Sicurezza e compliance // Pubblicato Email security

Allarmi bomba via email nelle scuole: cosa fare quando arriva e come proteggere le caselle

L'11 novembre 2026 la stessa email di allarme bomba è arrivata ad almeno 300 scuole italiane: è la terza ondata in tre settimane. I cinque passi da fare subito, come conservare la prova, la differenza tra mittente falsificato e account violato e le difese che contano: due fattori sulle caselle e DMARC sul dominio.

11 novembre 2026 10 min di lettura

La mattina dell’11 novembre 2026, poco prima delle 10, la stessa email con un allarme bomba è arrivata ad almeno 300 scuole italiane: il numero lo ha dato il ministro dell’Istruzione, che ha definito «inesistente» il rischio che gli allarmi siano concreti. È la terza ondata in tre settimane. Alla pubblicazione di questa guida non risulta trovato nessun ordigno.

Questa pagina serve a chi lavora in una scuola. Dice cosa fare nei primi minuti, come conservare la prova nel modo giusto e come evitare che una casella della scuola diventi il mittente della prossima ondata.

Se l’email è arrivata adesso: cinque passi

Chiama il 112 e segui le indicazioni di chi risponde. Se evacuare o aspettare lo decidono le forze dell’ordine insieme al dirigente, non chi ha aperto la posta.
Avvisa il dirigente (o chi lo sostituisce) e applica il piano di emergenza della scuola, se viene disposto.
Non toccare l’email: non cancellarla, non inoltrarla, non rispondere, non aprire link o allegati.
Niente foto del testo nelle chat di classe o sui social. Le famiglie si avvisano dai canali ufficiali, con parole della scuola.
Conserva l’originale con le intestazioni complete: più sotto spieghiamo come. Serve a chi indaga.

Un’email identica arrivata a centinaia di scuole ha un rischio concreto molto basso. La scuola però non può escluderlo da sola, e per questo il primo passo resta il 112.

Cosa sappiamo, e cosa no

Data	Cosa è successo	Scuole raggiunte
19 ottobre 2026	Prima email, con firma di stampo islamista. Email simili lo stesso giorno in altri paesi europei.	Un centinaio, secondo la stampa
2 novembre 2026	Seconda email, con un’altra firma.	271 nell’elenco dei destinatari, secondo una dirigente
11 novembre 2026	Terza email, con una terza firma.	Almeno 300, secondo il ministro dell’Istruzione

In tutte e tre le ondate i controlli conclusi non hanno trovato ordigni.

Quello che non si sa: chi c’è dietro. Nessun autore è stato identificato e nessuna autorità ha attribuito pubblicamente la campagna. Le firme cambiano a ogni ondata: vanno lette come un modo per fare rumore, non come rivendicazioni.

Le indicazioni non sono state uguali dappertutto. In molte città le scuole sono state evacuate. In altre, secondo la stampa, le forze dell’ordine hanno disposto controlli senza evacuazione. È un motivo in più per chiamare e chiedere, invece di decidere da soli.

Perché queste email funzionano

A chi le manda costano quasi niente: un testo, un elenco di indirizzi pubblici, una casella rubata. A chi le riceve costano una mattina di scuola, il lavoro di artificieri e pattuglie, la paura dei bambini e dei genitori. Lo scopo è proprio questo scarto.

La scuola non può impedire che l’email arrivi. Può decidere quanto le costa. Una segreteria che sa già chi chiama, chi salva il messaggio e chi avvisa le famiglie trasforma un’ora di caos in dieci minuti di procedura. È la risposta più efficace che esista, e non richiede nessuna tecnologia.

Come conservare l’email nel modo giusto

Uno screenshot non basta. Chi indaga ha bisogno del messaggio completo, con le intestazioni: sono le righe tecniche, di solito nascoste, che registrano da quale server è partito, da quali è passato, a che ora, e l’esito dei controlli di autenticità.

Gmail (dal browser): apri il messaggio, clicca sui tre puntini accanto a «Rispondi», poi «Mostra originale». Dalla finestra che si apre puoi scaricare il messaggio completo o copiarlo negli appunti.
Outlook sul web e nuovo Outlook: apri il messaggio, «Altre azioni» (i tre puntini in alto), poi «Visualizza» e i dettagli del messaggio. Copia tutto il contenuto in un file di testo.
Outlook classico per Windows: apri il messaggio in una finestra, «File», «Proprietà». Le intestazioni sono nella casella «Intestazioni Internet».

