La nuova strategia della tensione: il mostro russo e quello islamico

Mercoledì 11 novembre una mail arriva nelle segreterie di centinaia di istituti italiani. La firma è «Mikhail Andropov, leader del Vilayat di Misoginistan», l'ordigno annunciato sta «all'interno di un sacchetto di plastica», la promessa è un «genocidio contro gli italiani». È il quinto atto di una strategia della tensione che dura da tre settimane e che, sulle stesse procedure, ha già indossato quattro nomi diversi. L'indirizzo di partenza appartiene a un ateneo di Taiwan, l'Università Dayeh, nella contea di Changhua. Le lezioni si fermano, gli studenti escono, gli artificieri controllano. Al momento del punto stampa tenuto a Bruxelles dal ministro dell'Istruzione Giuseppe Valditara, le scuole coinvolte sono 312; l'agenzia Adnkronos parlava di «oltre 100». Le verifiche di artificieri e unità cinofile si chiudono tutte con esito negativo, a Roma come a Genova, a Milano come a Trieste.

L'allarme bomba via mail è un meccanismo amministrativo prima che una minaccia. Chi riceve il messaggio non può valutarlo: la procedura gli impone di evacuare e di far verificare. Il costo è interamente dalla parte di chi risponde. Un allarme via posta elettronica si invia gratis da qualsiasi connessione del mondo, con la stessa economia della filiera che produce disinformazione su commissione; la risposta mobilizza pattuglie, unità cinofile, artificieri, caccia dell'Aeronautica militare quando l'allarme riguarda un volo, e un numero imprecisato di genitori che lasciano il posto di lavoro per riprendere i figli a scuola. Marco Camisani Calzolari, sentito da Affaritaliani il 5 novembre, riassume la sproporzione: «la vera arma è la mail». Gli investigatori aggiungono un secondo effetto, riportato da Repubblica e ripreso da L'Espresso: il ripetersi dei falsi allarmi abitua i sistemi di sicurezza alla minaccia e li rende meno pronti il giorno in cui l'allarme sarà vero.

Su queste procedure identiche, in tre settimane, si sono affacciate cinque identità che si escludono.

Il 19 ottobre la mail arriva in circa cento scuole italiane e in centinaia di istituti dell'Irlanda del Nord, della Scozia, dell'Ungheria e della Serbia. Invoca la Sharia, annuncia esplosivo al nitrato d'ammonio, si chiude con «Allahu Akbar». La polizia nordirlandese riferisce che fino a 300 scuole hanno ricevuto «lo stesso messaggio» e che i messaggi provenivano «dall'esterno del Regno Unito»; Il Messaggero ricostruisce che il mittente si presentava da un indirizzo riconducibile a un ministero dell'Arabia Saudita.

Il 2 novembre le mail raggiungono 271 istituti italiani, otto dei quali a Roma. Il mittente si presenta come appartenente al Corpo delle Guardie della rivoluzione islamica. È la giornata in cui l'Italia chiude per il ponte dei morti: molte scuole sono vuote e l'evacuazione non produce l'effetto che avrebbe avuto in un giorno di lezione.

Il 5 novembre la firma cambia natura. La mail arriva all'alba agli indirizzi di Aeroporti di Roma e di Aviapartner, la società di handling dello scalo di Fiumicino, indica due voli, precisa l'aeroporto e annuncia l'esplosione entro un'ora. Si firma «combattenti dello Stato Maschile» e accusa il «regime femminista». Lo Stato Maschile è un movimento reale: si chiama Muzhskoye Gosudarstvo, è un movimento misogino, ultranazionalista e omofobo nato online attorno al 2016 per iniziativa del blogger Vladislav Pozdnyakov, e un tribunale di Nizhny Novgorod lo ha dichiarato organizzazione estremista il 18 ottobre 2021. Il 6 novembre un account Telegram legato a Pozdnyakov risponde al servizio russo della Bbc con una derisione: «Quale Stato Maschile? Dove l'hai visto?». Reuters e la Bbc riportano il sospetto degli investigatori che la firma sia stata usata da altri.

Il 6 novembre la firma diventa un cognome sovietico. Diciotto redazioni europee, tra cui la tv pubblica irlandese Rte, la britannica Sky e la bulgara Nova, ricevono un messaggio intitolato «Message to the West» e firmato «Mikhail Andropov». Reuters osserva che il cognome è quello di Yuri Andropov, capo del Kgb e poi segretario generale del Partito comunista sovietico. Anche il titolo richiama una sua biografia pubblicata negli Stati Uniti nel 1983. Il giornale aggiunge che non è chiaro se il nome indichi un coinvolgimento russo o un tentativo di indirizzare i sospetti su Mosca.

