La minaccia che non esplode. Le mail alle scuole e la nuova frontiera dell’intelligence cognitiva

Il 19 ottobre decine di scuole italiane hanno ricevuto un messaggio di posta elettronica che annunciava la presenza di un ordigno esplosivo negli edifici e prospettava una serie di attacchi terroristici sul territorio nazionale. Nel testo comparivano riferimenti ad Allah, alla Sharia e all’utilizzo di nitrato d’ammonio. Secondo l’Ansa, la comunicazione ha raggiunto almeno cinquanta istituti da Nord a Sud; soltanto nel Veronese le procedure precauzionali hanno interessato 27 plessi scolastici. I controlli effettuati non hanno portato al ritrovamento di ordigni. Considerare quindi l’episodio soltanto come l’ennesimo falso allarme rischia però di coglierne soltanto una parte.

Il punto non è soltanto chiedersi se una bomba esista realmente. Bisogna interrogarsi anche sulla capacità di una comunicazione digitale, inviata a costi estremamente bassi, di attivare procedure di emergenza, mobilitare forze dell’ordine, interrompere l’attività scolastica, coinvolgere migliaia di famiglie e conquistare rapidamente lo spazio mediatico. In altre parole: la minaccia può essere falsa, ma i suoi effetti sono reali.

Prima della matrice viene l’attribuzione

Il primo rischio analitico è quello di attribuire automaticamente l’azione all’attore che il messaggio dichiara, suggerisce o imita. “Allah”, “Sharia”, “attacco terroristico” costituiscono elementi di una narrazione. Non costituiscono, da soli, una prova dell’identità di chi l’ha prodotta.

È una distinzione essenziale nell’analisi di intelligence contemporanea. Nell’ambiente digitale l’identità dichiarata dall’autore di un messaggio può essere autentica, falsificata, clonata o deliberatamente costruita per orientare la lettura dell’evento. Anche il mittente apparente di un’e-mail può essere manipolato. Per questo l’attribuzione richiede l’analisi congiunta di elementi tecnici, infrastrutturali, comportamentali e contestuali.

La domanda, dunque, non può essere semplicemente: chi usa questo linguaggio? Deve diventare: chi ha prodotto il messaggio, attraverso quale infrastruttura, con quali modalità e soprattutto con quale obiettivo? Il problema assume ancora più rilevanza osservando ciò che contemporaneamente è avvenuto fuori dall’Italia.

Nello stesso 19 ottobre fino a 300 scuole dell’Irlanda del Nord hanno segnalato alla polizia la ricezione di una medesima minaccia generalizzata. La Police Service of Northern Ireland ha successivamente comunicato di considerare l’episodio un hoax, precisando che le verifiche non avevano individuato elementi anomali e che l’e-mail proveniva dall’esterno del Regno Unito. Messaggi analoghi sono stati segnalati anche in altre aree britanniche; scuole in Ungheria e Serbia sono state interessate nello stesso arco temporale, anche se le autorità non hanno finora stabilito pubblicamente che tutti gli episodi appartengano a un’unica operazione.

La formulazione della minaccia riportata in Irlanda del Nord presenta inoltre evidenti somiglianze con quella circolata in Italia: riferimento a un ordigno contenente ANFO, prospettiva di ulteriori attentati e instaurazione della Sharia. È un elemento investigativo rilevante. Non è ancora un’attribuzione. Ed è precisamente in questa distanza che deve operare l’intelligence.

Quando il bersaglio è la decisione

L’aspetto più interessante dell’episodio emerge infatti se si abbandona per un momento la ricerca dell’ordigno e si osserva la sequenza delle conseguenze. Un’e-mail entra nella casella di posta di un istituto. La scuola segnala la minaccia. Vengono attivate le autorità. Gli edifici vengono controllati o evacuati. Le famiglie modificano i propri comportamenti. La notizia entra nei media e nei social network. Altri istituti aumentano il livello di attenzione.

Tutto questo può verificarsi senza che l’autore disponga di un solo grammo di esplosivo.

Il rapporto tra costo dell’azione ed effetto prodotto diventa così fortemente asimmetrico. È sufficiente introdurre nell’ambiente informativo un segnale abbastanza credibile da non poter essere ignorato. Qui entra in gioco la dimensione cognitiva della sicurezza.

La Nato definisce la cognitive warfare come un insieme di attività capaci di influenzare percezioni, atteggiamenti, comportamenti e processi decisionali attraverso lo sfruttamento delle vulnerabilità cognitive. L’Allied Command Transformation sottolinea come il dominio cognitivo riguardi non soltanto ciò che un individuo pensa, ma anche il modo in cui interpreta l’ambiente e decide di agire.

Sarebbe prematuro e metodologicamente scorretto classificare automaticamente gli allarmi alle scuole come un’operazione di cognitive warfare: manca innanzitutto un’attribuzione e non conosciamo ancora l’intenzione dell’autore. L’episodio, tuttavia, mostra perfettamente una vulnerabilità cognitiva che un attore ostile potrebbe sfruttare.

