Ho deciso di cancellare il mio post sulla storia di Andropov e delle scuole perché, siccome ci andavo troppo cauto, qualcuno ha trovato simpatico mettere in moto il «progetto cagnara», così da impedire che si arrivasse alle conclusioni.

Ovvero: che ci siamo trovati davanti a una delle più catastrofiche esibizioni pubbliche di incompetenza, sciatteria sistemica e malagestione che si siano viste negli ultimi tempi.

E non lo dico per impressione, per antipatia o perché mi sono svegliato male una mattina. Lo dicono i risultati. Lo dicono i fatti. E soprattutto, lo dice la sequenza degli errori e delle conseguenze.

Andiamo per ordine.

Nel 2026, più di seimila messaggi identici colpiscono lo stesso tenant di Microsoft Outlook. Tutti passano. .Vengono da un dominio che non è soltanto esterno all'amministrazione pubblica, ma all'Unione Europea: una sorgente straniera. Non conosco sistemi di endpoint protection per SMTP che non avrebbero reagito, solo per la provenienza del messaggio.

E nel 2026 non vengono messi in spam, non vengono mandati in quarantena, non vengono fermati. Arrivano a destinazione.

Mi spiace, ma persino il sistema amatoriale che uso per ricevere posta — ZangTumb — non li avrebbe lasciati passare.

E non sto parlando di una tecnologia segreta, di un sistema militare o di qualche sofisticato algoritmo di intelligenza artificiale. Un sistema amatoriale che mi sono fatto.

Per fare lo stesso, basta un parametro di configurazione di OpenSMTPD. Basta una riga di configurazione di Postfix.

Nel mio caso, poi, c'è anche un controllo non standard che rende il sistema ancora più restrittivo: se il server mittente non presenta un certificato valido secondo le condizioni che ho imposto, la connessione viene rifiutata. Non è una pretesa del protocollo SMTP. È una scelta di configurazione. Mia. Amatoriale. Ma avrebbe funzionato nel vostro caso.

Ed è proprio questo il punto.

Una difesa che un amministratore può implementare con una configurazione banale esiste. È disponibile. È conosciuta. E un sistema amatoriale può usarla.

Eppure qui abbiamo più di seimila messaggi identici provenienti dalla stessa sorgente sospetta di suo che arrivano a destinazione.

Questo risultato è una prova di incompetenza, cialtroneria e sciatteria.

Ed è un fatto che i messaggi siano stati ricevuti.

Provate pure a prendere una qualsiasi azienda con più di seimila caselle email e a mandare lo stesso messaggio di spam o phishing.

Non un messaggio simile.

Lo stesso messaggio. Migliaia di volte. Da una fonte straniera e sospetta.

Poi provate a vedere quanti ne arrivano davvero nelle caselle degli utenti.

---

Andiamo ai presidi che hanno evacuato le scuole. Ho un piccolo problema.

Non voglio commentare in questo post il fatto che abbiate creduto a quella mail. L'ho già fatto qui: https://keinpfusch.net/2026-11-12-1014/

È la decisione che avete preso a essere assurda. Incompetente. Cialtronica. Isterica. Inadeguata.

E per un motivo molto semplice.

«È molto più semplice installare un ordigno all'esterno di un edificio, sulle strade, che all'interno».

Evacuando le scuole avete mandato gli studenti esattamente in un posto che l'eventuale attaccante conosceva già. Un posto nel quale aveva avuto accesso e nel quale, potenzialmente, poteva trovarsi ancora: una strada pubblica, un cestino dei rifiuti, un'automobile parcheggiata.

Senza avere alcuna conferma che esistesse una minaccia all'interno della scuola, avete trasferito migliaia di studenti in un ambiente nel quale attaccarli sarebbe stato persino più semplice.

Un pazzo armato di coltello avrebbe potuto fare una strage. Un'automobile lanciata a tutta velocità avrebbe potuto fare una strage. Un terrorista qualsiasi avrebbe potuto limitarsi a inviare una mail, sapendo che qualcuno, dall'altra parte, avrebbe fatto il lavoro per lui: far uscire gli studenti dagli edifici e portarli esattamente dove voleva.

All'aperto. In strada. In luoghi pubblici, accessibili e difficili da controllare.

E non è nemmeno necessario immaginare scenari particolarmente sofisticati.

