«Codice verde, giallo o rosso». Ecco ciò che accade quando le minacce ai voli arrivano via mail

In queste ore, in mezza Europa un'ondata di allarmi bomba sta mettendo in subbuglio il traffico aereo. Ma non è la prima volta che una serie di minacce, o presunte tali, alla sicurezza dei velivoli costringe le autorità di diversi Paesi ad adottare rapide contromisure: dal 2021 situazioni analoghe hanno interessato gli Usa e alcune nazioni europee. Con una preoccupazione in più: in tempi di guerra ibrida, quella che anni fa poteva essere liquidata come la bravata estemporanea di un singolo (magari effettuata con una semplice telefonata anonima, come si vede in qualche film d'antan), oggi è strutturata in vere e proprie campagne di sabotaggio informatico, capaci di paralizzare i cieli europei, deviare rotte internazionali e costringere al decollo i caccia delle difese aeree di diversi Stati. Ci riferiamo all’invio coordinato e seriale di e-mail anonime che segnalano la presenza di ordigni a bordo di velivoli in volo o all’interno di scali passeggeri. Facciamo un esempio: "C'è una bomba sull'aereo XY in volo da Roma a Dublino". Cosa accade, quando arriva una mail del genere alle autorità aeroportuali? Si mette in moto una macchina che opera dietro le quinte, gestita da veterani della sicurezza, analisti informatici e autorità nazionali, comprese quelle militari, chiamati a valutare in pochi minuti "il peso" e la natura dell'allarme e ad adottare una serie di immediate contromisure. Secondo quanto spiegano alcuni esperti ad Avvenire, si tratta di un meccanismo operativo, tecnologico e normativo di estrema complessità, che si articola lungo tre direttrici: la gestione d’emergenza della minaccia fisica; l'indagine informatico-forense sulla rete per provare a rintracciare chi ha inviato le mail; il rigore delle successive sanzioni penali. Per capire come funziona in concreto, abbiamo ricostruito la filiera delle azioni e le regole di ingaggio, che fanno parte dei cosiddetti piani di "mitigazione". Vediamole.

Partiamo dall'inizio. Una mail contenente una minaccia di attentato arriva a una compagnia aerea, a un aeroporto o alle autorità. Intanto scatta subito un protocollo standardizzato internazionale, gestito dal cosiddetto Piandi emergenza aeroportuale, in codice "Pea". E la prima sfida diventa quella di distinguere, in pochi minuti, se si possa trattarsi di un attacco cyber-ibrido (che magari si rivelerà un falso allarme) o di una minaccia reale e imminente. Il cronometro intanto corre veloce  e i termini usati ricordano il frasario adoperato nelle procedure sanitarie. La prima fase, che segue alla ricezione della mail, è il cosiddetto  "Triaging" digitale (dal minuto zero al minuto 5): non appena la mail viene visualizzata dal servizio clienti, dalla sicurezza aeroportuale o dalle forze dell'ordine, si attiva la sala operativa e inizia l'analisi dei metadati contenuti nel messaggio. In Italia sono gli esperti dell'aeroporto, della Polizia postale e dell'Agenzia nazionale per la cybersicyurezza a esaminare gli "header" della mail per identificare l'indirizzo IP di provenienza, il provider utilizzato ( a volte facente capo a servizi anonimizzatori o cifrati, come ProtonMail) e l'eventuale uso di reti Vpn o Tor. Inoltre, si verificano firma e pattern, controllano su database centralizzati se il testo della mail è identico ad altri messaggi seriali inviati in Europa nelle ore precedenti: se la mail contiene indicatori di una campagna di "cyber-hoaxing" (ossia falsi allarmi di massa coordinati), il livello di criticità iniziale viene contestualizzato, ma il protocollo di sicurezza fisica prosegue comunque. Quindi parte la seconda fase, ossia la valutazione del rischio (che va dal minuto 5 al minuto 15): sta al direttore della sicurezza aeroportuale, insieme alle forze di polizia presenti nello scalo (in Italia ciò avviene col coordinamento dell'Enac e della Prefettura locale) assegnare alla minaccia un livello di gravità secondo gli standard internazionali. I colori sono tre. Il verde significa nessun credito, perché la mail è palesemente falsa, generica o legata a una campagna di spam già identificata. Cosa si fa? Si intensifica la vigilanza, ma senza interrompere le attività di decollo, volo o atterraggio. Il giallo invece contrassegna una minaccia credibile ma non specifica, dato che la mail fornisce dettagli parziali (per esempio "un volo da Roma Fiumicino per Heatrow, Londra, in decollo oggi"), ma non indica il codice del volo, il posizionamento dell'ordigno o altri dati verificabili. Il terzo colore, quello di maggior allarme, è il rosso, che indica una minaccia altamente credibile e specifica, poiché la mail contiene dettagli precisi - come il numero del volo, il tipo di esplosivo, o una rivendicazione ideologica, politica o terroristica credibile e coerente).  In questo procedimento, oggi entra anche l'impiego dell'Intelligenza artificiale, per rendere la fase di valutazione della minaccia sempre più rapida, in modo da poter poi contenere costi per il sistema e disagi per i passeggeri.

