Sintesi
Gli allarmi bomba hanno provocato deviazioni, controlli e interventi dei caccia, senza il ritrovamento di ordigni negli episodi verificati. Nel quadro disponibile alle 6:00 di oggi, 7 novembre 2026, restano da accertare gli autori e gli eventuali collegamenti tra le minacce. Anche una segnalazione falsa può bloccare un servizio reale.
Rintracciare una email non significa identificare immediatamente chi l’ha scritta. Gli investigatori devono confrontare messaggi originali, registri delle connessioni e informazioni dei fornitori, anche stranieri. Un indirizzo informatico può condurre a un intermediario o a un account rubato.
Acqua, alimenti e medicinali possono subire conseguenze da intrusioni nei sistemi che governano gli impianti. Gli avvisi ufficiali descrivono rischi per temperature, allarmi e continuità dei servizi. Il danno può uscire dal computer e raggiungere le persone.
Il rischio informatico riguarda anche i trasporti aerei, ferroviari, navali e su gomma. Le analisi europee documentano attacchi contro tutti e 4 i comparti, con possibili interruzioni dei servizi e disagi per persone e merci. Bloccare i computer di un operatore può fermare un servizio anche senza prendere il controllo dei mezzi.
Anche gli armamenti richiedono protezioni informatiche, ma non risultano prove che gli autori di queste minacce abbiano preso il controllo di sistemi militari. Le verifiche pubbliche documentano vulnerabilità in programmi esaminati negli anni passati. Il rischio esiste, mentre le capacità dei responsabili restano da dimostrare.
Articolo
Gli ultimi fatti e ciò che resta da accertare
Alle 6:00 di oggi, 7 novembre 2026, nelle fonti pubbliche consultate non emerge un’identificazione verificata degli autori dell’ondata di minacce ai voli europei. Non risulta neppure dimostrata una regia comune con gli attacchi informatici alla refrigerazione. Le informazioni investigative disponibili arrivano soprattutto dalle ricostruzioni giornalistiche: gli atti completi delle indagini non sono pubblici. L’ANSA (agenzia di stampa italiana) ha riferito del coordinamento della Procura nazionale antimafia e antiterrorismo e delle informative trasmesse dall’Agenzia per la cybersicurezza nazionale.
Ieri, 6 novembre, altri allarmi hanno interessato collegamenti con l’Italia. Un Ryanair proveniente da Roma ha fatto scattare controlli a Lisbona (capitale del Portogallo). Un Wizz Air da Praga (capitale della Repubblica Ceca), diretto a Fiumicino (Comune della Città metropolitana di Roma, nel Lazio), è stato deviato su Venezia (capoluogo del Veneto) ed è successivamente ripartito. La cronaca della giornata ha riferito anche di ulteriori segnalazioni europee e dell’intervento di caccia ungheresi. Le verifiche sui voli coinvolti non hanno individuato gli ordigni annunciati.
Una testimonianza pubblicata ieri sera ha aggiunto particolari sui controlli al volo Pescara-Charleroi, tra l’Abruzzo e il Belgio: secondo una passeggera, dopo l’atterraggio sono intervenuti polizia e unità cinofile. L’episodio risale però al 5 novembre, non alla giornata in cui è stata pubblicata la testimonianza. Ansa.it
Una rivendicazione non prova chi abbia agito
Il nome “Mikhail Andropov” non identifica, da solo, una persona reale né un mandante. Reuters (agenzia di stampa internazionale) ha verificato l’arrivo di minacce a redazioni europee, ma ha precisato di non aver potuto stabilire identità del mittente, provenienza delle email o collegamento con gli allarmi ai voli. Anche la firma dei “Combattenti dello Stato Maschile” rimane un’attribuzione dichiarata nel messaggio. L’autenticità delle rivendicazioni resta da accertare.
Richiami alla Russia, nomi sovietici o slogan politici possono essere indizi da controllare, ma anche depistaggi. L’ipotesi di un’operazione coordinata deve essere confrontata con quella di autori diversi o imitatori. La somiglianza fra messaggi non basta a dimostrare che siano stati inviati dalla stessa organizzazione.
