Per anni si è raccontato il cybercrime come una sequenza lineare: una vulnerabilità, un malware, un accesso non autorizzato, un sistema cifrato, una richiesta di riscatto. Era una semplificazione comune, certo, ma funzionava. Oggi non più.
Secondo i dati del FBI Internet Crime Report 2025, il cybercrime non può più essere letto solo come un insieme di attacchi tecnici contro sistemi vulnerabili. Il quadro che emerge è più complesso: gli attori criminali stanno trasformando frodi, social engineering, criptovalute, identità compromesse, AI generativa e infrastrutture di pagamento in una catena operativa sempre più industrializzata. Nel 2025 l’IC3 ha ricevuto oltre 1 milione di segnalazioni, con perdite dichiarate superiori a 20,8 miliardi di dollari.
Il dato più importante, però, non è solo economico. È metodologico: una parte significativa delle perdite non nasce da exploit complessi, ma dalla manipolazione di processi legittimi: pagamenti, comunicazioni aziendali, supporto tecnico, onboarding remoto, investimenti e relazioni di fiducia. Gli attaccanti non devono sempre violare un firewall. In molti casi basta controllare il contesto, imitare un’identità affidabile e spingere la vittima verso una decisione sbagliata.
Il cybercrime moderno non compromette soltanto endpoint e server. Compromette il contesto: il modo in cui un’organizzazione comunica, verifica, approva e si fida. Ed è proprio questo il passaggio che IT Manager e CISO devono leggere con più attenzione.
La frode digitale è diventata un modello operativo
Le frodi abilitate dalla tecnologia rappresentano circa il 45% delle segnalazioni, ma generano quasi l’85% delle perdite complessive. Questo significa che il danno economico maggiore non deriva sempre da malware, ransomware o data breach tradizionali. Molto spesso nasce da schemi che usano la tecnologia per rendere credibile una richiesta, un investimento, un pagamento o un’identità.
Molti schemi funzionano perché sfruttano canali già accettati dalle vittime: email aziendali, piattaforme di messaggistica, portali di investimento, chiamate di supporto, QR code, bonifici, crypto wallet e account finanziari. Dal punto di vista tecnico, l’attacco non sempre richiede l’esecuzione di codice malevolo. Spesso basta controllare la comunicazione, imitare un’identità affidabile e spingere la vittima verso una transazione.
La parte tecnica esiste, ma spesso lavora dietro le quinte: account compromessi, domini lookalike, profili social falsi, wallet crypto, mule account, call center fraudolenti, strumenti di remote access, voice cloning, deepfake e contenuti generati con AI. Non sono episodi separati. Sono componenti di una stessa infrastruttura criminale, progettata per ridurre l’attrito e aumentare la credibilità.
- account email compromessi o domini spoofati per BEC e phishing;
- profili social e account di messaggistica per l’ingaggio iniziale;
- piattaforme di investimento false con dashboard e profitti simulati;
- wallet crypto e servizi di cash-out per spostare rapidamente i fondi;
- call center fraudolenti per tech support e government impersonation;
- mule account e conti bancari intermedi per il riciclaggio;
- strumenti AI per generare contenuti, voci, video e conversazioni credibili.
Questo è il vero salto di qualità: l’attacco non vive più solo dentro un allegato malevolo o in una connessione sospetta verso un C2. Vive dentro una conversazione, una procedura, un workflow approvativo, un passaggio finanziario.
Per questo parlare di frode come categoria minore rispetto al malware è un errore. Oggi la frode digitale è una disciplina offensiva matura: combina intelligence, social engineering, automazione, abuso di identità e monetizzazione rapida. È tecnica nella preparazione, psicologica nell’esecuzione e finanziaria nel risultato.
Investment fraud e crypto: quando la vittima vede una piattaforma, non una truffa
La categoria più costosa resta l’investment fraud, con oltre 8,6 miliardi di dollari di perdite. La variante più rilevante è quella legata alle criptovalute, che nel 2025 ha generato oltre 7,2 miliardi di dollari di perdite dichiarate. Ma ridurre tutto a “truffe sulle criptovalute” sarebbe troppo comodo: qui il punto è l’architettura della fiducia costruita dagli attaccanti.
La parte più interessante, dal punto di vista della threat intelligence, è la qualità dell’ambiente costruito dagli attaccanti. La vittima non viene semplicemente convinta a inviare denaro a un wallet. Viene accompagnata dentro un ecosistema fittizio che somiglia a un servizio finanziario reale: dashboard, grafici, saldo disponibile, cronologia delle transazioni, profitti simulati, notifiche, assistenza clienti, procedure di prelievo.
