Una ventina di aerei minacciati in un solo giorno. Uno costretto a cambiare rotta e ad atterrare a Venezia. I caccia militari ungheresi allertati tre volte in poche ore.
Aeroporti bloccati, passeggeri evacuati, redazioni sgomberate per paura di un’esplosione. L’Europa è finita sotto una raffica di allarmi bomba che, in appena 5 giorni, ha attraversato i cieli di mezzo continente. In totale, secondo un report di fonti accreditate circolato nel pomeriggio, tra gennaio e il 6 novembre sono stati presi di mira almeno 55 voli, di cui 49 solo a novembre e 12 legati a scali italiani. Ieri i voli colpiti dalle minacce sono stati non meno di 18 (con stime che arrivano fino a 25), due dei quali in partenza o diretti verso gli scali italiani: un Ryanair Roma-Lisbona e un Wizz Air Praga-Roma, dirottato a Venezia. Il giorno precedente erano stati 25 i collegamenti coinvolti, sette dei quali legati al nostro Paese. E adesso chi sostiene di aver organizzato questa campagna di intimidazioni alza il tiro. Promette di colpire anche navi da crociera, stazioni della metropolitana e treni. Una minaccia che ha fatto scattare le indagini della magistratura italiana, con le Procure distrettuali coordinate dalla Direzione nazionale antimafia e antiterrorismo. Sul tavolo degli investigatori sono arrivate anche le informative dell’Agenzia per la cybersicurezza nazionale.
Perché dietro una semplice email potrebbe nascondersi un’operazione studiata per seminare il panico e mettere alla prova i sistemi di sicurezza occidentali.
«Questo è solo l’inizio. Quello che è successo questa settimana è solo una piccola parte di ciò che attende l’Europa nel prossimo futuro.
Molto presto faremo saltare in aria i vostri aerei, navi da crociera, stazioni della metropolitana e treni». È il contenuto di un messaggio recapitato direttamente alle redazioni giornalistiche, come racconta il Financial Times. Chi scrive sostiene di essere «uno dei leader del gruppo responsabile» degli allarmi che hanno sconvolto il traffico aereo europeo. In un’altra comunicazione il linguaggio diventa ancora più esplicito. «Vogliamo che il mondo intero sappia di noi, per questo uno dei nostri agenti ha collocato un ordigno esplosivo nel vostro edificio. Esploderà tra 45 minuti. Il conto alla rovescia è iniziato». La firma aggiunge un altro particolare. Mikhail è il nome russo di Michele, l’arcangelo che nella tradizione cristiana guida le schiere celesti contro il Demonio. Andropov - che significa “figlio del vincitore” - richiama invece Yuri Andropov, l’ex capo del Kgb diventato segretario generale del Partito comunista sovietico. Non solo: l’oggetto delle email ricorda il titolo di una sua biografia, «New Challenge to the West», la nuova sfida all’Occidente.
Un riferimento alla Russia che potrebbe essere stato scelto deliberatamente, magari proprio per trascinare i sospetti verso Mosca. L’Italia è uno dei Paesi maggiormente coinvolti. Nella Capitale il procuratore Francesco Lo Voi coordina un fascicolo per procurato allarme contro ignoti, dopo le minacce che hanno interessato Fiumicino. A Milano, negli uffici diretti da Marcello Viola, sono arrivate due informative della Polaria, la polizia aeroportuale, sulle email indirizzate a Malpensa e Linate. Non ci sono ancora indagati né una specifica ipotesi di reato iscritta nel procedimento. I messaggi sono firmati “Combattenti dello Stato Maschile”. Si muove anche la Procura di Busto Arsizio, competente per Malpensa, dove due voli in arrivo sono stati raggiunti dagli allarmi.
Nelle stesse ore un’altra minaccia ha raggiunto Lisbona (con tre voli per cui l’Ungheria attiva l’“Alpha Scramble”, la procedura che mette in allerta i caccia per un intervento immediato), Madrid e Francia (4 voli a testa), Praga (8 segnalazioni) e Copenaghen.
