Due righe firmate da un nome inventato sono bastate per far uscire dalle aule i ragazzi di 312 scuole italiane mercoledì e di altre 77 giovedì, tra cui l’Itis e il De Carlo di Giugliano, mentre una decina di giorni prima una password di fabbrica mai cambiata aveva permesso a qualcuno di portare a 50 gradi i frigoriferi di un supermercato di Palermo. Le bombe non c’erano e gli impianti sono stati rimessi a posto, la cronaca di queste settimane ormai la conosciamo tutti, quello che merita attenzione è il meccanismo che sta sotto, perché nelle aule e nei reparti surgelati funziona allo stesso modo ed è molto più semplice di quanto si possa immaginare.
Chi ha spedito quelle mail ha speso quasi niente, un elenco di indirizzi, qualche account violato e un testo scritto apposta per spaventare, mentre per rispondere si è messo in moto mezzo Paese con pattuglie e artificieri che giravano da un istituto all’altro, genitori che mollavano il lavoro, docenti che facevano l’appello in cortile e ore di lezione perse. A questo conto vanno aggiunti gli agenti tolti per una mattina intera ad altri servizi, una voce che nessuno vede ma che pesa. È questa sproporzione a far funzionare il gioco, perché a chi scrive non serve che la minaccia sia credibile, gli basta che venga presa sul serio, e una scuola è obbligata a prenderla sul serio. Il paradosso è tutto qui: più un’istituzione è responsabile, più diventa facile da colpire. Giovedì poi le mail sono partite da indirizzi con domini filippini e alcune da account di insegnanti a cui erano state rubate le credenziali, il che significa che il mittente poteva sembrare familiare, magari un collega, magari qualcuno con cui si era scambiata una circolare il giorno prima. Per anni ci siamo sentiti dire di diffidare degli sconosciuti, ma quando a scrivere è un indirizzo che conosciamo il controllo più elementare salta, e chi attacca lo sa benissimo.
Con i frigoriferi la storia cambia solo nella forma: gli impianti erano collegati ad internet perché il tecnico potesse intervenire senza spostarsi, le password erano quelle di fabbrica, la doppia autenticazione non c’era, e una volta dentro gli hacker hanno spento gli allarmi e modificato i cicli di raffreddamento. Sono scelte fatte per risparmiare tempo e soldi che fino al giorno prima nessuno considerava un rischio. Molti dei casi venuti fuori riguardano bar, mense e piccoli produttori, gente che il congelatore lo pensa ancora come un elettrodomestico e non come un computer, e in fondo è comprensibile, ma intanto abbiamo riempito negozi e cucine di oggetti connessi senza cambiare il modo in cui li trattiamo. Il punto debole non è una tecnologia sofisticata, sono le nostre abitudini.
Eppure qualcosa questa vicenda lo insegna anche in positivo. A Bagno a Ripoli la SIAF, che prepara i pasti per le mense di scuole, ospedali e aziende, si è accorta subito dell’intrusione e l’ha contenuta senza fermare il servizio, e anche Conad ha fatto sapere di essere intervenuta in tempo: la differenza tra chi ha buttato la merce e chi no l’ha fatta l’attenzione, qualcuno che guardava, qualcuno che si è accorto che qualcosa non andava, ed è una buona notizia perché vuol dire che difendersi si può, a patto di non dare per scontato che una macchina vada da sola.
Guglielmo Caiazza, che dirige due istituti comprensivi nella periferia est di Roma, ha parlato di una strategia del terrore che colpisce “i più deboli”, e basta guardare chi ha pagato il conto in questi giorni per dargli ragione: i bambini portati fuori senza capire, le famiglie che hanno saputo tutto da un messaggio girato nella chat di classe, i dipendenti che hanno buttato la merce, e soprattutto i presidi, costretti a decidere in pochi minuti e da soli se rischiare il panico o la vita dei ragazzi. In ogni anello di questa catena c’è una persona lasciata sola davanti a una scelta che non dovrebbe toccare a lei.
Il Governo ha deciso di spostare quella responsabilità dal dirigente scolastico al prefetto ed è una scelta che toglie un peso enorme a chi sta in prima linea, ma funziona solo se il prefetto ha le informazioni giuste e le ha subito, altrimenti si sposta il problema di qualche ufficio senza risolverlo. Giovedì l’indicazione di non svuotare le scuole per una semplice mail di massa è arrivata a metà mattina, quando in tanti istituti le classi erano già in strada, e basta questo per capire quanto conti il tempo in situazioni del genere.
Sulla natura di questi attacchi le procure lavorano su ipotesi diverse e anche nel Governo le letture non coincidono, con il ministro dell’Interno Matteo Piantedosi che invita ad aspettare prima di parlare di una regia comune. È una prudenza da apprezzare, perché un falso allarme è procurato allarme, una manomissione è un reato informatico che può diventare sabotaggio e nessuna delle due cose è terrorismo per definizione, e chiamare tutto con la stessa parola rischia di regalare a chi scrive proprio quello che cerca, cioè più paura di quanta ne meriti.
C’è poi un aspetto di cui si parla poco ed è il modo in cui la notizia arriva alle famiglie. Giovedì molti genitori napoletani hanno scoperto quello che stava succedendo da una chat, senza sapere se la minaccia fosse vera, se i figli fossero al sicuro, se fosse il caso di correre: quando le istituzioni tacciono anche solo per un’ora il vuoto si riempie di voci, ed è lì che un allarme finto fa più danni, per cui servirebbe un canale ufficiale e veloce che dica alle famiglie cosa sta accadendo e cosa si sta facendo, anche quando la risposta è che ancora non si sa.
E c’è un rischio che arriva dopo, quando la paura passa. Giovedì in 36 scuole evacuate le lezioni sono riprese in mattinata e già si percepiva una certa stanchezza, quella di chi pensa che tanto è l’ennesima mail, e a lungo andare è proprio questa abitudine il danno più serio, perché un sistema di allarme vale qualcosa solo finché la gente ci crede. Insegnare a distinguere una minaccia concreta da una spedita a migliaia di indirizzi è giusto, ma va fatto con criteri chiari e uguali per tutti, non lasciando che ognuno si regoli a sensazione.
Oggi, venerdì 13, il tavolo tecnico del Comitato interministeriale per la sicurezza della Repubblica si riunisce a Palazzo Chigi per scrivere un protocollo comune sulle segnalazioni d’allarme che riguarderà anche ospedali, trasporti, telecomunicazioni ed enti locali, e Giorgia Meloni ha promesso che non permetterà “ad una mail anonima di decidere il calendario scolastico dei nostri figli“. La direzione è quella giusta, purché le regole arrivino prima della prossima ondata, ma va detto che un protocollo disciplina la risposta e non la prevenzione.
La prevenzione passa da cose molto meno spettacolari, come cambiare le password, attivare la doppia autenticazione, sapere chi entra da remoto nei propri impianti e perché, e in questo i piccoli esercenti difficilmente possono farcela da soli, senza qualcuno che li accompagni. Passa anche da una Polizia Postale con mezzi adeguati e da una collaborazione europea che funzioni sul serio, visto che le stesse mail sono finite nelle scuole della Scozia e dell’Irlanda del Nord, che in Francia sono stati manomessi i frigoriferi del sangue dei donatori e che nella stessa settimana decine di voli sono stati dirottati per allarmi falsi. Nessun Comune e nessun Ministero può fermare da solo un attacco che non conosce confini.
Se per mettere in ginocchio una scuola basta una mail e per un supermercato una password scritta in fabbrica, siamo davvero sicuri che il problema stia tutto in chi preme invio?