È un dettaglio fondamentale. La vittima non percepisce subito una perdita, perché vede il proprio capitale “crescere” dentro una piattaforma che sembra funzionare. La frode non si basa solo sulla promessa di guadagno, ma sulla costruzione di una falsa evidenza operativa.
Il primo contatto può arrivare da SMS, social media, advertising, dating app o gruppi di investimento. Poi la conversazione si sposta su canali più controllabili, spesso piattaforme di messaggistica, dove l’attaccante può isolare la vittima, gestire il ritmo della relazione e costruire fiducia nel tempo.
Quando arriva il momento del prelievo, compaiono frizioni artificiali: tasse, commissioni, verifiche KYC fasulle, blocchi temporanei, ulteriori depositi richiesti per “sbloccare” i fondi. A quel punto, nella realtà, il denaro è già stato trasferito, frammentato e spostato attraverso wallet e servizi diversi.
Le criptovalute non sono solo un metodo di pagamento. Diventano parte della logistica criminale, perché permettono rapidità, layering, pseudonimizzazione e trasferimenti transfrontalieri.
C’è poi un secondo livello, spesso sottovalutato: le recovery scams. Dopo la perdita iniziale, la stessa vittima viene ricontattata da falsi studi legali, società di recupero fondi o presunti funzionari. È una seconda monetizzazione della stessa vulnerabilità emotiva e finanziaria. Dal punto di vista criminale, non è un nuovo incidente: è la continuazione del ciclo di sfruttamento.
BEC: quando la compromissione è nel processo, non nel malware
Il Business Email Compromise rimane una delle minacce più costose per le aziende, con perdite superiori ai 3 miliardi di dollari. E continua a essere pericoloso proprio perché non assomiglia sempre a un attacco informatico nel senso tradizionale del termine.
In un caso BEC non c’è necessariamente un malware da analizzare, un file da mettere in sandbox, un exploit da correlare o un traffico C2 da bloccare. A volte c’è una mailbox realmente compromessa. Altre volte un dominio quasi identico a quello del fornitore. Altre ancora una semplice impersonificazione, costruita con sufficiente attenzione da risultare credibile.
- compromissione reale di una mailbox aziendale;
- spoofing o typosquatting di un dominio simile;
- impersonificazione di un executive, fornitore o partner commerciale.
La sequenza è nota: raccolta OSINT sull’azienda, identificazione dei ruoli finanziari, studio del linguaggio interno, pressione temporale, richiesta di riservatezza, modifica delle coordinate bancarie o istruzione di pagamento urgente. Nulla di fantascientifico. Proprio per questo funziona.
SPF, DKIM e DMARC sono controlli necessari, ma non possono essere considerati una risposta completa. Se l’attaccante usa una mailbox legittima già compromessa, o se entra nella conversazione da un account di un fornitore reale, il problema non è più solo autenticare il dominio. Il problema diventa verificare la coerenza della richiesta rispetto al processo.
Per un CISO, questo significa spostare una parte della difesa dal livello puramente tecnico al livello operativo: verifica fuori banda per cambio coordinate bancarie, doppia approvazione per pagamenti critici, monitoraggio delle regole di forwarding anomale, controllo degli accessi impossibili, correlazione tra login sospetti e attività finanziarie sensibili.
La domanda giusta, oggi, non è più soltanto “questa email è autentica?”. La domanda giusta è: “questa richiesta sta seguendo il processo autorizzativo previsto?”.
AI-enabled fraud: l’automazione della credibilità
L’intelligenza artificiale non ha inventato il social engineering, ma lo rende più scalabile e credibile. Nel 2025 le segnalazioni con riferimento all’AI hanno generato perdite per centinaia di milioni di dollari. Il contributo principale dell’AI è l’abbassamento del costo della personalizzazione: un attore criminale può generare migliaia di conversazioni diverse, adattare il tono alla vittima, tradurre messaggi in più lingue, imitare comunicazioni aziendali e creare contenuti visivi o audio difficili da distinguere a prima vista.
Per anni la formazione anti-phishing ha insistito su errori grammaticali, traduzioni approssimative, impaginazioni strane, mittenti sospetti. Era utile, in un certo contesto. Ma quel contesto sta rapidamente scomparendo. Oggi un attaccante può generare email corrette, naturali, localizzate, coerenti con il tono aziendale e adattate al ruolo del destinatario.
