Corriere della Sera, 13 novembre 2026
Gli indirizzi in vendita sul dark web. Così «Andropov» ha attaccato ancora
In mancanza di link e allegati anche l’antispam diventa una speranza vana per bloccare le mail minatorie. E lo spoofing, ovvero l’utilizzo di falsi account, è una tecnica che «Mikhail Andropov» sembra evitare a tutti i costi per non essere individuato: troppo rischioso forse affidarsi a software a base di intelligenza artificiale per riprodurre messaggi che potrebbero essere rintracciati. Il misterioso mitomane che da settimane invia – firmandosi anche in altri modi – migliaia di mail annunciando bombe nelle scuole italiane e straniere (ieri allarmi anche nel Regno Unito) continua invece a usare account compromessi, privilegiando quelli di istituzioni e uffici legati al settore dell’istruzione. In un solo caso – quello di una funzionaria colombiana di Bogotà – ha scelto un’azienda sanitaria realmente esistente in Colombia. Il sospetto è che i sistemi informatici di scuole e università a livello globale siano più facili da «bucare» e questo possa averlo avvantaggiato fino a questo momento.
I messaggi
Per le oltre 3.700 mail inviate ieri mattina – l’orario è sempre lo stesso, attorno alle 9 – negli istituti scolastici italiani, «Andropov» ha utilizzato un account acquisito forse sul dark web intestato a una docente che lavora per il Dipartimento dell’istruzione delle Filippine, insieme con uno di una sua collega di una scuola elementare in Slovacchia e un altro con la sigla del Pakistan. È la terza volta che viene utilizzato il nome di origine russo, anche se il contenuto delle mail – identico per tutti gli account – comprende parole tradotte in italiano dall’arabo.
La strategia
Con riferimenti ormai comuni a tutti i messaggi, come quelli ai «sacchetti» usati per contenere le bombe, l’uso di ammonio fra le componenti degli ordigni. La novità di ieri è rappresentata dalla richiesta di dimissioni della premier Giorgia Meloni, la bomba segnalata a Palazzo Chigi, la consapevolezza che i destinatari italiani possano aver pensato «a uno scherzo» e la firma accompagnata questa volta dal saluto finale: «Con disprezzo».
I precedenti
Il nome di «Andropov» era già comparso il 6 novembre, con i messaggi minatori spediti ad alcune emittenti televisive in Irlanda e in Bulgaria, nonché alle redazioni di giornali, anche in Gran Bretagna (Scozia e Irlanda del Nord). E ancora mercoledì con l’invio – con modalità identiche – di mail che annunciavano la presenza di bombe pronte a scoppiare a 6 mila istituti scolastici solo nel nostro Paese. In questo caso con un account di un’università di Taiwan compromesso e acquistato sul dark web a gennaio, intestato a una donna che deve essere ancora identificata. Non si esclude a questo punto che anche l’account filippino di ieri sia collegato sempre al mondo del dark web e che fosse già indisponibile ormai da mesi, come del resto si sospetta gli altri collegati ai ministeri dell’Istruzione saudita ed egiziano utilizzati da sigle diverse da «Andropov»: il «Corpo della Rivoluzione islamica» e anche il «Male State» per gli allarmi bomba di metà ottobre e di inizio novembre in Italia e in altri Paesi europei che hanno interessato anche decine di voli civili.
Il sospetto
A complicare le indagini per identificare chi si nasconde davvero dietro «Andropov» c’è il fatto che il mittente degli allarmi bomba utilizza sistemi di anonimizzazione degli indirizzi reali che impediscono anche la sua geolocalizzazione. Da qui il sospetto, fra le varie ipotesi che vengono fatte in questi giorni, che in realtà possa operare in uno Stato europeo anche se sfrutta mail rubate e vendute sul dark web riconducibili a Paesi molto distanti.