Perché non si è ancora risaliti ai mittenti
La ragione specifica del mancato annuncio di un’identificazione non è stata resa pubblica dagli investigatori. Sarebbe quindi improprio affermare che la Polizia sia stata fermata da una determinata tecnologia. È possibile, invece, spiegare gli ostacoli tecnici generali e distinguere questi ultimi dalle circostanze effettivamente dimostrate nell’inchiesta.
Una email contiene il testo visibile e un’“intestazione tecnica”, con informazioni sul suo viaggio. Il NIST (istituto federale statunitense per gli standard e la tecnologia), nella propria guida alle analisi informatiche delle email minacciose, spiega perché occorra confrontare il messaggio originale con più fonti di prova. Uno screenshot o la sola firma in fondo al testo non bastano. Bisogna controllare quali server, cioè computer che gestiscono la posta, abbiano trattato il messaggio e in quali orari.
Il primo computer rintracciato può appartenere al servizio di posta, senza essere quello dell’autore. È come individuare l’ufficio postale che ha spedito una lettera: serve ancora capire chi l’abbia consegnata. Il NIST chiarisce inoltre che identificare l’account utilizzato non dimostra automaticamente quale persona fosse davanti al dispositivo. Un account compromesso può appartenere a una vittima.
L’indirizzo IP (Internet Protocol, il numero usato per comunicare su una rete) è dunque una traccia da interpretare, non una carta d’identità. Anche il materiale didattico di Thomas Sødring (docente dell’Università metropolitana di Oslo, in Norvegia) precisa che un indirizzo IP non dimostra chi stesse usando il dispositivo. Servono riscontri ulteriori, coerenti fra loro.
Proton Mail non significa impunità
Proton (società svizzera che offre posta elettronica e servizi per proteggere la riservatezza online) dichiara che, normalmente, non conserva in modo permanente gli indirizzi IP associati agli account. Significa che non tiene abitualmente un elenco stabile delle connessioni riconducibili a ciascun utente. Prevede però alcune eccezioni, per esempio per contrastare abusi o attività fraudolente: non è quindi corretto affermare che non registri mai alcun dato.
Proton Mail, il servizio di posta elettronica, e Proton VPN hanno funzioni e regole diverse. La VPN (rete privata virtuale) fa passare la connessione attraverso un computer intermediario: il sito raggiunto vede generalmente l’indirizzo dell’intermediario, anziché quello della connessione originaria dell’utente. È come ricevere una lettera attraverso un ufficio di inoltro: per risalire al mittente bisogna ricostruire anche il passaggio precedente. Proton VPN dichiara di non conservare i registri delle sessioni e chiarisce che per la posta elettronica possono invece essere richiesti dati sugli indirizzi IP nell’ambito di un’indagine svizzera. Questo può spiegare una difficoltà investigativa generale, ma non dimostra quali strumenti siano stati utilizzati dagli autori delle minacce europee.
C’è poi la collaborazione tra Paesi. Secondo le indicazioni di Proton alle Forze dell’ordine, gli investigatori devono indicare con precisione l’account e i dati cercati. La trasmissione delle informazioni disponibili passa attraverso le autorità svizzere. Un ordine dell’Autorità può consentire di ottenere dati esistenti, ma non può far comparire informazioni che non sono mai state registrate. Se manca una traccia della connessione, occorre cercare altre prove per identificare l’autore.
Una falsa minaccia non dimostra un’intrusione nell’aereo
Per provocare un allarme non è necessario entrare nei computer dell’aeromobile. Una comunicazione minacciosa può indurre le autorità ad attivare controlli, deviazioni e scorte. Gli episodi descritti documentano queste conseguenze, senza dimostrare la compromissione dei sistemi di volo.
È questo uno degli effetti più insidiosi: una minaccia economica da inviare può imporre una risposta complessa e costosa. Il falso allarme assorbe personale, mezzi e tempo. La ripetizione aggiunge disagi e paura, ma non autorizza a ignorare automaticamente le segnalazioni successive.