Nel BEC, questo significa email più naturali, senza errori grammaticali evidenti e con uno stile compatibile con il contesto aziendale. Nelle investment scams, significa video e voci sintetiche di CEO, celebrità o figure ritenute affidabili. Nelle employment scams, significa colloqui online con voice spoofing o potenziali deepfake, dove l’obiettivo non è sempre una perdita finanziaria immediata, ma l’accesso iniziale a reti aziendali private.
Il punto, per le aziende, è che il contenuto malevolo non è più necessariamente brutto. Può essere scritto bene, arrivare nel momento giusto, usare un tono plausibile e non contenere indicatori evidenti. Questo rende insufficiente una detection basata solo sull’analisi statica del messaggio.
La difesa deve guardare al comportamento: una richiesta anomala, un cambio di canale improvviso, una pressione a non verificare, una modifica del beneficiario, un accesso da un dispositivo non noto, una sessione che si comporta in modo diverso dal solito. Non basta più chiedersi se il messaggio “sembra phishing”. Bisogna chiedersi se l’azione richiesta è coerente con il rischio, il ruolo e il processo.
Ransomware: il numero dichiarato non racconta il danno reale
Nel report IC3 il ransomware appare con oltre 3.600 segnalazioni e perdite dichiarate superiori ai 32 milioni di dollari. Letto così, sembrerebbe quasi meno rilevante rispetto alle frodi finanziarie. Sarebbe un errore.
Il ransomware è una delle categorie in cui il valore dichiarato tende a essere più distante dall’impatto reale. Spesso non rientrano nel conteggio downtime, interruzione del business, consulenti esterni, ricostruzione dell’infrastruttura, perdita di produttività, danno reputazionale, costi legali, comunicazioni verso clienti e autorità, audit straordinari e aumento dei premi assicurativi.
In più, il ransomware non inizia quasi mai dal ransomware. La cifratura è l’ultima fase visibile di una catena più lunga: accesso iniziale, persistenza, privilege escalation, discovery, lateral movement, esfiltrazione e solo alla fine cifratura o estorsione. Se la difesa interviene solo quando parte l’encryption, è già tardi.
Le varianti più segnalate includono Akira, Qilin, INC./Lynx/Sinobi, BianLian, Play, Ransomhub, LockBit, Dragonforce, SAFEPAY e Medusa. I settori più colpiti includono manifattura critica, sanità, pubblica amministrazione e strutture governative, ma il report evidenzia anche molte segnalazioni da settori non critici come studi legali, contractor, società di ingegneria, consulenza e manufacturing non critico.
Dal punto di vista tecnico, le raccomandazioni restano coerenti con le TTP osservate nei casi ransomware. Qui un elenco è utile, perché consente di vedere dove la difesa deve intercettare la catena d’attacco prima della cifratura:
- backup offline o off-site, cifrati e immutabili;
- eliminazione di password di default e credenziali deboli;
- MFA su webmail, VPN, accessi amministrativi e sistemi critici;
- riduzione dei protocolli non necessari;
- audit degli account privilegiati;
- least privilege per utenti e service account;
- MDR per rilevare connessioni laterali e attività anomale sugli host;
- logging del traffico interno, non solo perimetrale;
- segmentazione di rete per limitare il lateral movement;
- patching prioritario delle vulnerabilità note sfruttate su sistemi esposti.
La domanda da porsi non è “siamo protetti dal ransomware?”. È troppo generica. La domanda più utile è: “in quale fase della catena d’attacco siamo realmente in grado di vedere, contenere e interrompere l’attaccante?”.
Account Takeover e tech support fraud: quando l’accesso è legittimo, ma l’uso no
Un altro elemento tecnico importante è l’Account Takeover. IC3 riporta circa 4.700 reclami ATO, con perdite per circa 359,7 milioni di dollari. In questi casi, il problema non è solo la sottrazione di credenziali. È l’uso di sessioni o account legittimi per eseguire operazioni fraudolente.
Una volta dentro, l’attaccante può non fare nulla di tecnicamente rumoroso. Può modificare metodi di recupero, impostare forwarding, creare nuovi beneficiari, autorizzare pagamenti, approvare richieste, consultare documenti, cercare informazioni utili per una frode successiva. L’account è valido. La sessione può sembrare valida. Il problema è il comportamento.
