意大利学校炸弹威胁所用邮箱曾出现在窃密日志中

研究人员表示，相关组织本应更早发现并保护这些邮箱地址。专家指出，本周扰乱意大利数千所学校的炸弹威胁邮件所使用的两个邮箱地址，早在一年多以前就已在infostealer日志中暴露。Hudson Rock的研究人员调查了用于发送这些炸弹威胁邮件的两个大学邮箱地址。其中一个来自埃及的Kafrelsheikh大学，早在2021年10月就被Vidar捕获——这是一种从受感染计算机中窃取已保存账户凭据和密码并泄露给攻击者的网络犯罪工具。另一个来自台湾的大叶大学，出现在2025年2月大规模AlienTXTBASE infostealer数据泄露中所包含的2.84亿个地址之中。

专家表示，infostealer日志中出现这两个地址，并不严格意味着炸弹威胁的幕后黑手就是利用此前infostealer入侵获取了这些账户的访问权限。但这表明，两所大学以及两校均用于身份验证的Microsoft，有充足的时间对这些账户采取行动——它们本应知晓这些账户已出现在infostealer日志中。现代威胁情报已使infostealer日志具有很高的可见性。

Hudson Rock表示：“这两项发现都表明凭据暴露远早于此次扰乱事件，形成了一个相当长的时间窗口，本可用于调查和保护已暴露的访问权限。”研究人员表示，他们需要获取邮件头等详细信息，以及来自邮件服务提供商的数据，包括登录事件和审计记录，以便更深入地了解是谁发送了这些邮件、以及从哪个会话发出的。Hudson Rock指出，了解发件人是否通过了账户身份验证可以排除欺骗的可能性，但这本身并不能证明发件人使用了从infostealer日志中获取的对应密码。绕过基于密码的身份验证有很多方法。

研究人员表示，在任何情况下，一旦在infostealer日志中发现凭据，负责这些账户的组织必须对其进行遏制、撤销访问权限、轮换密钥，并排查可疑活动。研究人员表示：“此次扰乱事件说明了为什么凭据暴露值得关注，其影响远不止欺诈和数据窃取。”“一个与普通大学用户关联的账户，可能成为触及学校、恐吓家庭、消耗应急资源的手段。”

意大利7,476所公立学校中约有6,300所在11月11日至12日期间收到了虚假炸弹威胁邮件，但其中只有约390所疏散了各自的教学楼。这些邮件包含“我们将消灭你们”“我们将对意大利人实施种族灭绝”等信息，并提到“带有远程触发装置的强力爆炸装置”。早期报道称，这些邮件来自一个台湾邮箱地址，署名者为“米哈伊尔·安德罗波夫，米索吉尼斯坦维拉亚特领导人”——这是一个虚构的国家或地区，大致对应“厌女之地”，“维拉亚特”意为奥斯曼帝国的行政区划。

关于发件人身份，已有多种猜测被报道，从一名菲律宾教师的邮箱被入侵，到俄罗斯支持的扰乱行动。两者均未得到证实。俄罗斯否认参与其中。意大利总理焦尔吉娅·梅洛尼周四晚间表示，这些邮件不可信，策划此次协同恶作剧的人企图在全国制造混乱。据ANSA报道，她表示：“迄今为止，没有证据表明存在具体危险。”“这些信息的目的不是震惊，而是恐吓。”“写这些信息的人主要是在寻求我们的恐惧、浪费的时间、猜疑和混乱。调查人员和司法部门正与欧洲同行合作，以确定幕后黑手。”

法国、爱尔兰、北爱尔兰和苏格兰的学校本周也收到了类似邮件。各国警方均不认为这些威胁是真实的。爱尔兰共和国数百所学校收到了这些邮件，RTÉ等新闻机构也收到了，RTÉ疏散了其Donnybrook园区，导致既定节目播出中断。北爱尔兰约300所学校收到炸弹威胁，但PSNI表示这些被当作恶作剧处理，对公众的风险被评估为较低。同样，苏格兰警方确认约1,000所学校受到此次邮件活动影响，并表示这些威胁不被认为是可信的。在法国，三个学区确认收到了类似威胁。另外，周四在加来-弗雷敦车站收到炸弹威胁后，国内和国际铁路交通——包括开往伦敦的Eurostar服务——均受到中断。

最新一波威胁发生之前，近几周其他类型的组织也遭遇了类似事件，包括航空公司、空中交通管制员和血库。本月早些时候，欧洲各运营商至少有34个航班受到影响。部分航班被迫意外降落，例如一架Aer Lingus航班改降至一个法国空军基地，而非原定目的地罗马。意大利和奥地利领空还紧急起飞战斗机为其他航班护航。®