Quadro generale

Nel 2025, secondo l’Osservatorio Cyber di CRIF, il fenomeno del cybercrime si presenta ancora più articolato e diffuso. Gli alert riferiti alla comparsa di dati sul dark web sono aumentati del 5,8%, superando quota 2,2 milioni di segnalazioni; al contrario, quelli connessi al web pubblico sono scesi a 55.000 casi, con un calo del 6,6% rispetto al 2024. Il profilo di rischio non dipende soltanto dal numero delle esposizioni, ma anche dalla natura delle informazioni coinvolte: la gravità media degli alert rilevati sul dark web è cresciuta del 22%, per effetto della diffusione di combinazioni di dati più complete e sensibili, quali indirizzi e-mail associati a password, credenziali di accesso integrali e riferimenti puntuali agli account violati.

Impatto del contesto geopolitico

Anche l’evoluzione dello scenario geopolitico sta modificando la geografia del rischio. L’Iran, in particolare, passa dal 124° al 3° posto a livello mondiale per numero di indirizzi e-mail compromessi, dato che evidenzia una forte esposizione a campagne mirate, spesso collegate alle tensioni in Medio Oriente.

Posizionamento dell’Italia

L’Italia continua a rappresentare un obiettivo significativo: si colloca al 6° posto nel mondo per e-mail compromesse e al 23° per dati di carte di credito presenti sul dark web. Inoltre, più della metà degli utenti italiani, pari al 51,8%, ha ricevuto almeno un alert nel 2025, prevalentemente per informazioni individuate sul dark web. Sotto il profilo territoriale, Lazio, Lombardia e Sicilia registrano i volumi assoluti più elevati di alert; se invece si considera l’incidenza rispetto alla popolazione, emergono Sardegna, Umbria, Lazio, Calabria e Friuli-Venezia Giulia.

Uso dell’intelligenza artificiale nelle campagne fraudolente

L’intelligenza artificiale sta ampliando in misura rilevante la capacità operativa dei cyber criminali. Tecniche come smishing, phishing, vishing e spear phishing risultano più persuasive grazie a contenuti prodotti da modelli linguistici avanzati e all’impiego di deepfake audio e video, con la conseguente diffusione di campagne di omni-phishing multicanale sempre più difficili da intercettare.

Stealers-as-a-service e rischio di account takeover

A questo scenario si affianca la crescita dei servizi di stealers-as-a-service, che consentono di raccogliere e commercializzare pacchetti informativi completi. Parallelamente aumenta il rischio di account takeover, soprattutto nei casi in cui le credenziali sottratte vengano combinate con tecniche evolute di social engineering.

Espansione degli account business compromessi

Particolarmente significativo è l’incremento degli account business compromessi: il dato segna un +12,7% e porta tali account a rappresentare quasi il 10% del totale degli account esposti sul dark web, mentre le e-mail personali continuano a costituire la quota largamente prevalente, intorno al 90%. Questo andamento dimostra, da un lato, che gli utenti continuano a sottovalutare la tutela delle proprie credenziali; dall’altro, che le imprese, pur rafforzando gli investimenti in controlli avanzati, restano target di alto valore. Le combinazioni di dati oggi in circolazione includono infatti sempre più spesso elementi professionali, rendendo possibili attacchi mirati ai processi e alle piattaforme aziendali.

Tipologie di dati maggiormente esposte

Tra gli insiemi informativi più esposti figurano quelli che favoriscono direttamente frodi finanziarie e furto d’identità. Nel 94,2% dei casi i dati relativi alle carte di credito compaiono insieme al nome e cognome della persona interessata; nel 91,5% dei casi, invece, e-mail e password risultano associate tra loro e, molto spesso, anche alla username, con un rischio particolarmente elevato di sottrazione degli account. Si rileva inoltre una presenza crescente di indirizzi completi, numeri di telefono e numeri di passaporto abbinati a dati identificativi personali, fattore che alimenta scenari di impersonificazione e profiling avanzato.

Servizi maggiormente colpiti

Quanto ai servizi interessati dalle compromissioni, oltre alla posta elettronica emergono soprattutto gli account collegati ai servizi online, che rappresentano il 53,7%, nonché quelli riferibili a social network, siti internet, gaming, enti pubblici, e-commerce e servizi finanziari. Il dato conferma l’ampiezza della superficie di attacco.

Fattore umano e focus sul mercato italiano

L’analisi riferita all’Italia ribadisce la centralità del fattore umano. La maggior parte degli utenti destinatari di alert rientra nelle fasce d’età 51–60, 41–50 e over 60, con prevalenza maschile. Sul web aperto, i dati che risultano più frequentemente esposti sono e-mail e codice fiscale; nel dark web, invece, prevalgono credenziali e-mail, numeri di telefono e codici fiscali, spesso organizzati anche per età, genere e area geografica.

Considerazioni conclusive

In tale contesto assumono un ruolo essenziale l’educazione digitale, l’utilizzo di password robuste e diverse per ciascun servizio, l’adozione di strumenti di monitoraggio del dark web e la capacità di riconoscere le più recenti tecniche di attacco basate sull’AI. Si tratta di leve fondamentali per contenere l’esposizione al rischio, come evidenziato anche da CRIF nelle proprie raccomandazioni.