L'11 novembre, infine, il cognome sovietico e la parola araba convivono in una firma sola: «Mikhail Andropov, leader del Vilayat di Misoginistan». Il Post ricostruisce che Vilayat è una traslitterazione russa della parola araba wilaya, che indica un governatorato; ricorda la sigla usata da un gruppo che nel 2015 si associò allo Stato islamico nel Caucaso settentrionale russo. Misoginistan è un neologismo inventato: Il Post lo definisce «usato in modo evidentemente parodistico». Il nome è costruito per non significare nulla di preciso e per suggerire due cose insieme: la parodia è il veicolo, non l'effetto collaterale.

La lettura che circola nei canali popolari è dichiaratamente la stessa di questo articolo: la formula è loro. L'11 novembre il canale Avvocati Liberi scrive che si sta assistendo a «una strategia della tensione analoga a quella degli anni '70 e del 1992». La spiega così: «al posto del nemico SARS-CoV2 hanno messo la Russia e l'Islam». Lo stesso canale smonta la firma pezzo per pezzo, osservando che Andropov è un nome russofono e che Vilayat è sostantivo arabo usato dai gruppi jihadisti locali; e che a bollire in pentola sono i costi dell'incremento degli investimenti in armi e il taglio del welfare. Nella ricostruzione di Avvocati Liberi, però, ricompare la promessa ad Anchorage che nessun documento conferma: il riferimento va preso come tesi dei canali, non come fatto.

Le mail, inoltre, si contraddicono nel contenuto prima che nell'autore. Quella del 5 novembre accusa un «regime femminista»; quella dell'11 novembre invoca Allah e dà la colpa dell'esistenza del regime agli italiani in quanto tali. Una sola organizzazione non ha motivo di fingersi, nella stessa settimana, jihadista e antifemminista russa, se non per produrre due allarmi invece di uno.

Il punto in cui la sequenza smette di essere un giallo e diventa dispositivo di una strategia della tensione è quando le due piste si incontrano sullo stesso tipo di impianto.

Nella notte fra l'11 e il 12 ottobre circa 700 supermercati francesi delle catene Système U, Intermarché e Leclerc subiscono la manomissione dei sistemi che regolano la temperatura dei frigoriferi. Il 9 novembre il ministro degli Esteri francese Jean-Noël Barrot attribuisce l'attacco al Corpo delle Guardie della rivoluzione islamica e annuncia sanzioni europee. La procura di Parigi apre un'indagine sul vertice dell'unità cyber Shahid Kaveh, nota anche come CyberAv3ngers e guidata da Mahdi Lashgarian. Chiede mandati di arresto internazionali. È un'attribuzione ufficiale, sostenuta da un'indagine, relativa a un mese e a un Paese.

Sui supermercati europei di novembre, Italia compresa, la conclusione si rovescia: la stessa scena degli scomparti che si scaldano, gli stessi pannelli di telecontrollo, e il mostro è l'altro. Il 4 novembre i collettivi filorussi NoName057(16) e Z-Pentest rivendicano con un video le manomissioni, affermando di aver colpito apparecchiature Danfoss e sistemi Dixell XWEB «senza malware», sfruttando funzioni già presenti nei dispositivi. A quella conclusione, per gli episodi di novembre, non corrisponde alcun provvedimento giudiziario né alcuna attribuzione ufficiale. Il direttore di Cybersecurity360 Alessandro Longo, il 9 novembre, formula la distinzione che separa i due casi: le indagini pubbliche «non hanno ancora stabilito se gli autori coincidano». Può essere la stessa operazione proseguita per settimane, può essere che gruppi diversi abbiano sfruttato gli stessi controllori mal protetti. L'Unit 42 di Palo Alto Networks, in un'analisi del 6 novembre, considera ancora non verificata la responsabilità che i due collettivi si attribuiscono.

Il canale di Giuseppe Masala ha seguito la sequenza giorno per giorno, riportando le attribuzioni così come arrivavano: la rivendicazione francese dell'11 novembre, la risposta iraniana affidata al ministro degli Esteri Araghchi secondo cui Parigi «non è nemmeno in grado di gestire i frigoriferi», l'avvertimento dell'agenzia europea sulla sicurezza secondo cui, dopo i frigoriferi, toccherà a router ed elettrodomestici, e il kit delle settantadue ore presentato come ciò che resta da fare quando l'impianto non tiene.