Gli allarmi bomba contro gli aerei non sono una novità del novembre 2026. La differenza sta nella frequenza, nella contemporaneità e nell’estensione geografica.
Nei mesi precedenti gli episodi erano stati isolati. Ad aprile era stato minacciato un volo Podgorica-Londra. A maggio e giugno era toccato per due volte alla Lufthansa, sulla rotta Francoforte-Hyderabad. Il 24 giugno un’email collettiva aveva bloccato gli aeroporti di Innsbruck e Bolzano. A luglio una telefonata aveva preso di mira un Qatar Airways diretto a Manchester. A settembre un fax aveva annunciato una bomba su un collegamento Larnaca-Roma. A ottobre un volo Austrian Airlines era stato costretto a deviare verso Sofia. C’è un’altra caratteristica che rende difficile il lavoro degli investigatori. Le minacce arrivano con firme diverse, spesso costruite per evocare organizzazioni estremiste, apparati stranieri o movimenti radicali.
Il 19 ottobre, nelle email spedite alle scuole italiane, erano comparsi riferimenti a un falso ministero saudita, a un presunto dicastero egiziano e a militanti di una località russa. Il 2 novembre un altro messaggio aveva raggiunto 271 istituti scolastici italiani. Questa volta compariva la firma “Corpo delle Guardie della Rivoluzione islamica”, cioè i Pasdaran iraniani. Nel testo veniva citato anche il volo Ryanair Riga-Fiumicino. Il 5 novembre compare la sigla “Combattenti dello Stato Maschile”. Il nome richiama Male State, movimento estremista russo fondato da Vladislav Pozdnyakov, noto per le sue posizioni ultranazionaliste e misogine. Ma proprio Pozdnyakov nega qualsiasi coinvolgimento. Sostiene che qualcuno abbia utilizzato abusivamente il nome del gruppo.
E per trovare chi si nasconde dietro questi nomi bisogna entrare nel terreno più complicato, quello delle tracce digitali. Gli investigatori stanno cercando di capire se siano stati utilizzati account di posta elettronica compromessi, cioè caselle appartenenti a persone ignare e sfruttate da altri per spedire le minacce. Esaminano anche la possibile presenza di proxy, Vpn e reti Tor, strumenti che permettono di nascondere o rendere più difficile individuare l’origine di una connessione. Tra i servizi di posta presi in considerazione figura anche Proton Mail, che offre funzioni di riservatezza e protezione delle comunicazioni. C’è poi la lingua. Le email arrivate a Fiumicino sono scritte in un italiano approssimativo, con espressioni che sembrano uscite da un traduttore automatico. Potrebbe essere un indizio sull’identità dei mittenti oppure un altro tentativo di confondere le ricerche.
Una delle tracce più particolari porta addirittura in Colombia. Un messaggio del 5 novembre sarebbe partito da un indirizzo riconducibile a una struttura sanitaria di Bogotà e associato al profilo di una dipendente. Gli investigatori devono stabilire se l’account sia stato violato, utilizzato senza autorizzazione oppure falsificato per far apparire un mittente diverso da quello reale. È proprio questa la difficoltà delle indagini: una minaccia può attraversare più sistemi informatici prima di arrivare al destinatario, lasciando una catena di indirizzi e identità che non necessariamente conduce a chi l’ha concepita. Le ipotesi su cui lavorano gli investigatori sono tre. Potrebbe trattarsi di emulatori, persone che hanno visto gli effetti dei primi allarmi e hanno deciso di copiarli. Oppure dietro la campagna potrebbe esserci un unico autore, capace di utilizzare firme e indirizzi differenti per moltiplicare le minacce. La terza possibilità è quella che porta alla guerra ibrida. È una forma di conflitto che non richiede necessariamente bombe, carri armati o soldati sul campo. Può utilizzare sabotaggi informatici, intimidazioni e operazioni di disturbo per colpire il funzionamento di un Paese senza dichiarargli guerra. Tra le possibili matrici statali vengono considerate quella russa e quella iraniana.
Ma non esistono ancora prove capaci di attribuire la campagna a Mosca, a Teheran o a una struttura organizzata.In una parola: il caos.