Circa 6.300 scuole italiane hanno ricevuto email con l’annuncio di una bomba nei propri edifici l’11 novembre. Il giorno seguente, altri messaggi sono arrivati a circa 3.800 istituti. In entrambe le occasioni, il testo segnalava la presenza di un ordigno e riportava la firma di un certo Mikhail Andropov, indicato come presunto responsabile del movimento Vilayat di Misoginistan. L’analisi condotta dagli esperti di Hudson Rock ha permesso di risalire a due indirizzi email appartenenti ad altrettante università, una di Taiwan e una d’Egitto.
Le email utilizzate per gli allarmi bomba dell’11 novembre partivano da [email protected] e [email protected]. Il primo dominio è collegato alla Da-Yeh University di Taiwan, mentre il secondo fa riferimento alla Facoltà di Odontoiatria della Kafrelsheikh University in Egitto. L’indirizzo IP effettivo del mittente avrebbe potuto essere occultato tramite una VPN, ma le due caselle di posta utilizzate sono risultate autentiche.
Nel caso egiziano, l’indirizzo era stato rubato nel 2021 attraverso l’infostealer Vidar. Le credenziali erano state sottratte all’insaputa del legittimo proprietario, che forse non utilizzava più quella casella da circa cinque anni. Il dato era conservato nel browser Chrome, installato su un computer equipaggiato con Windows 7 Ultimate, ed era stato impiegato per accedere a un servizio Microsoft. In questo modo, i cybercriminali hanno ottenuto l’accesso all’account di posta elettronica.
Per l’indirizzo taiwanese, invece, la chiave è arrivata da AlienTXTBASE, raccolta di dati rubati con infostealer aggiunti da Troy Hunt a Have I Been Pwned a fine febbraio 2025. Il mittente dell’email è Liu Fangjun, studentessa della Da-Yeh University. L’università ha aperto un’indagine e ha accertato che l’account era compromesso, procedendo poi alla sua disattivazione.
Per casi analoghi, la risposta richiede di chiudere tutte le sessioni di login e revocare i token, oltre a modificare la password. È inoltre indispensabile eliminare ogni malware dal computer: senza questa pulizia, le nuove credenziali potrebbero essere nuovamente sottratte.