Acqua e impianti industriali possono essere colpiti?
Sì, il rischio per i sistemi che controllano impianti fisici è documentato. La NSA (agenzia statunitense per la sicurezza delle comunicazioni e l’intelligence elettronica), insieme ad altre Autorità, ha descritto nel dicembre 2025 intrusioni di gruppi filorussi in dispositivi di controllo industriale, anche nei settori idrico, alimentare ed energetico. Il documento avverte che gruppi poco sofisticati possono comunque danneggiare impianti insufficientemente protetti. È un precedente generale, non l’attribuzione degli episodi di questi giorni.
Questi dispositivi appartengono alla tecnologia operativa, indicata con la sigla OT (Operational Technology): sono i computer e i controllori che fanno funzionare macchinari, pompe e altri apparati. Il rischio cresce quando i comandi sono raggiungibili attraverso collegamenti poco protetti. Le Autorità internazionali hanno già avvertito che intrusioni in ambienti industriali insicuri possono produrre conseguenze fisiche. Ciò non significa che ogni acquedotto sia accessibile o che l’acqua distribuita sia stata contaminata.
Cibo e medicinali, il pericolo delle temperature alterate
Per la catena del freddo l’allarme riguarda attività ostili già osservate. Il documento del 5 novembre di CISA (agenzia statunitense per la sicurezza informatica e delle infrastrutture), FBI (polizia investigativa federale statunitense) e altri dipartimenti descrive attacchi ai controllori della refrigerazione. Fra le conseguenze possibili indica perdita delle scorte, danni agli impianti e rischi per i consumatori. I sistemi interessati sono utilizzati anche nella sanità e nei trasporti refrigerati.
Il meccanismo è comprensibile: se qualcuno modifica il comando che regola il freddo, il prodotto può essere conservato male. Il rischio riguarda alimenti e materiali sanitari che richiedono temperature controllate. Il documento statunitense segnala inoltre che gli addetti potrebbero non riuscire più a vedere le temperature effettive dell’impianto e, quindi, non accorgersi subito del problema.
Alterare o disabilitare un allarme può ritardare la scoperta del danno. È una delle preoccupazioni espresse dal bollettino del 4 novembre dell’ACN (Agenzia per la cybersicurezza nazionale, autorità italiana per la sicurezza informatica), consultabile nella ripubblicazione istituzionale del CSIRT Toscana (gruppo regionale di risposta agli incidenti informatici). Il documento richiama anche gli impianti idrici ed energetici e avverte che una piattaforma centralizzata può estendere gli effetti a più sedi.
Trasporti, possono fermarsi anche senza perdere il controllo dei mezzi
Oltre ad acqua, alimenti, medicinali e sistemi militari, la protezione informatica riguarda aerei, ferrovie, navi e trasporti su gomma. L’ENISA (Agenzia dell’Unione europea per la cybersicurezza), nel rapporto pubblicato il 21 marzo 2023 sugli episodi osservati tra gennaio 2021 e ottobre 2022, ha documentato minacce informatiche in tutti e 4 i comparti dei trasporti. Un attacco può bloccare i programmi necessari al funzionamento di un aeroporto, interrompere le biglietterie ferroviarie, ostacolare le attività portuali oppure colpire aziende del trasporto stradale e loro fornitori. Non occorre necessariamente comandare un aereo, un treno, una nave o un camion per provocare disagi: rendere indisponibili informazioni e servizi può già interrompere le operazioni. Il rapporto precisa però che, nel periodo esaminato, non erano emerse informazioni affidabili su attacchi che avessero compromesso la sicurezza dei trasporti. Si tratta di un precedente documentato, che non dimostra né esclude intrusioni negli episodi di questi giorni.
Armamenti, vulnerabilità reali e conclusioni da evitare
Anche i sistemi d’arma possono avere vulnerabilità informatiche. Il GAO (Government Accountability Office, organismo di controllo del Congresso statunitense) ha documentato nel 2018 gravi debolezze emerse durante prove autorizzate su sistemi in sviluppo. In alcuni test gli specialisti hanno ottenuto il controllo dei sistemi esaminati. Il rapporto riguarda però un campione e condizioni di prova: non dimostra che qualunque arma possa essere comandata a distanza da un aggressore qualsiasi.