Tre regole valgono per qualsiasi programma:

Lascia il messaggio nella casella finché le forze dell’ordine non dicono che si può togliere.
Non usare l’inoltro normale. Riscrive le intestazioni e fa girare un testo pensato per spaventare. Se ti chiedono di mandarlo, spediscilo come allegato (il file .eml), solo all’indirizzo che ti indicano.
Segna l’ora in cui è stato letto e chi l’ha aperto. Dopo qualche giorno nessuno se lo ricorda.

La segnalazione si può fare anche dal commissariato di PS online della Polizia Postale.

Mittente falsificato o account violato: non sono la stessa cosa

Le cronache usano due spiegazioni diverse. La differenza conta, perché le difese sono diverse.

	Mittente falsificato	Account violato
Cosa succede	Qualcuno scrive nel campo «Da» un indirizzo che non è suo	Qualcuno entra in una casella vera, con password o sessione rubate, e spedisce da lì
Da dove parte	Da un server che quel dominio non ha autorizzato	Dal server giusto, con firma valida
Supera i controlli di autenticità?	No, se il dominio imitato è configurato bene	Sì: per i filtri è un’email legittima
Cosa lo ferma	SPF, DKIM e DMARC sul dominio imitato	Due fattori sulla casella, prima che venga presa

Per le email alle scuole il ministro dell’Interno ha parlato di «violazione di account riconducibili a istituti stranieri, i cui indirizzi sono stati utilizzati per inviare le minacce». Secondo la stampa, l’11 novembre l’indirizzo apparteneva al dominio di un’università straniera. Altre testate riportano che gli investigatori valutano anche la falsificazione degli indirizzi. Le due tecniche possono convivere nella stessa campagna.

Chi vuole capire quale caso ha davanti può cercare nelle intestazioni la riga Authentication-Results:

dmarc=pass: il messaggio è partito davvero dal dominio del mittente. Quasi sempre vuol dire account violato.
dmarc=fail, oppure spf=fail insieme a dkim=fail: il mittente è quasi certamente falsificato.

Non è necessario saperle leggere. È necessario conservarle.

Ricevere queste email non vuol dire che la scuola è stata violata. Gli indirizzi delle segreterie sono pubblici: per scrivere a trecento scuole basta un elenco.

Il rischio vero: che la prossima ondata parta da una vostra casella

Per una scuola il danno più serio non è ricevere un’altra email minatoria. È diventarne il mittente. Una casella istituzionale ha un indirizzo credibile e supera i filtri: è esattamente quello che cerca chi organizza campagne come questa.

Cosa fare questa settimana:

Attivate l’autenticazione a due fattori su tutte le caselle che la permettono, a partire da dirigenza e segreteria. Un’app di autenticazione è meglio dell’SMS. Una passkey è meglio ancora: lo spieghiamo nella guida sulle passkey in azienda. Se la casella è gestita dal ministero o da un fornitore, chiedete a loro come si attiva.
Guardate gli ultimi accessi. Quasi tutti i servizi di posta li mostrano, con paese e dispositivo. Un accesso dall’estero che nessuno riconosce è un campanello d’allarme.
Controllate le regole di inoltro e i filtri. Chi prende una casella spesso crea una regola che inoltra o cancella la posta in arrivo, per non farsi notare.
Fate caso ai messaggi di mancata consegna. Decine di avvisi per email che nessuno ha scritto vogliono dire che qualcuno sta spedendo dalla vostra casella.
Una password diversa per ogni casella, mai condivisa su foglietti o chat. Se una casella è usata da più persone, i due fattori sono ancora più importanti.

Se una casella della scuola è stata violata

Cambiate la password da un dispositivo sicuro e chiudete tutte le sessioni aperte.
Togliete le regole di inoltro e i filtri che nessuno ha creato, e controllate gli indirizzi di recupero.
Attivate i due fattori prima di rimettere la casella in uso.
Fate controllare il computer da cui si usava la casella. Password e sessioni si rubano spesso con un malware: è il meccanismo che descriviamo nella guida sugli infostealer.
Avvisate la Polizia Postale e chi gestisce la posta della scuola. Gli incidenti informatici si possono segnalare anche al CSIRT Italia.
Trattatela come una violazione di dati personali. In una casella di segreteria ci sono dati di alunni, famiglie e personale. Coinvolgete subito il responsabile della protezione dei dati: il Garante va avvisato entro 72 ore da quando la scuola ne viene a conoscenza, a meno che sia improbabile un rischio per le persone.

