Il cielo come terreno di prova: i falsi allarmi bomba e la logica della guerra sotto soglia

Il 2 novembre 2026 un volo Wizz Air partito da Londra Luton e diretto a Sofia é stato interessato da una minaccia bomba mentre era in volo. L’aereo è stato intercettato da un Gripen dell’aeronautica ungherese e dirottato su Budapest per un atterraggio d’emergenza. Da questo apparente caso isolato si è sviluppata, nei giorni successivi, una sequenza di allarmi che ha coinvolto più di trenta voli.

In nessuno dei casi è stata poi confermata la presenza di un ordigno, e gli episodi sono stati classificati come falsi allarmi. L’impatto sul traffico è stato minimo; la risposta di sicurezza, invece, imponente. Ungheria, Italia, Francia e Bulgaria hanno fatto decollare i loro caccia, e in tutto il Continente si sono attivate le procedure di aeroporti, compagnie e forze di polizia. 

È proprio questo scarto, tra l’assenza di una minaccia reale e l’entità della risposta che è riuscita a provocare, a rendere la vicenda rilevante. 

Una firma non è un’attribuzione

Delle minacce registrate tra il 2 e il 6 novembre, quelle legate all’Italia sono state accompagnate da una rivendicazione. Una mail in italiano è arrivata ad alcuni indirizzi di Aeroporti di Roma e alla società Aviapartner, attiva a Fiumicino, annunciando ordigni a bordo di due voli diretti a Roma, da Helsinki e da Dublino. Il testo, rivolto contro un presunto “regime femminista”, era firmato dai “combattenti dello Stato Maschile”. Mail con lo stesso contenuto e firma sono state indirizzate a ENAC per alcuni voli di Malpensa. Una firma, però, non equivale a un’attribuzione.

Lo “Stato Maschile” è un movimento online russo nato nel 2016, noto per campagne di molestie organizzate in rete. Nel 2021 un tribunale russo lo ha dichiarato organizzazione estremista. La firma sembra rimandare all’ecosistema russo, ma un gruppo che Mosca ha formalmente messo fuori legge. Nei giorni successivi, il movimento ha negato qualsiasi legame con i falsi allarmi.

Allo stato attuale si possono formulare tre ipotesi. La prima, quella di un attore genuino. La seconda quella della copertura: un attore diverso, anche statale, potrebbe usare una firma fuorviante per rendere ambigua l’attribuzione. La terza riguarda un mix di attori ed emulatori che, anche senza una regia unica, sono riusciti a mettere sotto pressione il sistema aereo europeo.

Una prima lettura potrebbe portare a pensare che queste azioni siano rivolte ai Paesi che sostengono l’Ucraina. Ciò è vero solo in parte. Polonia, Romania e Danimarca, tutte colpite, sono forti alleati di Kiev e hanno già accusato Mosca di attacchi ibridi. Il quadro però non è uniforme. La Repubblica Ceca del governo Babis mantiene un sostegno condizionato. Soprattutto la Bulgaria, bersaglio più ricorrente dell’intera sequenza, ha oggi il governo più scettico verso Kiev tra quelli coinvolti. 

La distribuzione dei bersagli sembra dunque seguire la struttura del traffico aereo più che l’orientamento politico dei singoli governi. Le minacce hanno riguardato soprattutto compagnie low cost come Ryanair e Wizz Air, sulle rotte tra Europa occidentale e orientale, concentrandosi su nodi come Roma, Sofia, Varsavia e Praga. Il bersaglio, in questa lettura, non sono i governi ma la vulnerabilità del sistema nel suo insieme. 

La risposta diventa l’obiettivo

Sul piano operativo il sistema ha retto. Sul piano politico il quadro è molto meno compatto, perché ogni Stato ha reagito con canali e linguaggi propri: il governo britannico ha parlato di “malicious hoax threats”, in Romania è stata l’intelligence a comunicare l’attivazione di un’unità di crisi, a Parigi la procura indaga su possibili legami con potenze straniere. In Italia, mentre Crosetto escludeva un vertice a Palazzo Chigi, le procure competenti hanno aperto fascicoli per procurato allarme.