La sicurezza dipende anche da come vengono progettati, verificati e mantenuti software e collegamenti. Nel rapporto del 2024 il GAO ha nuovamente segnalato carenze nella programmazione delle verifiche informatiche dei programmi militari esaminati. Il problema, quindi, richiede controlli durante lo sviluppo, senza aspettare che il sistema sia pronto per essere impiegato.
Alla domanda se gli autori delle email possano infiltrarsi negli armamenti, la risposta pubblicamente sostenibile è che non lo sappiamo. Nelle fonti esaminate non risultano prove che abbiano raggiunto sistemi d’arma, modificato ordini o acquisito capacità di lancio. Passare dall’esistenza generale di vulnerabilità alla presunta possibilità di comandare missili o arsenali nucleari significherebbe presentare come fatto una conclusione non dimostrata.
Le preoccupazioni maggiori e le difese concrete
I pericoli principali sono 3: danneggiare prodotti e impianti, nascondere il problema agli addetti e colpire più sedi attraverso lo stesso sistema di gestione. Il bollettino italiano del 4 novembre 2026, ripubblicato dal CSIRT Toscana (gruppo regionale di risposta agli incidenti informatici), avverte che gli aggressori possono modificare le impostazioni degli impianti, alterare i dati visualizzati e disabilitare gli allarmi. Un frigorifero potrebbe quindi funzionare male senza che il personale riceva l’avviso. Se un’unica piattaforma controlla più stabilimenti o negozi, le conseguenze possono riguardare più sedi. Il documento descrive possibilità tecniche, senza quantificare gli impianti effettivamente colpiti.
Proteggere gli impianti significa controllare chi può comandarli e impedire che un’intrusione si allarghi. Lo stesso bollettino raccomanda di proteggere i collegamenti usati dai manutentori e separare la rete dei macchinari da quella degli uffici. È come mettere porte controllate fra reparti diversi: entrare in uno non deve consentire di raggiungere tutti gli altri. Vanno inoltre verificate temperature, impostazioni e destinazione degli avvisi. Le modifiche devono essere concordate con i tecnici, evitando di interrompere il funzionamento degli apparati.
Queste difese possono essere attivate mentre gli investigatori cercano i responsabili. Anche l’avviso statunitense del 5 novembre 2026 raccomanda di eliminare gli accessi pubblici non necessari ai comandi, aggiornare i dispositivi e sostituire le password preimpostate dal produttore. Chiede inoltre di separare le reti e utilizzare, dove possibile, un secondo controllo dell’identità oltre alla password. L’obiettivo è ridurre subito le possibilità di ingresso e limitare i danni di un’eventuale intrusione.
Sul piano delle regole, la sicurezza informatica riguarda anche una parte della filiera alimentare. Il ministero dell’Agricoltura ricorda che il decreto legislativo 4 settembre 2024, n. 138 ha recepito la NIS 2 (direttiva europea sulla sicurezza delle reti e dei sistemi informativi), approvata il 14 dicembre 2022. Il settore alimentare individuato comprende produzione industriale, trasformazione industriale e distribuzione all’ingrosso degli alimenti. Non significa che ogni piccolo negozio sia automaticamente soggetto agli stessi obblighi: occorre verificare se l’impresa rientra nei criteri previsti dalla normativa.
Mediterranea24 ha già ricostruito gli attacchi ai frigoriferi dei supermercati siciliani, con conferme aziendali tra Catania e Palermo e segnalazioni nel ragusano. Manca un bilancio pubblico omogeneo per le 9 province dell’Isola: l’assenza di segnalazioni specifiche non certifica che un territorio sia rimasto indenne. Il punto resta proteggere i servizi e verificare ogni episodio, senza attribuire automaticamente tutti gli incidenti allo stesso autore.
Giornalista pubblicista, ex direttore di una precedente testata e attuale direttore di Mediterranea24.
