Ancora 'Andropov' firma nuovo mail bombing, più account usati

Secondo giorno di mail bombing nelle scuole italiane per il fantomatico 'Mikhail Andropov'. A differenza dell'invio di mercoledì, partito da un unico indirizzo di posta compromesso, questa volta gli account che hanno propagato i messaggi minatori sono più di uno. Un dettaglio al vaglio degli investigatori, alle prese col difficile compito di risalire all'identità di chi ha seminato il caos nel Paese con un semplice click.

Non ci vuole infatti un team di hacker sofisticati per portare a segno un'azione eclatante come quella di questi due giorni. Basta una sola persona che sa bene come rendersi irrintracciabile. Massimo risultato con il minimo sforzo. Tutte le ipotesi investigative sono comunque sul tavolo. La Polizia postale è al lavoro, in contatto con gli altri Paesi che hanno subìto analoghe campagne. Così come gli specialisti dell'intelligence e dell'Agenzia per la cybersicurezza nazionale.

L'esordio della sigla Mikhail Andropov risale a venerdì scorso, quando è apparso in un messaggio che annunciava la presenza di ordigni inviato alla televisione irlandese Rte ed alla bulgara Nova Tv e titolato "Message to the west". Entro 45 minuti la bomba sarebbe scoppiata, "the clock is ticking", "il tempo stringe", scriveva, informando che "questo è solo l'inizio. Quello che è accaduto questa settimana è soltanto una piccola parte di quello che attende l'Europa nel prossimo futuro".

Passano pochi giorni e 'Mikhail' bersaglia questa volta l'Italia. Il sistema è lo stesso: l'annuncio di una bomba che poi si rivelerà falso. Ma il polverone sollevato nelle famiglie e nella politica è vero. Mercoledì i messaggi provenivano dalla mail violata di una studentessa della Daye University di Taiwan.

Oggi gli account sono diversi: uno appartiene a Jorhaida Budiang, un'insegnante di Davao nelle Filippine. Il dominio deped.gov.ph rimanda al Dipartimento dell'Istruzione del governo filippino. Un altro profilo utilizzato oggi è quello di Ysabel Canary, educatrice di una scuola di Batangas City, sempre nelle Filippine. E ce ne sono altri.

Provare a seguire le tracce degli account compromessi è come muoversi in un labirinto senza uscita. Sul dark web c'è un florido mercato di credenziali governative, acquistabili con poche decine di dollari. Un territorio in cui si muovono anche gli investigatori alla ricerca di possibili agganci. Le mail, peraltro, bucano i filtri antispam delle scuole perché non contengono allegati. L'Intelligenza artificiale è stata presumibilmente utilizzata sia nell'acquisizione degli obiettivi (le migliaia di istituti scolastici) sia nella propagazione del messaggio. Che in questo caso non ha il beffardo rimando di ieri al "Misoginistan".

Ma il titolo della mail è "Messaggio dall'Italia. Siete in pericolo". Quasi a voler indicare la pista interna, anche se alcune espressioni usate, come "cani da fiuto" e "primo ministro Giorgia Meloni", farebbero pensare ad una traduzione automatica. Tutte illazioni, al momento, mentre tra gli analisti c'è l'ipotesi che la campagna di falsi allarmi possa continuare, passando dalle scuole ad altri settori.