Quali dati si possono prendere dalla mail dell’allarme bomba per trovare chi l’ha mandata

Qualcuno inizia a chiamarla la pista di Taiwan. Dalle immagini che circolano in queste ore è possibile vedere l’indirizzo da cui è arrivata la mail che ha messo in allerta circa 6.000 scuole in tutta Italia. Prima c’è un codice poi un dominio di riferimento: f0523219@cloud.dyu.edu.tw. Non è difficile capire a cosa si riferisce. Cercando su Google una parte del dominio approdiamo alla piattaforma della Dayeh University, un istituto taiwanese. C’è chi si è spinto oltre, ricollegando quel codice alfanumerico a uno studente iscritto attualmente ai corsi dell’università. Giallo risolto? Non esattamente. Perché è difficile che uno studente di Taiwan abbia deciso a un certo punto della sua giornata di inviare una mail che avrebbe mobilitato migliaia di persone in un’altra nazione. Eppure un primo indizio questa mail ce lo offre comunque. Partiamo dalla base. Ogni mail arriva con delle informazioni, almeno quelle che inviamo dai nostri sistemi tradizionali. Non sono sempre dati visibili all’utente che riceve il messaggio ma con un po’ di analisi si possono ricavare.

Ne abbiamo parlato con Paolo Dal Checco, esperto di cybersecurity e informatico forense: “Da un messaggio di posta elettronica si possono ricavare due tipi di informazioni. Il primo è quello che deriva dall'analisi del messaggio stesso così come è stato ricevuto. Analizzando le intestazioni è possibile infatti ricostruire, oltre al transito che ha percorso il messaggio, anche alcuni dettagli del sistema che lo ha inviato”. Questo vuol dire che dall’analisi della mail sarà possibile ricavare l’IP, il codice che definisce l’accesso da cui è stato mandato. E poi c’è la seconda serie di informazioni: “Un'altra informazione che si può ricavare in un ambito di scambio di messaggi di posta elettronica è analizzare il server che ha inviato il messaggio di posta elettronica, quindi il server del mittente, a cui l'utente si deve essere connesso per poter inviare l’email”.

Certo, è difficile che questo sia il caso in oggetto. Con buona probabilità infatti l’utente che ha inviato questa mail non ha utilizzato servizi in chiaro. Spiega sempre Dal Checco: “Ovviamente chi invia email come quelle di oggi lo fa attraverso reti anonime come VPN o la rete Tor”. Le VPN sono le Virtual Private Network, servizi che permettono di oscurare l’origine della connessione. In questo caso però la possibilità di rintracciare la mail non è perduta, almeno non del tutto: “Nel caso di utilizzo di VPN è sempre possibile ricorrere, tramite autorità giudiziaria, alla richiesta al servizio che ha fornito la rete privata virtuale di quali dettagli ha archiviato relativamente a colui che l'ha utilizzata per inviare il messaggio anonimo”.

Forse è proprio qui che si potrà trovare il nodo della questione. Le direttrici per le indagini quindi sono due: analizzare tutto il materiale ricevuto cercando gli elementi rimasti attaccati al testo della mail e contattare il server da cui è stato inviato il messaggio. Solo da qui si potrà arrivare ad attribuire l’identità di chi ha mandato la mail scatenando uno dei più grandi allarmi bomba registrati nella storia recente.