Le prime email sono state inviate a circa 6.300 scuole italiane l’11 novembre. Il giorno successivo sono arrivate altre email a circa 3.800 istituti. In entrambi i casi è stata segnalata la presenza di una bomba negli edifici. Il messaggio era firmato da un certo Mikhail Andropov, presunto leader del movimento Vilayat di Misoginistan. Gli esperti di Hudson Rock hanno scoperto che due indirizzi email appartengono ad altrettante università di Taiwan ed Egitto.
Email rubate con infostealer
Gli indirizzi email utilizzati per gli allarmi bomba dell’11 novembre sono f0523219@cloud.dyu.edu.tw e Mosaad_Khalifa@den.kfs.edu.eg. I domini appartengono alla Da-Yeh University di Taiwan e alla Facoltà di Odontoiatria della Kafrelsheikh University in Egitto. Il vero indirizzo IP può essere nascosto con una VPN, ma i due indirizzi email sono reali.
Gli esperti di Hudson Rock hanno scoperto che l’indirizzo egiziano è stato rubato nel 2021 con il noto infostealer Vidar. L’email è stata usata per il login ad un servizio Microsoft ed era salvata nel browser Chrome installato su un computer con Windows 7 Ultimate. I cybercriminali hanno quindi sottratto le credenziali di accesso all’account di posta elettronica all’insaputa del legittimo proprietario (che forse non usa più quell’indirizzo email da cinque anni).
L’indirizzo taiwanese è stato invece trovato in AlienTXTBASE, una raccolta di dati rubati con infostealer aggiunti da Troy Hunt al sito Have I Been Pwned a fine febbraio 2025. Il mittente dell’email è Liu Fangjun, una studentessa della Da-Yeh University. L’università taiwanese ha avviato un’indagine e scoperto che l’account è stato compromesso (ovviamente è stato disattivato).
In questi casi è necessario chiudere le sessioni di login e revocare i token, oltre che cambiare la password. Ovviamente occorre “ripulire” il computer da ogni malware, altrimenti verranno sottratte anche le nuove credenziali.
Ti potrebbe interessare
13 nov 2026