Nel mezzo, il ministro degli Esteri italiano tiene insieme le due versioni. Al G7 di Parigi del 9 novembre dice che gli attacchi all'Italia «sono certamente di hacker filorussi». Lo stesso giorno, parlando con il Corriere della Sera, aggiunge che «non possiamo parlare di Russia» e che bisognerà vedere chi siano i registi. Le due frasi si rivolgono a due pubblici diversi e non si contraddicono soltanto in apparenza: la prima offre il mostro russo, la seconda lo ritira appena il livello di attribuzione diventa formale.

Lo slittamento ha una data precisa. Il 2 settembre 2026, alla riunione informale dei ministri degli Esteri europei a Wicklow, in Irlanda, il leader della Lega e vicepresidente del Consiglio Matteo Salvini esponeva la lettura più cruda del meccanismo: diceva di avere «come l'idea che qualche cancelleria europea» cerchi «continui pretesti per alimentare questa guerra, magari vendere altre armi». Nella stessa giornata e nello stesso contesto Tajani, suo collega di governo, dichiarava di non escludere tentativi russi di interferire nelle elezioni italiane. Due mesi dopo è il titolare della Farnesina a parlare di guerra ibrida in corso e a chiedere che diventi il centro dell'agenda del G7. La posizione sul chi è la stessa di due ministri della stessa maggioranza, espressa a settembre da uno e a novembre dall'altro: è cambiato il soggetto che la enuncia in prima persona, con lui la funzione che le viene assegnata.

Che la tensione possa servire a due legittimazioni simultanee e che questo sia il meccanismo di una strategia della tensione, lo scrive in quei giorni la fonte tecnica e non politica. Pierluigi Paganini, già esperto dell'agenzia europea per la cybersicurezza, sposta a Cybersecurity360 il punto della questione: la domanda centrale riguarda chi sfrutti «deliberatamente questi episodi per alimentare una narrazione di guerra ibrida», se qualcuno lo stia facendo. Il 9 novembre il quotidiano Formiche intitola la propria analisi «Votiamo per Nato o non Nato, non destra o sinistra».

Il 7 novembre il vicepresidente del Consiglio denuncia la comparsa dei suoi dati e di quelli dei familiari in un'area del dark web raggiungibile tramite la rete Tor, con una taglia per chi fornisca altre informazioni. L'elenco pubblicato contiene diciotto nomi, non solo italiani: il procuratore di Roma Francesco Lo Voi, il capo della Polizia postale Ivano Gabrielli, il sindaco di Aviano Paolo Tassan-Zanin, il presidente di Eurojust Michael Schmid. Avvenire precisa che l'attribuzione a NoName057(16) «circola ancora come indiscrezione di stampa» e che Tajani parla di pirati informatici filorussi senza nominare il collettivo.

L'etichetta comune ai tre episodi della settimana è «attacco hacker all'Italia». Il primo dei tre, però, non è un'intrusione. L'esperto di sicurezza Maurizio Siracusa osserva su Cybersecurity360 che chi ha esfiltrato un database non mette una taglia su ciò che dovrebbe già possedere: la taglia è il comportamento di chi costruisce un dossier da fonti aperte e chiede alla comunità di completarlo. Il secondo episodio è una rivendicazione di 220 megabyte di documenti sottratti alla Direzione investigativa antimafia, che la Dia ha smentito: il materiale risulta già pubblicamente accessibile dal sito dell'ufficio. Il volume impressiona il lettore, non l'analista.

Il canale Sa Defenza aveva già posto la domanda il 7 novembre, in un intervento dedicato ai «Combattenti dello Stato Maschile»: se per mettere in ginocchio l'Europa basti davvero mandare qualche email spacciandosi per militanti di Hamas, hacker russi o pasdaran. Il terzo episodio è diverso dagli altri due e non ha avuto lo stesso risalto. BBT SE, la società che progetta e costruisce la galleria di base del Brennero tra Italia e Austria, ha confermato il 7 novembre un accesso non autorizzato a dati raggiungibili via Internet. L'intrusione risale a metà ottobre; il gruppo di estorsione russofono Everest ha rivendicato il 17 ottobre di avere sottratto 812 gigabyte, cifra non confermata in pubblico. L'infrastruttura è uno dei nodi industriali del riarmo europeo: il suo valore di intelligence sta nei disegni esecutivi. La società ha isolato i sistemi, avviato analisi forensi con specialisti esterni e informato le autorità. È l'unico dei tre casi che corrisponde alla definizione tecnica di incidente informatico; la sua attribuzione è la più incerta di tutte, perché Everest non fa propaganda su Telegram: pubblica su un sito di estorsione quando la trattativa fallisce: ha bisogno che si paghi, non che si parli di lui.