Il punto è proprio che, evacuando indiscriminatamente, avete trasformato una minaccia non verificata in una situazione nella quale gli studenti erano esposti a rischi diversi, senza avere prima valutato se il trasferimento li avrebbe effettivamente protetti.

E poi vedo i presidi rilasciare interviste nelle quali dichiarano di aver evacuato le scuole «per sicurezza».

Per sicurezza di chi? E soprattutto, sulla base di quale valutazione del rischio?

Perché la sicurezza non consiste nel fare qualcosa, qualsiasi cosa, purché dia l'impressione di stare reagendo a un'emergenza.

La sicurezza consiste nel valutare una minaccia, individuare i rischi e prendere una decisione che riduca concretamente la probabilità di fare del male alle persone che si dovrebbero proteggere.

Evacuare non è sinonimo di mettere in sicurezza.

A volte significa semplicemente spostare le persone da una situazione pericolosa a una situazione ancora più pericolosa.

E se non siete stati capaci di capire questa differenza, abbiamo un problema molto più serio della mail che avete ricevuto.

Sciatteria.

---

E andiamo avanti. Dove era lo Stato, di preciso?

Credete davvero che tutti i presidi siano esperti di antiterrorismo? Che abbiano una formazione specifica sulla gestione delle minacce ibride, sulla valutazione del rischio, sulle procedure di evacuazione e sulla protezione delle persone in caso di attentato?

E soprattutto: esiste, almeno per la pubblica amministrazione, un numero da chiamare in circostanze del genere? Un centro operativo al quale segnalare la minaccia, che sia in grado di valutarla, fornire indicazioni e assumersi la responsabilità di coordinare la risposta?

Oppure dobbiamo aspettare che il fenomeno si ripeta sugli ospedali, sugli uffici comunali, sugli uffici delle Regioni, sul catasto e chissà dove altro, prima che qualcuno si accorga che non abbiamo un problema circoscritto alle scuole?

Esiste un SOC? Esiste un escalation path? Esiste una struttura che riceva queste segnalazioni, le metta in relazione con gli altri incidenti, valuti la credibilità della minaccia e impartisca indicazioni operative coerenti?

È ovvio che no. O, quantomeno, è evidente che, nel caso specifico, nessuna struttura del genere abbia svolto questa funzione.

E qui arriviamo al punto fondamentale.

Che le mie valutazioni sul maggiore rischio corso dagli studenti una volta usciti dalla scuola siano corrette oppure no, è quasi secondario rispetto al problema istituzionale che emerge.

Non esisteva, e apparentemente non esiste ancora, un centro antiterrorismo — o di contrasto alla guerra ibrida — capace di coordinare una risposta efficace, valutare la situazione e consigliare chi doveva prendere decisioni operative.

Non esisteva una leadership capace di intervenire sul caso specifico. Non esisteva una catena di comando riconoscibile alla quale i dirigenti scolastici potessero fare riferimento. Non esisteva, almeno per quanto è emerso da questa vicenda, un'autorità in grado di assumersi la responsabilità della valutazione e di fornire istruzioni uniformi.

Così abbiamo lasciato che ogni istituto affrontasse autonomamente una situazione che, per definizione, non era un problema del singolo istituto. Era una questione di sicurezza pubblica.

E questo è il punto: lo Stato non può delegare la gestione di una minaccia terroristica o ibrida al buon senso individuale dei dirigenti scolastici.

Non è il loro mestiere. Non hanno necessariamente le competenze per farlo. E non dovrebbero nemmeno essere messi nella condizione di dover improvvisare una risposta a un problema che richiede informazioni, coordinamento e capacità operative che si trovano a un livello istituzionale superiore.

È un fatto. È quello che è successo.

E se qualcuno ritiene che questa sia una risposta adeguata dello Stato a una minaccia di questo genere, allora abbiamo un problema persino più grande di quello che pensavo.

---

Cialtroni. Sciatti e incompetenti.

E non lo dico io. Lo dice quello che è successo.

Non è una questione di opinioni, di simpatie politiche o di interpretazioni personali. È una questione di risultati. E i risultati sono sotto gli occhi di tutti.

Potete contestare il giudizio, potete discutere le mie conclusioni, potete persino non essere d'accordo con il linguaggio che uso.

Ma i fatti restano.

E quando i fatti descrivono un simile livello di incompetenza informatica, disorganizzazione, improvvisazione e incapacità di gestione, chiamare le cose con il loro nome non è un'opinione.

È prendere atto della realtà.