La tech support fraud segue una logica simile, ma con una dinamica ancora più insidiosa: spesso è la vittima stessa a concedere l’accesso remoto. Il criminale si presenta come supporto tecnico, banca, provider, ente governativo o servizio antifrode. Convince l’utente a installare un software di remote access, condividere lo schermo, inserire codici OTP o seguire istruzioni operative.
Per le aziende, questo impone un cambio di approccio. Non basta monitorare malware ed exploit. Bisogna osservare account, sessioni, device, autorizzazioni, geolocalizzazioni, strumenti di remote access, modifiche anomale e transazioni sensibili. L’identità non è più solo un mezzo di autenticazione. È una superficie d’attacco.
Financial Fraud Kill Chain: nelle frodi finanziarie il tempo è il controllo più importante
La sezione sul Recovery Asset Team e sulla Financial Fraud Kill Chain è particolarmente rilevante per le aziende. Nel 2025, il processo FFKC è stato attivato su 3.900 incidenti, con oltre 1,16 miliardi di dollari di furto tentato e circa 679 milioni di dollari congelati.
Il dato operativo è chiaro: nelle frodi finanziarie, il tempo è il controllo di sicurezza più importante. Prima viene segnalata la transazione fraudolenta, maggiore è la possibilità di bloccare i fondi presso la banca ricevente o nei passaggi successivi, i cosiddetti second hop.
Significa sapere immediatamente chi chiamare in banca, quali informazioni raccogliere, chi autorizza l’escalation, chi verifica gli account coinvolti, chi conserva le evidenze, chi contatta le autorità competenti e chi gestisce la comunicazione interna. In pratica, un playbook realmente utile dovrebbe coprire almeno questi elementi:
- contatti diretti della banca e del relationship manager;
- procedura interna per escalation urgente;
- raccolta immediata di importo, orario, beneficiario, IBAN, SWIFT/ACH, wallet o transaction hash;
- blocco o recall della transazione;
- conservazione delle email, degli header e dei log di accesso;
- verifica degli account coinvolti, revoca delle sessioni e reset delle credenziali;
- analisi di forwarding rules, OAuth grants e attività anomale successive;
- comunicazione rapida verso autorità competenti e funzioni interne coinvolte.
Il tempo, in questo caso, non è solo una variabile di gestione. È un controllo di sicurezza.
Un’organizzazione che scopre una frode dopo giorni ha margini molto ridotti. Un’organizzazione che la intercetta nelle prime ore può ancora attivare blocchi, recall, freeze e verifiche sui passaggi successivi. Ma questo richiede processi preparati, non solo strumenti installati.
La sicurezza deve proteggere anche le decisioni
Il cybercrime nel 2026 va interpretato partendo da questa evidenza: gli attaccanti monetizzano sempre più spesso la fiducia, non solo la vulnerabilità tecnica. Non tutto ciò che è pericoloso appare tecnicamente anomalo. Una richiesta può arrivare da un account reale. Una conversazione può essere scritta bene. Una dashboard può sembrare professionale. Una voce può sembrare autentica. Un pagamento può essere autorizzato da una persona legittimata a farlo.
MDR, MFA, patching, backup, segmentazione, logging e hardening restano indispensabili. Ma devono essere integrati con controlli sui processi: pagamenti, onboarding, cambio coordinate bancarie, gestione fornitori, accessi remoti, comunicazioni executive, approvazioni finanziarie, recupero account, escalation antifrode.
Gli indicatori non sono più solo IP, hash, domini, URL e firme. Sono anche pattern comportamentali: urgenza artificiale, pressione a non verificare, richiesta fuori processo, cambio improvviso di canale, nuovo beneficiario, login anomalo, sessione persistente, forwarding inatteso, transazioni frammentate, interazione spostata su piattaforme esterne.
Questo non significa sostituire la sicurezza tecnica con la formazione o con le procedure. Significa smettere di trattarle come mondi separati. La sicurezza efficace nasce quando telemetry, threat intelligence, identity security, process governance e awareness operativa lavorano insieme.
La conclusione è semplice, ma non comoda: oggi gli attaccanti monetizzano la fiducia con la stessa disciplina con cui un tempo sfruttavano le vulnerabilità tecniche. Il cybercrime moderno non attacca soltanto la tecnologia. Attacca il modo in cui le persone e le aziende prendono decisioni. Ed è proprio lì che la difesa deve arrivare.
Analisi di Vasily Kononov – Threat Intelligence Lead, CYBEROO