Paura, incertezza e urgenza alterano infatti il processo decisionale. E quando il possibile bersaglio è una scuola, la soglia di tolleranza del rischio è inevitabilmente bassissima. Le istituzioni non possono permettersi di ignorare il messaggio soltanto perché potrebbe essere falso. È proprio questa asimmetria a rendere efficace la minaccia.

Il rischio della falsa attribuzione

C’è poi un secondo effetto. L’autore non influenza soltanto ciò che facciamo, ma potenzialmente anche chi riteniamo responsabile di ciò che sta accadendo. L’impiego di simboli jihadisti attiva immediatamente nell’opinione pubblica un preciso sistema di associazioni: terrorismo islamista, radicalizzazione, attentati, sicurezza interna. È una scorciatoia cognitiva comprensibile, ma pericolosa se precede l’analisi. Il contesto politico europeo rende questa cautela ancora più necessaria.

L’8 ottobre il Parlamento europeo ha approvato, con 381 voti favorevoli, 167 contrari e 15 astensioni, una risoluzione sulla necessità di una strategia europea contro l’“entrisme islamiste” e sull’influenza delle reti legate ai Fratelli Musulmani. Lo stesso Parlamento, però, ha esplicitamente sottolineato la necessità di distinguere l’Islam come religione dall’islamismo politico come fenomeno politico.

La prossimità temporale tra quel dibattito e le minacce alle scuole può naturalmente alimentare ipotesi investigative o interpretazioni politiche. Ma la successione temporale non costituisce un nesso causale. Allo stato delle informazioni pubbliche non vi sono elementi sufficienti per attribuire le e-mail ai Fratelli Musulmani, allo Stato Islamico o ad altra organizzazione jihadista. Completare autonomamente questa attribuzione significherebbe, paradossalmente, fare parte del lavoro dell’autore della minaccia: accettare l’identità che egli ha scelto di rappresentare.

Dall’intelligence della fonte all’intelligence dell’effetto

L’episodio suggerisce allora una riflessione più ampia. Per lungo tempo il processo analitico ha privilegiato una sequenza apparentemente lineare: identificare l’attore, comprenderne capacità e intenzioni, valutare la minaccia. Nell’infosfera contemporanea occorre affiancare a questa prospettiva un secondo livello di analisi: valutare l’effetto indipendentemente dall’attribuzione.

Chi ha inviato il messaggio? È la prima domanda. Ma non può essere l’unica. Bisogna anche chiedersi: quali comportamenti ha generato? Quali processi decisionali ha attivato? Quanto personale e quante risorse ha mobilitato? Quali narrazioni ha rafforzato? Quale livello di amplificazione mediatica ha ottenuto? Quali divisioni sociali potrebbe alimentare?

La Nato osserva ormai apertamente come le minacce informative possano avere conseguenze sulla sicurezza nazionale e come attività manipolative coordinate possano alterare percezioni, generare confusione e incidere sulla fiducia pubblica.

Per questo la superiorità informativa non coincide più semplicemente con il possesso di una maggiore quantità di dati. Significa anche riuscire a preservare la qualità del processo decisionale quando l’ambiente viene intenzionalmente saturato da segnali ambigui.

È qui che l’intelligence assume una funzione anche cognitiva ed epistemica: non soltanto raccogliere informazioni, ma proteggere la capacità dello Stato di distinguere ciò che sa, ciò che presume e ciò che ancora non può attribuire.

La resilienza comincia dalla gestione dell’incertezza

Naturalmente nessuna riflessione sulla dimensione cognitiva può sostituire le procedure di sicurezza. Davanti a una minaccia indirizzata a una scuola, verifiche ed eventuali evacuazioni rappresentano misure necessarie. Resilienza non significa sottovalutare il rischio. Significa evitare che alla corretta risposta operativa si accompagni automaticamente una risposta cognitiva scelta dall’autore della minaccia.

Serve quindi una capacità integrata: indagine tecnica, condivisione internazionale delle informazioni, analisi dei modelli ricorrenti, comunicazione istituzionale coordinata e valutazione degli effetti prodotti nell’ambiente informativo.

Europol rileva da tempo come l’ecosistema della minaccia terroristica europea si intrecci sempre più con comunità digitali, nuove tecnologie e forme ibride di propaganda e mobilitazione. Il rapporto TE-SAT evidenzia inoltre una crescente sovrapposizione tra narrative e ambienti estremisti differenti, rendendo sempre meno efficace un’interpretazione basata esclusivamente sulle etichette ideologiche tradizionali.

Le e-mail del 19 ottobre potrebbero rivelarsi un gesto dimostrativo, una provocazione, un’azione criminale, una campagna coordinata o qualcosa di ancora diverso. Saranno le indagini a stabilirlo. Ma hanno già indicato qualcosa di importante.

Nell’ambiente strategico contemporaneo non è sempre necessario colpire fisicamente un bersaglio per condizionarne il comportamento. A volte è sufficiente convincerlo, anche soltanto per pochi minuti, che il colpo stia per arrivare. Ed è proprio in quei minuti, tra la ricezione del segnale e la sua corretta comprensione, che si gioca una parte crescente della sicurezza nazionale.

La minaccia può essere falsa. L’effetto prodotto, invece, è già reale.