SPF, DKIM e DMARC: servono a chi ha un dominio proprio

Molte segreterie usano caselle su domini del ministero, che la scuola non gestisce. Il dominio ministeriale principale pubblica già la politica più severa, p=reject: lo abbiamo verificato l’11 novembre 2026. In quel caso la scuola non deve configurare niente.

Se invece la scuola ha la posta su un dominio proprio (per esempio un .edu.it con un servizio di posta in cloud), quel dominio va protetto con tre record:

SPF elenca i server autorizzati a spedire per il dominio.
DKIM firma ogni messaggio, così chi riceve può verificare che non sia stato alterato.
DMARC dice a chi riceve cosa fare quando i primi due controlli falliscono: niente (p=none), spam (p=quarantine) o rifiuto (p=reject). Con p=none le email falsificate vengono solo segnalate.

Il limite va detto chiaro. Il DMARC impedisce che qualcuno spedisca a nome del vostro dominio da un server non autorizzato. Non protegge una casella violata e non ferma le minacce in arrivo. Lavora insieme ai due fattori, non al loro posto.

Con il nostro controllo gratuito di SPF, DKIM e DMARC vedete in pochi secondi come è configurato un dominio. Risponde a una sola domanda: qualcuno può spedire email a nome di questo dominio? Non dice se una casella è stata violata. Per arrivare a p=reject senza bloccare la posta vera c’è il piano in quattro settimane della guida su SPF, DKIM e DMARC.

Preparatevi prima: una pagina, tre nomi

Dopo tre ondate in tre settimane conviene dare per scontata la quarta. Bastano una pagina e venti minuti:

Chi chiama il 112 e chi lo fa se quella persona è assente.
Chi salva l’email con le intestazioni, e dove. La procedura per il vostro programma di posta va scritta e provata una volta.
Chi avvisa le famiglie, da quale canale e con quale testo. Un messaggio già pronto, corto e senza il contenuto dell’email, evita che la notizia arrivi prima dalle chat.
I numeri che servono, scritti su carta: forze dell’ordine locali, chi gestisce la posta, responsabile della protezione dei dati.
Una prova all’anno, insieme alla prova di evacuazione.

Cosa rischia chi manda un falso allarme

Le ipotesi di reato riportate dalla stampa per le email alle scuole sono due:

procurato allarme (art. 658 del codice penale): arresto fino a sei mesi o ammenda da 10 a 516 euro;
interruzione di un ufficio o servizio pubblico (art. 340): reclusione fino a un anno.

Le pene sono basse. Quando chi invia è all’estero e usa caselle di altri, il difficile non è punirlo ma identificarlo. Per questo le email originali, conservate bene da centinaia di scuole, sono la traccia più utile che esista.

Domande frequenti

È un pericolo reale? Finora no: nelle tre ondate i controlli conclusi non hanno trovato ordigni, e il ministro dell’Istruzione ha definito il rischio «inesistente». La valutazione sul singolo caso spetta però alle forze dell’ordine.

Dobbiamo evacuare ogni volta? Lo decidono le forze dell’ordine con il dirigente. Le indicazioni non sono state uguali in tutte le province: per questo si chiama il 112 prima di muoversi.

Possiamo cancellare l’email? No, non prima che ve lo dicano. È una prova.

La nostra scuola è stata hackerata? Ricevere l’email non lo dimostra: gli indirizzi delle segreterie sono pubblici. Il segnale da cercare è un altro: accessi che non riconoscete, regole di inoltro mai create, avvisi di mancata consegna per email mai scritte.

Il DMARC avrebbe fermato queste email? Solo quelle con mittente falsificato, e solo se il dominio imitato lo aveva configurato. Contro un’email partita da una casella violata non può fare niente.

Cosa possono fare i genitori? Aspettare la comunicazione ufficiale della scuola e non far girare screenshot. Ogni condivisione fa il lavoro di chi ha scritto il messaggio.

Il quadro è aggiornato all’11 novembre 2026. Se arrivano identificazioni o indicazioni ufficiali per le scuole, aggiorniamo questa pagina.