Se la minaccia viene classificata come gialla o rossa e l'aereo è ancora in aeroporto, si isola il velivolo, facendolo spostare in una piazzola lontana dai terminal. Equipaggio e passeggeri vengono fatti scendere e portati in un'area protetta del terminal, per sottoporli nuovamente ai controlli di sicurezza, con metal detector e controllo dei bagagli a mano. Nel frattempo, un team di artificieri sale a bordo per la bonifica, con cani antiesplosivo, ispezionando ogni singolo bagaglio da stiva, l'area cargo e l'interno della cabina dell'aeromobile. Se invece il velivolo è decollato, il profilo della gestione diventa di carattere internazionale, coinvolgendo le autorità di controllo del traffico aereo e le forze armate. La torre di controllo prende contatto col comandante e avvisa il pilota tramite canali radio criptati. Viene prevista una scorta militare, con la difesa aerea nazionale che fa decollare immediatamente i caccia militari (come accade con gli Eurofighter italiani) per intercettare l'aereo di linea, affiancarlo per monitorare visivamente i finestrini, assicurarsi che i piloti abbiano il controllo e scortarlo in sicurezza. C'è infine l'ipotesi, che negli anni Settanta del secolo scorso contrassegnava la stagione del terrorismo internazionale, di un dirottamento o della necessità di un atterraggio d'emergenza: in tal caso, l'aereo non prosegue verso la destinazione prevista in origine, ma viene fatto atterrare nell'aeroporto idoneo più vicino, in una pista isolata, dove nel frattempo si posizionano vigili del fuoco, ambulanze e uno o più team antiterrorismo dei corpi speciali.

Una volta gestita la fase emergenziale, la magistratura e le forze dell'ordine indagano sui potenziali autori delle mail. Se si è trattato di un falso allarme, l'indagine penale di solito procede per procurato allarme e terrorismo, cercando di tracciare i canali di comunicazione usati da eventuali gruppi di hacker, i flussi informatici e anche quelli finanziari perché, ad  esempio, gli autori del gesto potrebbero aver impiegato criptovalute per acquistare i servizi mail anonimi dietro cui schermare il proprio messaggio. Nel frattempo, un team di legali prova a stimare la conta dei danni: per eventi come quello in corso, le compagnie aeree e gli aeroporti di solito quantificano i danni economici (come le migliaia di euro stimate per minuto di ritardo o il costo del carburante consumato in un dirottamento, l'impiego di ulteriore personale o di voli sostitutivi) da consegnare alle autorità inquirenti per le richieste di risarcimento in caso di arresto dei presunti responsabili. Le conseguenze penali per l'invio di e-mail con minacce di bomba o attentati aerei sono severe e, a seconda della gravità e delle finalità del gesto, vanno da sanzioni pecuniarie a condanne detentive con imputazioni per reati gravissimi legati al terrorismo internazionale. E il quadro investigativo si articola su più livelli (italiano, europeo e internazionale), con procedure di rogatoria e richieste di estradizione se l'autore ha agito dall'estero. A ciò si aggiunge la condanna al risarcimento civile per danni patrimoniali, che può portare a cifre astronomiche necessarie a coprire il carburante sprecato, i ritardi accumulati dall'hub e l’impiego dei jet militari.

Ma gli investigatori del web confermano come non sia affatto semplice identificare gli autori delle mail, che operano dietro la coltre di anonimato di servizi di posta cifrati "end-to-end" - fra quelli in uso sulla rete ci sono ProtonMail o Tuta - , di reti Vpn o che si rifugiano nelle nicchie dell'architettura "a cipolla" della rete "Tor" (l'acronimo sta per "The Onion Router"), un sistema di comunicazione decentralizzato e gratuito progettato per proteggere la privacy e garantire l'anonimato online degli utenti. Per individuare il loro indirizzo Ip reale (ossia quello del computer da dove è partito l'input), gli inquirenti analizzano gli "header" della e-mail, cioè le intestazioni tecniche nascoste nel messaggio, cercando i metadati di instradamento, i Mail Transfer Agent coinvolti e l’orario esatto di spedizione, sincronizzato al millisecondo. Se l’attaccante si è schermato dietro servizi cifrati esteri, la polizia attiva canali di cooperazione internazionale urgenti tramite Europol o Interpol, avviando rogatorie verso gli Stati in cui si trovano i server: in teoria - ma ciò non accade per molte nazioni - in casi di minacce terroristiche o di attentati ad aerei, i provider sarebbero obbligati a collaborare, fornendo alle polizie dati preziosi come i "log di connessione, l'Ip di creazione dell'account e le e-mail di recupero collegate". Anche quanti operano servendosi di reti Tor o delle "Vpn no-log", possono essere individuati grazie ad analisi del traffico web, isolando picchi di connessione compatibili con l'orario di invio della minaccia e stringendo il cerchio attorno a una utenza o a un'area geografica. L'inchiesta a volte si chiude con un'irruzione degli agenti, il fermo dei sospettati e il sequestro dei loro device, su cui cercare le prove da esibire in sede processuale. Ma il finale di partita non è sempre questo, specie se la minaccia - come avviene in casi di guerra ibrida - parte da gruppi criminali ospitati in Paesi coi quali la collaborazione giudiziaria è difficile.