Il 25 giugno 2025, al vertice della Nato all'Aja, i paesi alleati si sono impegnati a spendere entro il 2035 il 5 per cento del Pil, diviso in un 3,5 per cento per la difesa in senso stretto e un 1,5 per cento per infrastrutture, cybersicurezza, capacità spaziali e filiera industriale. La premier italiana ha rivendicato l'impegno e ha escluso per il 2026 il ricorso alla clausola di salvaguardia. Nel 2025 la spesa italiana valeva il 2,10 per cento del Pil, al ventunesimo posto fra i trentuno alleati, secondo la riclassificazione della Nato ripresa da L'Espresso: un dato ottenuto in buona parte per revisione contabile, non per aumento degli stanziamenti, come già era accaduto con la spesa per la difesa italiana risalita sulla carta al 2,8 per cento del Pil.

La legge di Bilancio in preparazione porta alla difesa sette miliardi nel 2027 e sette nel 2028, secondo la ricostruzione de L'Espresso del 13 ottobre. Il 14 ottobre il Fatto Quotidiano riferisce che l'Ufficio parlamentare di bilancio ha indicato le due sole strade per sostenere un aumento che diventa strutturale dopo la fine della deroga europea: ridurre altri capitoli di spesa oppure aumentare le entrate con misure compensative. Nello stesso giorno la premier, parlando in Senato, ha respinto l'idea che si tratti di soldi tolti a sanità e scuola: le risorse, ha detto, non vengono sottratte agli ospedali. La tensione non paga nulla di tutto questo. A pagare sono i contribuenti che finanziano i sette miliardi e i sette, gli elettori che vedono l'agenda di un vertice internazionale comporsi in tre settimane, i genitori chiamati a riprendere i figli a scuola, i quali ultimi pagano anche sul piano fiscale, nella misura in cui la copertura della spesa si cercherà nelle pieghe del bilancio. La materia politica sulla quale gli uni e gli altri voteranno arriva già composta: comporla costa molto meno che discuterla.

Il 3 novembre, mentre le scuole si svuotavano e i frigoriferi si guastavano, la commissaria europea alla gestione delle crisi Hadja Lahbib ha aggiornato la lista di ciò che un cittadino dovrebbe tenere in casa per resistere settantadue ore. Il dieci novembre La Verità e il Corriere della Sera riportavano il contenuto: acqua per tre giorni, cibo in scatola, una torcia, una radio a pile, contanti. Il 1,5 per cento che la Nato destina a infrastrutture e cybersicurezza è la voce contabile sotto la quale ricadono anche protezioni che in quei giorni non c'erano: le interfacce di gestione dei frigoriferi esposte su Internet, i controllori con password predefinite, i pannelli di telemanutenzione raggiungibili da qualsiasi parte del mondo. Le linee guida europee sul recepimento della direttiva Nis2, la norma che impone agli operatori essenziali standard minimi di sicurezza, scadevano il 17 ottobre 2024; l'8 luglio scorso la Commissione ha portato davanti alla Corte di giustizia Irlanda, Spagna, Francia e Paesi Bassi, ancora inadempienti. Aprendo il documento che il governo aveva preparato per i cittadini, si legge che occorre reggere settantadue ore da soli. Il CERT francese ha chiesto di rimuoverli; l'Agenzia per la cybersicurezza nazionale ha indicato installazioni obsolete e carenze di autenticazione.

Dopo tre settimane di mail, evacuazioni e controlli, l'autore degli allarmi alle scuole risulta ignoto a ogni autorità italiana ed europea che abbia parlato. La sola attribuzione ufficiale prodotta nel periodo riguarda la Francia e riguarda l'Iran. Per gli incidenti italiani di novembre non esiste un provvedimento equiparabile: la richiesta di sanzioni avanzata da Parigi non si estende a Milano, a Busto Arsizio o a Bolzano. L'unico accesso informatico riconosciuto dalla vittima è quello al Brennero, rivendicato da un gruppo che monetizza e non da un collettivo che si esibisce, ed è l'episodio che ha ricevuto meno titoli. Il 10 novembre il ministro dell'Interno ha convocato al Viminale il Comitato nazionale per l'ordine e la sicurezza pubblica; il 12 e 13 novembre Dublino ospita i capi di Stato e di governo dei Ventisette. Nel mezzo, in un paese che discute di quanto spendere per difendersi, un utente ha messo in vendita sul dark web la scheda di un ministro costruita con ciò che il ministro stesso aveva pubblicato, e un tribunale non ha ancora stabilito chi abbia scritto due parole arabe a una scuola di Genova.