impianto industriale richiede condizioni tecniche differenti. Un attacco a una rete elettrica, a un ospedale o a un sistema di trasporto può coinvolgere risorse, competenze e conseguenze ancora diverse. Sono situazioni che appartengono alla sicurezza in senso ampio, ma non condividono automaticamente autori, obiettivi o livelli di pericolo.

Il riferimento alla guerra ibrida può essere pertinente quando esistono elementi a sostegno di un'operazione coordinata. Diventa meno utile se viene impiegato come spiegazione generale prima che le indagini abbiano chiarito i fatti. La possibilità che una determinata attività sia riconducibile a un Paese straniero deve rimanere distinta dall'effettiva attribuzione. Anche le accuse formulate da un governo nei confronti di un altro richiedono di essere presentate come tali, soprattutto quando le prove tecniche non sono state rese pubbliche o restano contestate.

Non è necessario immaginare un disegno deliberato dietro ogni collegamento proposto durante una trasmissione televisiva. La ricerca di spiegazioni immediate, la presenza di esperti con competenze differenti e la difficoltà di approfondire argomenti tecnici in pochi minuti possono contribuire a presentare scenari complessi in maniera semplificata. Il risultato, però, può essere una percezione del rischio diversa da quella sostenuta dai fatti disponibili.

Un esperto informatico può spiegare quali strumenti potrebbe utilizzare un aggressore, quali vulnerabilità esistono e quali scenari sarebbero tecnicamente realizzabili. Ma dimostrare che uno specifico episodio sia stato organizzato da una determinata struttura statale richiede elementi investigativi ulteriori. La competenza tecnica consente di formulare ipotesi plausibili, non di trasformarle automaticamente in certezze.

Per il pubblico, questa differenza è particolarmente importante. Una persona anziana che ascolta in televisione una notizia sugli hacker capaci di colpire gli elettrodomestici potrebbe convincersi che il frigorifero o il router di casa siano esposti a un pericolo imminente. Potrebbe non sapere che la propria rete è protetta da un firewall o che gli attacchi descritti hanno interessato apparecchiature commerciali con caratteristiche diverse.

Il giorno successivo, la stessa persona potrebbe ricevere un messaggio che sembra provenire dalla banca, contenente una richiesta urgente di verifica del conto. In questo secondo caso il pericolo è molto più diretto: un collegamento fraudolento può portare alla sottrazione di credenziali, dati personali e denaro. Ed è proprio su questa tipologia di minacce che un'informazione semplice e concreta può fare una differenza immediata.

Phishing, truffe telefoniche e applicazioni malevole sono rischi quotidiani sui quali i cittadini possono intervenire. Gli aggressori non devono necessariamente violare un sistema informatico complesso. Possono inviare email che imitano comunicazioni ufficiali, SMS che annunciano pacchi in consegna o multe non pagate, messaggi su applicazioni di conversazione e telefonate nelle quali si presentano come operatori bancari o tecnici dell'assistenza.

Il meccanismo sfrutta soprattutto la fiducia, la fretta e la paura di perdere denaro o accesso a un servizio. Una pagina web può riprodurre fedelmente la grafica di un istituto bancario. Un falso operatore può chiedere di comunicare un codice temporaneo oppure convincere la vittima ad autorizzare un pagamento sostenendo che serva a bloccare una frode. In questi casi il firewall del router e il CGNAT non possono proteggere l'utente da una decisione presa sulla base di informazioni ingannevoli.

Gli esempi italiani sono numerosi e verificabili. Il CERT-AGID ha documentato campagne che imitano comunicazioni dell'Agenzia delle Entrate, dell'INPS e di PagoPA, comprese false richieste di pagamento e presunti rimborsi della tassa sui rifiuti. Nella sola settimana dal 5 all'11 settembre 2026 il servizio ha individuato e analizzato 170 campagne malevole nel proprio ambito di osservazione, 136 delle quali con obiettivi specificamente italiani. Non si tratta del numero di persone truffate, ma di un indicatore concreto della diffusione di questi tentativi.

Anche il rapporto ENISA Threat Landscape 2026 conferma che le minacce informatiche interessano ambiti diversi, dalle grandi organizzazioni ai servizi essenziali. Nel campione analizzato, le pubbliche amministrazioni risultano il settore maggiormente colpito, con il 32% degli incidenti riferiti alle organizzazioni considerate. Il dato non indica la probabilità che un cittadino subisca personalmente un attacco, ma aiuta a comprendere quanto sia importante distinguere gli obiettivi e le modalità delle operazioni criminali.

In assenza di statistiche omogenee non si può assegnare una percentuale credibile al rischio individuale di phishing e confrontarla direttamente con quella di un attacco a un elettrodomestico. Si può però osservare che le campagne di frode rivolte ai cittadini sono ampiamente documentate, che le loro modalità sono conosciute e che esistono comportamenti preventivi concreti. Per la maggior parte degli utenti, imparare a riconoscere questi tentativi offre un beneficio immediato e facilmente comprensibile.

Le precauzioni fondamentali non richiedono conoscenze informatiche avanzate. È utile mantenere aggiornati smartphone, computer e router, installare applicazioni esclusivamente da fonti affidabili, utilizzare password differenti per i servizi importanti e attivare l'autenticazione a più fattori. Quando disponibili, le passkey possono ridurre ulteriormente l'esposizione al phishing. È prudente conservare copie di sicurezza dei documenti e delle fotografie importanti.

