di Giorgio Scura
Decripto.org ha scovato due collegamenti tra l’indirizzo utilizzato per i falsi allarme bomba verso le scuole italiane: uno è relativo a una truffa legata a falsi colloqui di lavoro farmaceutici. L’altro porta a un leak di dati e mail governative filippine. Abbiamo scoperto che l’indirizzo istituzionale filippino comparso nella seconda ondata di minacce alle scuole italiane era già stato utilizzato nel marzo 2025 per una campagna di falsi colloqui di lavoro a nome della società farmaceutica Merz Therapeutics. Da qui siamo partiti per ricostruire i precedenti, le violazioni informatiche al ministero filippino, le attività dei gruppi hacktivisti locali e soprattutto il mercato nero degli accessi alle caselle istituzionali.
I collegamenti tra le minacce alle scuole italiane e le attività precedenti
- Il dominio filippino era già comparso in una truffa sul lavoro. La seconda ondata di minacce, arrivata il 12 novembre alle 9:39, proveniva da un indirizzo del dominio r11.deped.gov.ph, riconducibile al Department of Education delle Filippine, nell’area di Davao. Decripto ha scoperto che lo stesso dominio era già comparso nel marzo 2025 in una campagna di falsi colloqui di lavoro a nome di Merz Therapeutics, società farmaceutica internazionale. Le vittime avevano ricevuto comunicazioni da indirizzi riconducibili al dominio istituzionale filippino, per poi essere indirizzate verso un falso dominio di recruiting: merztherapeuticscareer[.]com.
- Sei mesi prima il ministero filippino era stato colpito da un furto di dati. Il 3 maggio 2026 NullSec Philippines aveva rivendicato un attacco alla piattaforma di formazione del Department of Education. Il materiale diffuso conteneva 125.224 record che riportavano un indirizzo email valido.
Hacktivisti filippini e mercato nero delle credenziali istituzionali
- Chi sono gli hacktivisti filippini che compaiono nella vicenda? La nostra ricostruzione ha individuato due sigle: NullSec Philippines e Deathnote Hackers International. NullSec ha rivendicato violazioni di siti istituzionali, compreso quello del Senato filippino nel giugno 2026. Deathnote Hackers International è attivo almeno dal 2016. Tra le operazioni attribuite al gruppo figurano la sottrazione di 4,5 GB di dati dall’Agenzia delle dogane filippina.
- Il mercato delle credenziali istituzionali rubate. Nel 2024 erano stati segnalati account email di domini governativi filippini in vendita sul dark web a circa 100 dollari ciascuno. Già nel 2023 erano comparsi accessi alle caselle del Senato filippino e di altri enti pubblici, con prezzi a partire da 300 dollari. La nostra ipotesi è che le minacce siano state inviate da soggetti terzi attraverso accessi istituzionali già compromessi, acquistati o comunque ottenuti da altri. Leggi l’inchiesta completa di Decripto.
