Dati in vendita sul Dark Web: l'Italia nel mirino del phishing

Il 21 settembre 2026 CRIF ha pubblicato l'Osservatorio Cyber sul primo semestre dell'anno [1]; due giorni dopo Geopop ne ha rilanciato i dati con un titolo che colloca l'Italia «tra i Paesi più colpiti dal phishing» [2]. Questa edizione riparte dalla fonte primaria, la affianca ai dati di ENISA, ACN e NIST e prova a rispondere a una domanda semplice: perché una password rubata oggi rende più convincente il messaggio di phishing di domani?

1. I numeri: non conta il singolo dato, conta la combinazione

Il rischio non nasce da un'e-mail o da una password isolata, ma dall'incrocio di più dati riferiti alla stessa persona.

Nel primo semestre 2026 CRIF ha contato 2,5 miliardi di dati univoci in circolazione sul dark web [1]. Le tipologie più diffuse sono, nell'ordine, password, e-mail, nomi utente, numeri di telefono, nomi e cognomi. Il dato più significativo, però, riguarda le combinazioni: la password compare insieme all'e-mail nel 95,9% dei casi e insieme allo username nel 96%; il numero di telefono è associato a una password nel 61,7% dei casi. Quando circola il numero di una carta di credito, nel 99,8% dei casi è accompagnato da codice di sicurezza e data di scadenza [1]: un pacchetto pronto all'uso.

Sul fronte italiano, l'Italia è sesta al mondo (quarto in Europa) per indirizzi e-mail compromessi e terza al mondo, dopo Stati Uniti e Francia, per account rubati tramite infostealer e diffusi sul dark web [1]. Gli indirizzi esposti sono in larga parte personali (92,1%), contro un 7,9% di account aziendali: i privati restano il bersaglio più ampio, ma le aziende non ne sono immuni.

*Figura 1.* a) Combinazioni di dati rilevate nel primo semestre 2026; in rosso le combinazioni sopra il 90%. b) Posizione dell'Italia nelle classifiche CRIF. Elaborazione dell'autore su dati CRIF [1].

2. Dal furto al messaggio: il ciclo che alimenta il phishing

Phishing e infostealer possono alimentarsi a vicenda: il phishing può rubare direttamente le credenziali o veicolare malware, gli infostealer forniscono i dati che rendono più mirato il phishing successivo.

Gli infostealer sono programmi malevoli progettati per sottrarre automaticamente credenziali e altre informazioni dai dispositivi infettati; secondo CRIF si diffondono soprattutto attraverso campagne di phishing e software contraffatti e agiscono in modo silenzioso [1]. I dati raccolti finiscono in archivi ULP (URL, login e password) oppure in raccolte più complete, con informazioni sulla vittima e sul dispositivo compromesso. Il modello stealer-as-a-service abbassa ulteriormente la soglia: malware, pannelli di controllo e manuali sono disponibili anche per chi non ha competenze tecniche [1].

*Figura 2.* Il ciclo phishing–infostealer descritto dall'Osservatorio CRIF [1]: i dati sottratti tornano all'attaccante sotto forma di profili che rendono il messaggio successivo più mirato. Schema dell'autore.

Il quadro europeo mostra una tendenza coerente. Nel Threat Landscape 2026, pubblicato a settembre e dedicato agli incidenti registrati nel 2025, ENISA indica che il phishing rappresenta il 77,8% delle tecniche di ingegneria sociale osservate, seguito dal malspam con il 13%, e segnala la diffusione di kit di phishing e piattaforme Phishing-as-a-Service, oltre al ricorso crescente alla tecnica ClickFix e allo smishing [3]. In Italia il CSIRT dell'Agenzia per la Cybersicurezza Nazionale ha segnalato 1.530 URL di phishing nel primo semestre 2025 e 927 nel secondo [4][5].

Una precisazione sul titolo da cui siamo partiti: le classifiche CRIF misurano indirizzi e account esposti, non attacchi di phishing ricevuti. Sono indicatori di esposizione, che del phishing sono insieme la conseguenza e il carburante (nota 2).

3. Anatomia di una mail falsa: cosa si vede e cosa no

Ciò che lo schermo mostra per primo, il nome del mittente e il testo del link, è anche la parte più facile da falsificare.

Ogni messaggio presenta un nome visualizzato (per esempio «Banca Esempio») e un indirizzo del mittente. Il nome visualizzato è un campo testuale controllato dal mittente; sugli schermi piccoli spesso è l'unica cosa visibile, e l'indirizzo va aperto con un tocco. Anche l'indirizzo, però, può ingannare: i domini look-alike (o domini sosia) imitano quello vero sostituendo lettere simili («rn» al posto di «m») o aggiungendo parole rassicuranti come «sicurezza» o «verifica».

*Figura 3.* Lo stesso messaggio di phishing in due ricostruzioni: a) interfaccia mobile in stile iOS, con l'anteprima del link ottenuta con una pressione prolungata; b) client desktop in stile Windows, con la destinazione mostrata al passaggio del puntatore. Ricostruzioni originali dell'autore (Python/PIL); mittente e domini sono fittizi (vedi Avvertenza).

Esiste poi un livello invisibile all'utente, in cui SPF, DKIM e DMARC svolgono funzioni complementari: SPF indica quali server sono autorizzati a inviare posta per un dominio, DKIM associa al messaggio una firma crittografica legata a un dominio, DMARC consente al titolare del dominio del mittente di verificarne l'uso tramite SPF e DKIM e di indicare come preferisce che siano gestiti i messaggi che non superano i controlli [6]. Funzionano bene contro chi abusa del dominio vero; non dicono nulla su un dominio sosia registrato dall'attaccante, che può superare tutti e tre i controlli proprio perché è davvero suo. Un messaggio «autenticato», quindi, non è per forza un messaggio affidabile.