Davanti a una richiesta urgente ricevuta via email, SMS o telefono, la misura più efficace è spesso una verifica autonoma. Per controllare una comunicazione bancaria è preferibile aprire direttamente l'applicazione ufficiale o contattare la banca attraverso un numero conosciuto. Non bisogna comunicare password o codici temporanei a presunti operatori, né autorizzare trasferimenti di denaro sulla base di una telefonata inattesa.

Per la casa connessa sono generalmente sufficienti controlli proporzionati: mantenere attivo il firewall del router, verificare che la gestione remota non sia esposta inutilmente a Internet, aggiornare il firmware, proteggere le credenziali dei servizi cloud e scegliere dispositivi di produttori che garantiscano assistenza e aggiornamenti. Una rete separata per gli oggetti smart può offrire un'ulteriore protezione se configurata con un effettivo isolamento. Non occorre modificare continuamente le impostazioni o rinunciare agli elettrodomestici connessi per timore di scenari ipotetici.

La stessa attenzione alla proporzione dovrebbe guidare la comunicazione sulle minacce alle scuole. Una famiglia ha bisogno di sapere se l'edificio frequentato dai figli sia stato controllato, quali indicazioni abbiano fornito le autorità, se esista un rischio accertato e quando potranno riprendere regolarmente le lezioni. Le considerazioni sulle possibili implicazioni internazionali possono essere approfondite separatamente, chiarendo sempre il grado di certezza delle informazioni disponibili.

La prevenzione non consiste soltanto nell'adozione di misure tecniche. Comprende la preparazione delle persone, il coordinamento tra istituzioni e la capacità di comunicare indicazioni comprensibili. Se un messaggio fraudolento può interrompere le attività di centinaia di scuole, diventa essenziale disporre di procedure efficaci per valutarne rapidamente l'attendibilità. Se un apparecchio industriale presenta vulnerabilità che consentono interventi non autorizzati, occorre correggere quelle vulnerabilità e proteggere gli accessi. Sono risposte differenti a problemi differenti.

Esiste infine un rischio legato alla continua esposizione agli allarmi. Quando ogni episodio viene percepito come una possibile emergenza generale, alcune persone possono sviluppare una preoccupazione sproporzionata rispetto alla minaccia effettiva. Altre possono reagire in modo opposto, abituandosi a notizie allarmanti e attribuendo progressivamente meno importanza anche agli avvertimenti seri.

Entrambi gli effetti meritano attenzione. Informare sui rischi è necessario, ma una comunicazione efficace dovrebbe distinguere la gravità delle conseguenze dalla probabilità che si verifichino. Un evento estremamente dannoso può richiedere una preparazione accurata anche quando è poco probabile. Un tentativo di truffa apparentemente meno spettacolare può invece rappresentare una minaccia frequente per il cittadino e richiedere una maggiore attenzione quotidiana.

Non c'è alcuna contraddizione tra riconoscere l'esistenza delle guerre ibride, prendere sul serio la sicurezza delle infrastrutture e osservare che un comune elettrodomestico domestico non presenta necessariamente le medesime vulnerabilità di un sistema industriale. Allo stesso modo, è possibile considerare doverose le verifiche dopo una minaccia di bomba e, contemporaneamente, spiegare che una segnalazione non dimostra la presenza di un ordigno.

La differenza sta nel modo in cui vengono presentate le informazioni. Il pubblico dovrebbe poter distinguere ciò che sappiamo, ciò che gli investigatori stanno ancora cercando di accertare e ciò che costituisce soltanto uno scenario possibile. Quando questi livelli vengono mescolati, episodi separati possono apparire come parti di un'unica emergenza, anche senza elementi sufficienti per dimostrarlo.

Per le famiglie, la conclusione pratica è semplice. Gli attacchi ai sistemi frigoriferi commerciali non dimostrano che i frigoriferi domestici siano diventati un bersaglio imminente. Le email minatorie inviate alle scuole hanno provocato disagi e preoccupazioni reali, ma le verifiche disponibili non hanno confermato la presenza di esplosivi. Le ipotesi di operazioni internazionali coordinate richiedono ulteriori prove prima di poter essere considerate spiegazioni accertate.

Nel frattempo, le minacce informatiche più direttamente affrontabili dai cittadini continuano a essere quelle legate alle frodi, al furto delle credenziali, alle applicazioni malevole, agli account non protetti e ai dispositivi privi di aggiornamenti. Sono problemi che meritano un'informazione costante, accessibile anche a chi possiede poca esperienza digitale e accompagnata da indicazioni realmente utilizzabili.

La sicurezza non si ottiene ignorando i pericoli, ma neppure presentando ogni possibilità tecnica come una minaccia imminente. Richiede conoscenze, prevenzione, responsabilità dei produttori, verifiche delle autorità e una comunicazione capace di mantenere separate certezze e ipotesi.

Il compito dell'informazione dovrebbe essere proprio questo: aiutare le persone a capire che cosa è accaduto, quali conseguenze sono state accertate, quanto riguarda concretamente la loro vita e quali precauzioni possono adottare. Una società informata non è quella che vive costantemente in allarme, ma quella che sa riconoscere i pericoli reali e affrontarli con consapevolezza.