Nuove email con minacce di attentato sono arrivate nella mattinata del 13 novembre 2026 a scuole italiane e a Palazzo Chigi. I messaggi, secondo l’analisi riportata da Decripto.org, risultano inviati utilizzando un dominio istituzionale filippino già comparso in precedenti attività fraudolente.
La seconda ondata di comunicazioni, arrivata alle 9.39 con l’oggetto Messaggio dall’Italia. Siete in pericolo, sarebbe partita da una casella del dominio r11.deped.gov.ph. Il dominio fa capo all’ufficio della Regione XI del Department of Education delle Filippine, nell’area di Davao.
Il precedente della truffa sul lavoro
Lo stesso dominio era già stato segnalato nel marzo 2025 nell’ambito di una frode del cosiddetto finto recruiter. Sotto un post pubblicato su LinkedIn da una dipendente di Merz Therapeutics, che denunciava l’uso del proprio nome per falsi colloqui di lavoro, alcune persone negli Stati Uniti avevano riferito di aver ricevuto inviti da un indirizzo riconducibile proprio a r11.deped.gov.ph.
In quei casi, ai destinatari veniva chiesto di proseguire la conversazione su un sito controllato dai truffatori. Il precedente non dimostra un collegamento diretto con le minacce alle scuole, ma indica che il dominio potrebbe essere stato utilizzato in passato per attività fraudolente attraverso caselle apparentemente istituzionali.
Le altre tracce individuate
L’analisi cita anche un attacco rivendicato il 3 maggio 2026 dal gruppo hacker NullSec Philippines contro la piattaforma di formazione dello stesso ministero. Nell’attacco sarebbe stato diffuso un file contenente circa 999.995 righe di dati degli utenti.
Un ulteriore elemento riguarda il mercato degli accessi a caselle email governative filippine, che secondo quanto documentato vengono offerti sul dark web anche a circa 100 dollari ciascuno. Tra gli account messi in vendita ci sarebbero anche quelli collegati all’area di Davao.
Il cambio di casella a ogni ondata rappresenta un altro elemento esaminato: l’11 novembre sarebbe stata utilizzata quella di un’università di Taiwan, mentre il 12 novembre quella di un ministero filippino. Una sequenza compatibile, secondo l’analisi, con l’impiego di accessi compromessi e acquistati, più che con un’azione rivendicata direttamente da gruppi hacktivisti.
Decripto.org sottolinea tuttavia che si tratta di tracce concrete ma non di prove definitive. Nessuno degli elementi raccolti, preso singolarmente, consente di identificare gli autori delle minacce. L’ipotesi descritta è quella di caselle istituzionali sottratte e riutilizzate per scopi diversi, dalla frode ai danni di persone in cerca di lavoro alla diffusione di messaggi destinati a seminare panico nelle scuole.
