ALLA RICERCA DEL FILM PERDUTO/ “Who Am I – No System Is Safe”: l’Italia si fa hackerare dalla paura

Seimila scuole nel caos per una mail senza bombe. Il thriller di Baran bo Odar del 2014 aveva già spiegato come si può mettere in ginocchio un sistema senza violarne le difese: basta conoscere le debolezze di chi deve applicare le regole

di Maria Rullo

Dalle e-mail che hanno svuotato gli istituti al thriller tedesco del 2014 “Who Am I – No System Is Safe”, girato da Baran bo Odar, ancora una volta il cinema, con la sua preveggente carica visionaria, anticipa il futuro mettendo a nudo la vera fragilità della nostra macchina pubblica, mostrandoci come funziona l’ingegneria sociale quando sfrutta l’allarme e le procedure.

Ore 9.56 di mercoledì 11 novembre: parte una sola mail, finisce nelle caselle di circa seimila scuole italiane e scatena il caos: 2.800 segnalazioni alla polizia e più o meno 1.100 evacuazioni ordinate dai presidi; da Milano a Roma, da Genova a Verona, giù fino alla Campania. Controlli su controlli, ma di bombe neanche l’ombra.

Sul mittente si naviga nel buio. Stando a quanto ricostruito, il primo invio sarebbe partito da un finto indirizzo di Taiwan, mentre la seconda ondata arriverebbe da un dominio registrato nelle Filippine. Indizi che, nella pratica, non dicono nulla su chi ci sia davvero dall’altra parte dello schermo. Intanto, le istituzioni provano a tenere la barra dritta. I ministri hanno chiesto ai dirigenti scolastici di non far uscire i ragazzi senza riscontri concreti, richiamandosi ai protocolli già in vigore.

Davanti a questo corto circuito operativo viene naturale ripensare a “Who Am I – No System Is Safe”. Il protagonista, Benjamin Engel, è un mago dell’informatica invisibile agli occhi del mondo che, insieme al collettivo di hacker ribelli CLAY (Clowns Laughing At You), mette in piedi colpi clamorosi pur di farsi notare.

Il senso del film sta tutto in una regola che Benjamin ripete quasi come un’ossessione: il punto debole di qualsiasi apparato non è mai il codice o l’infrastruttura digitale, ma chi sta seduto davanti al monitor. L’arma decisiva non è l’attacco informatico puro, bensì il social engineering, l’ingegneria sociale: la capacità di manovrare le persone, le loro paure e i loro automatismi per spingerle a muoversi esattamente come vuole chi attacca.

Ed è proprio su questo terreno che il confronto con le scuole italiane centra il punto, mettendo a nudo la vera fragilità della nostra macchina pubblica. In Who Am I, i protagonisti ottengono il massimo risultato con il minimo sforzo tecnico, puntando tutto sulla psicologia e sulla prevedibilità delle reazioni istituzionali. Nella realtà burocratica e penale italiana succede la stessa cosa: anche se le linee guida inviterebbero alla cautela in assenza di riscontri, per un preside cestinare una minaccia scritta resta un azzardo insostenibile. Pure con probabilità vicine allo zero che ci sia davvero un ordigno, nessun dirigente può permettersi di scommettere sulla pelle degli studenti e sulla propria fedina penale. Far uscire tutti non comporta rischi legali; sbagliare valutazione costa tutto. Così la prudenza, sommata al timore delle conseguenze giudiziarie, diventa un grimaldello perfetto per chi vuole solo seminare scompiglio.

In più, esattamente come insegna la pellicola del 2014, qui non c’è stato nessun “hackeraggio” tradizionale. Nessuna rete bucata, nessuna difesa informatica abbattuta: qualcuno ha semplicemente sfruttato una falla umana e procedurale banalissima, cioè l’effetto domino innescato da un messaggio anonimo spedito a migliaia di indirizzi pubblici. È il trionfo dell’asimmetria: con una connessione domestica e una spesa vicina allo zero si riesce a bloccare in un colpo solo un intero settore dello Stato facendo leva sul panico.

Il richiamo a Benjamin e ai ragazzi del CLAY apre però a un altro rischio tutt’altro che teorico: l’emulazione. Nel film la rincorsa alle azioni eclatanti nasce dalla fame di visibilità e dalla voglia di dimostrare che “nessun sistema è sicuro“. Oggi, fuori dal cinema, non serve neppure la preparazione tecnica dei personaggi di Odar per replicare su scala locale lo stesso effetto. Bastano una banalissima VPN per mascherare l’IP e due minuti su Google per recuperare le mail ufficiali degli istituti. Qualsiasi studente, per bravata, per sfida o per saltare un’interrogazione, ha a portata di clic gli strumenti per mandare un falso allarme e far sgomberare una scuola. Dimenticando però che, fuori dallo schermo, il procurato allarme non è un gioco senza conseguenze, ma un reato vero e proprio.

La vera lezione di questi due giorni non riguarda la tecnologia, ma la tenuta del fattore umano e delle nostre regole interne. Finché basterà un semplice testo scritto per far scattare centinaia di evacuazioni a cascata, l’apparato scolastico resterà ostaggio di chiunque abbia voglia di premere “invio“. La sfida non è alzare firewall più alti, ma aggiornare i protocolli di verifica: perché, come ricorda il film, nessun sistema è davvero al sicuro se l’anello debole resta chi deve decidere sotto pressione.