Per questo nuovo invio «Andropov» ha usato un account, forse acquistato sul dark web, intestato a una docente del Dipartimento dell’istruzione delle Filippine. Insieme a questo ne ha utilizzati altri due: uno di una sua collega di una scuola elementare in Slovacchia e uno con la sigla del Pakistan. È la terza volta che compare il nome di origine russa, anche se il testo delle mail, identico per tutti gli account, contiene parole tradotte in italiano dall’arabo.
I messaggi non hanno link né allegati, e per questo anche i filtri antispam non riescono a bloccarli. Il mittente sembra evitare a tutti i costi lo spoofing, cioè l’uso di falsi account, per non essere individuato. Preferisce invece account compromessi, soprattutto di istituzioni e uffici legati all’istruzione. In un solo caso ha scelto un’azienda sanitaria realmente esistente in Colombia, con l’account di una funzionaria di Bogotà. Il sospetto è che i sistemi informatici di scuole e università siano più facili da «bucare».
Nelle mail tornano riferimenti ormai ricorrenti, come i «sacchetti» per contenere le bombe e l’ammonio tra i componenti degli ordigni. Le novità di ieri sono la richiesta di dimissioni della premier Giorgia Meloni, una bomba segnalata a Palazzo Chigi e la consapevolezza che i destinatari italiani possano aver pensato «a uno scherzo». La firma, questa volta, era accompagnata dal saluto finale «Con disprezzo».
Il nome «Andropov» era già comparso il 6 novembre, nei messaggi minatori inviati ad alcune emittenti televisive in Irlanda e in Bulgaria e a redazioni di giornali, anche in Scozia e in Irlanda del Nord. Mercoledì, con le stesse modalità, erano partite mail che annunciavano bombe in 6 mila istituti scolastici in Italia. In quel caso era stato usato l’account compromesso di un’università di Taiwan, acquistato sul dark web a gennaio e intestato a una donna non ancora identificata.
Non si esclude che anche l’account filippino provenga dal dark web e fosse indisponibile da mesi. Lo stesso si sospetta per quelli dei ministeri dell’Istruzione saudita ed egiziano, usati dal «Corpo della Rivoluzione islamica» e dal «Male State» per gli allarmi di metà ottobre e inizio novembre in Italia e in altri Paesi europei, che hanno coinvolto anche decine di voli civili.
Le indagini sono complicate dai sistemi di anonimizzazione che nascondono gli indirizzi reali del mittente e ne impediscono la geolocalizzazione. Tra le ipotesi c’è quella che possa operare in uno Stato europeo, pur sfruttando mail rubate riconducibili a Paesi molto lontani.