L'ultimo elemento è il link: il testo cliccabile («Verifica ora») e la destinazione reale sono due cose distinte. Su computer la destinazione compare in genere passando il puntatore sul link; su smartphone, con una pressione prolungata. Controllarla richiede un secondo, ma presuppone che l'utente se ne ricordi sempre: è qui che entra in gioco la difesa strutturale.

4. Difendersi: meno vigilanza richiesta, più protezione strutturale

Un metodo resistente al phishing non si affida alla vigilanza dell'utente: è questo l'elemento che NIST pone al centro della propria definizione.

Nella SP 800-63B-4, pubblicata in versione definitiva il 31 luglio 2025, il NIST statunitense definisce la resistenza al phishing come la capacità del protocollo di autenticazione di impedire che segreti e codici validi finiscano a un falso verificatore, senza fare affidamento sulla vigilanza dell'utente; precisa inoltre che non conta come la vittima sia arrivata sul sito falso, se da una mail o da un motore di ricerca [7]. Ne consegue che password, codici monouso (OTP) e autenticazione fuori banda, come SMS e notifiche, non sono resistenti al phishing: un codice digitato a mano può essere inoltrato dall'attaccante in tempo reale. Lo sono invece gli autenticatori crittografici che legano la risposta al dominio reale, come quelli basati su WebAuthn/FIDO2 usati dalle passkey [7].

*Figura 4.* Metodi di accesso comuni e resistenza al phishing secondo NIST SP 800-63B-4 [7]: un secondo fattore resta utile contro il semplice riuso di password rubate, ma solo l'autenticazione crittografica legata al dominio resiste a un sito falso. Elaborazione dell'autore.

La stessa pubblicazione aggiorna le regole sulle password, con ricadute dirette sul tema di questa edizione: i servizi non devono imporre cambi periodici, ma devono forzare il cambio quando ci sono prove di compromissione; devono confrontare ogni nuova password con un elenco di valori noti, comprese quelle provenienti da violazioni precedenti; devono consentire l'uso dei password manager e dovrebbero permettere di incollare la password [7]. Tradotto in pratica quotidiana:

• attivare le passkey dove il servizio le offre e, altrove, almeno un secondo fattore;
• usare una password diversa per ogni servizio, generata e custodita da un password manager;
• se si riceve un avviso di dati esposti, cambiare subito quella password e ovunque sia stata riusata;
• davanti a una richiesta urgente, non usare il link ricevuto: aprire l'app ufficiale o digitare l'indirizzo del servizio.

Note

1. Il 32,3% si riferisce agli utenti monitorati dai servizi di protezione CRIF, non all'intera popolazione italiana: è un campione di persone che hanno scelto un servizio di monitoraggio [1].

2. CRIF classifica i Paesi per indirizzi e-mail compromessi e per account diffusi tramite infostealer, individuati analizzando gli archivi ULP [1]. Si tratta di misure di esposizione, non del numero di attacchi di phishing ricevuti.

3. Per le carte di credito la pagina CRIF riporta per l'Italia sia il 22° sia il 14° posto nella classifica globale [1]. Non essendo chiaro se si tratti di due indicatori diversi, il dato è stato omesso.

4. I dati ENISA [3] derivano da un insieme di incidenti selezionati e non costituiscono un censimento; la quota del 77,8% si riferisce alle tecniche di ingegneria sociale e non è confrontabile con il 60% di vettori di intrusione riportato nell'edizione 2025. I dati ACN [4][5] contano URL di phishing segnalati, non attacchi riusciti.

Riferimenti

[1] CRIF, «Osservatorio Cyber CRIF (H1 2026): 2,5 miliardi di dati esposti sul dark web e l'impatto di IA e Infostealer in Italia», 21 settembre 2026. crif.it/risorse/ricerche/osservatorio-cyber-primo-semestre-2026

[2] G. Servidio, «2,5 miliardi di dati finiti sul Dark Web nel 2026: Italia tra i Paesi più colpiti dal phishing», Geopop, 23 settembre 2026.

[3] ENISA, ENISA Threat Landscape 2026, settembre 2026. enisa.europa.eu/publications/enisa-threat-landscape-2026

[4] Agenzia per la Cybersicurezza Nazionale, Operational Summary – 1° semestre 2025. acn.gov.it/portale/en/w/operational-summary-1-semestre-2025

[5] Agenzia per la Cybersicurezza Nazionale, Operational Summary – 2° semestre 2025. acn.gov.it/portale/en/w/operational-summary-2-semestre-2025

[6] IETF, RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 9990 (DMARC Aggregate Reporting), RFC 9991 (DMARC Failure Reporting). rfc-editor.org

[7] NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, 31 luglio 2025. pages.nist.gov/800-63-4

Avvertenza

Le Figure 3a e 3b sono ricostruzioni originali realizzate dall'autore in Python (PIL): non riproducono schermate reali né marchi. «Banca Esempio» è un nome di fantasia e i domini usano il suffisso riservato .example (RFC 2606), che non può essere registrato. Le Figure 1, 2 e 4 sono elaborazioni dell'autore sui dati delle fonti citate. Nessuna immagine è stata generata con strumenti di intelligenza artificiale. Contenuto a scopo divulgativo, aggiornato al 25 settembre 2026.