Ne emerge una risposta attiva ma frammentata. Ogni Stato indaga con i propri strumenti, e il coordinamento europeo si limita per il momento a un’indagine tra servizi e a una prima riunione tecnica a Bruxelles. Non esiste ancora una valutazione condivisa dell’accaduto: se si tratti di un’unica campagna o di episodi distinti, di un reato comune o di un’operazione ostile. Il sistema, in altre parole, non è ancora in grado né di attribuire la minaccia né di scoraggiarla. 

Per capire perché questo scarto conti, è utile un concetto preso dal linguaggio della sicurezza statunitense. Lo swatting, una falsa segnalazione d’emergenza costruita per provocare la risposta più pesante possibile delle forze dell’ordine: si usa contro la vittima il sistema nato per proteggerla. Gli allarmi di novembre riproducono la stessa logica, spostandola però sulla scala di un’infrastruttura transnazionale. 

In questa prospettiva ogni falso allarme diventa anche una fonte di informazioni sul funzionamento della difesa europea. In pochi giorni è stato possibile osservare i tempi e gli assetti con cui decollano i caccia dei diversi Paesi e gli scali scelti per i dirottamenti, comprese le basi militari. Si è visto quali destinatari di una mail mettono in moto la catena di risposta, quali soglie di credibilità adotta ciascuno Stato e attraverso quali canali comunica. Perché l’operazione abbia successo, quindi, non serve che la minaccia venga creduta: basta che la procedura scatti.

Un nuovo tassello nella pressione ibrida sull’Europa

Gli allarmi di novembre non sono un episodio isolato. Si inseriscono in una sequenza che negli ultimi due anni ha preso di mira, con frequenza crescente, le infrastrutture civili europee. Nel settembre 2025 droni avvistati sopra l’aeroporto di Copenaghen hanno sospeso i voli per ore. Nel novembre 2025 un sabotaggio alla rete ferroviaria polacca è stato attribuito a Mosca, accusata di averne reclutato gli esecutori. Nell’agosto 2026 droni carichi di esplosivo sono stati trovati nell’aeroporto di Lipsia nei pressi di un cargo ucraino. Nelle ultime settimane, quasi in contemporanea con gli allarmi sui voli, si sono registrati attacchi ai sistemi di refrigerazione dei supermercati e minacce bomba via mail contro centinaia di scuole italiane. Il più recente un cyberattacco alla Galleria di Base del Brennero. Lo schema, sin dai primi attacchi, sembra svolgere una specie di test: prima verificare se il metodo funziona, poi osservare la reazione.

Questi episodi differiscono per mezzi e gravità, ma condividono un filo comune. Sono azioni a basso costo, difficili da attribuire, rivolte contro infrastrutture civili e capaci di misurare la reazione di chi le subisce. Da ciò derivano tre implicazioni.

La prima è un divario di attribuzione strutturale. Come per gli allarmi sui voli, anche quando un’attribuzione arriva, arriva con ritardo, a livello nazionale e senza conseguenze concrete per gli autori. La deterrenza perde così il suo presupposto: non si può scoraggiare un avversario che non si riesce a nominare.

La seconda riguarda la fiducia pubblica, ed è qui che si colloca il rischio maggiore, che non è operativo. La ripetizione degli allarmi e la loro estensione a bersagli differenti alimentano una percezione di vulnerabilità diffusa, promuovendo l’idea che nessun settore sia al riparo. Nel lungo periodo questo stato di insicurezza costante produce due rischi opposti: può erodere la fiducia dei cittadini nella capacità delle istituzioni di proteggerli, oppure generare un’assuefazione agli allarmi che renderebbe più lenta la risposta il giorno in cui la minaccia fosse reale.

La terza riguarda la natura stessa della campagna: preparazione a un conflitto più ampio o pressione politica sui Paesi che sostengono Kiev? Le due letture non si escludono. Il caso bulgaro suggerisce però che il bersaglio non sia tanto il singolo governo quanto l’Europa come sistema, cioè la sua capacità di proteggere un’infrastruttura comune e di rispondere in modo coordinato. 

Gli allarmi di novembre non hanno provocato danni materiali, ma lasciano aperte due domande. Quanto costa all’Europa difendersi da minacce che, a quanto pare non esistono? E quanto può imparare un osservatore esterno dal modo in cui gli Stati europei si difendono?