Allarmi bomba, c’è una mail italiana dietro tre casi avvenuti all’estero

L’Italia non è l’unico Paese a doversi confrontare con gli allarmi bomba. Se prendiamo quello che è successo in questi giorni e allarghiamo lo sguardo agli ultimi anni il numero di casi si moltiplica, in tutta Europa. Nel 2022 si sono registrati picchi di allarmi in Ucraina, prima dell’invasione di Mosca, e in Moldavia, prima delle elezioni. Lo schema era lo stesso. Gli allarmi arrivavano via mail, mettevano in allerta le scuole e gli edifici pubblici. L’attenzione veniva stimolata ogni giorno. Ma ancora, prima dell’Italia gli stessi allarmi, a volte con le stesse firme, sono stati registrati anche  in altri Paesi, tra cui la Bulgaria. È in queste campagne che secondo un report arrivato da una fonte a Fanpage.it sono stati rintracciati anche degli indirizzi italiani. Gli episodi individuati sono tre.

Il 2 giugno 2026 sono arrivati alle scuole bulgare messaggi che contenevano falsi allarmi. La struttura era molto simile a quella che abbiamo visto in Italia: il testo della mail annunciava l’esplosione di un ordigno entro due ore. Abbiamo verificato la notizia. La testata Club Z titola: “Demerdzhiev sugli allarmi bomba in oltre 70 scuole: sono stati inviati da un sito in Italia”. Club Z è una testata con sede a Sofia, secondo l’osservatorio europeo Eurotopics ha un orientamento liberale-conservatore. È edita dall’imprenditore Ognyan Donev. Nell’articolo viene citato un indirizzo che in effetti si conclude con il dominio .it, nello specifico @d***u.it. Il testo della mail è in bulgaro, si legge: “Vi informo che il vostro edificio è minato. Se avete ricevuto questa lettera, vi consiglio di fuggire immediatamente se volete restare vivi. Gli ordigni sono nascosti in vari punti. Non riuscirete a trovarli. L'esplosione avverrà entro le prossime 2 ore. Il tempo stringe.” Lo specifichiamo. Esattamente come negli allarmi bomba che abbiamo registrato in Italia, anche in questo caso non sono stati trovati ordigni dopo i controlli.

I casi si ripetono in modo analogo. C’è una campagna ancora di allarmi bomba il 4 giugno questa volta rivolta anche a ospedali e aeroporti. Anche qui le mail con l’allarme arrivano da un indirizzo italiano: @a****l.it. Questa volta abbiamo ricostruito la dinamica a partire da Traffic News, un tabloid bulgaro. Qui il testo delle minacce è più specifico: “Affinché non dubitiate delle nostre capacità, oggi verranno fatti detonare degli esplosivi piazzati in tutto il paese nei seguenti luoghi”. Da questo punto inizia un elenco di cinque obiettivi che vanno dall’aeroporto di Sofia alla Cattedrale dell’Assunzione. La firma è quella dello Stato islamico ma la mail da cui arriva è di nuovo italiana. E ancora. Il 9 luglio il National Computer Security Incident Response Team (CERT) della Bulgaria pubblica un avviso in cui spiega che negli ultimi giorni gli allarmi bomba registrati sono partiti da quattro mail. Tra questi, di nuovo, c’è una mail italiana che si conclude con @ca***a.it. Al netto dei messaggi si specifica anche che nella mail non erano contenuti link o file dannosi.

L’analisi delle mail coinvolte negli attacchi registrati in Bulgaria

Ora. Abbiamo analizzato tutti e tre gli indirizzi mail da cui sono partiti gli allarmi bomba. È molto probabile che in tutti i casi si tratti di indirizzi che sono stati sottratti durante campagne di hacking e poi acquistati sul dark web o su Telegram. Chi ha registrato questi attacchi non è il responsabile, ma la vittima. Ed è anche per questo motivo che non abbiamo inserito i domini completi. Lo conferma anche il CERT della Bulgaria: “È emerso che alcuni degli account utilizzati erano compromessi e venivano distribuiti in canali Telegram specializzati e forum di hacker. Per questo motivo, quando si inviano email da tali account, i controlli SPF, DKIM e DMARC vengono superati, rendendo più difficile il filtraggio e la segnalazione come spam di tali email.” Esattamente come successo per la mail legata all’Università di Taiwan da cui è partita la prima campagna di allarmi bomba in Italia.

Ogni indirizzo mail si divide in due parti. Quella dopo la @ fa riferimento al sito usato per registrarla. Abbiamo controllato tutti i siti di riferimento da cui sono state create le mail. Risultano tutti inattivi o compromessi. Con buona probabilità sono portali di piccole attività su cui non è stata fatta la manutenzione necessaria per conservare tutti gli standard di sicurezza. L’effetto è quello che vediamo. Le mail legate a questi portali sono finite dentro campagne di hacking che le hanno rese alla portata di chiunque.