Attacchi informatici: 2,5 miliardi di dati esposti sul dark web nel primo semestre 2026

Nel primo semestre del duemilaventisei emerge l’esposizione di nuovi dati in circolazione sul dark web, in grado di fornire informazioni sempre più dettagliate e complete sulle vittime. Il numero di dati univoci in circolazione ha raggiunto quota due miliardi e mezzo, rappresentando una risorsa preziosa che i cybercriminali possono sfruttare per costruire profili approfonditi e rendere molto più efficaci truffe, tentativi di phishing e furti di identità.

Tecniche come il phishing, lo smishing, il vishing e lo spear phishing continuano a rappresentare minacce estremamente significative anche in questa prima parte dell’anno. A queste si aggiungono gli attacchi basati sull'intelligenza artificiale, che utilizzano deepfake audio e video realistici e, a livello aziendale, comunicazioni e-mail impeccabili e difficili da distinguere da quelle autentiche.

Continua inoltre la diffusione degli stealer-as-a-service, ovvero malware capaci di acquisire un'elevata quantità di informazioni contestuali dai dispositivi infettati. Queste sono alcune delle evidenze emerse dall'Osservatorio Cyber di CRIF, che analizza regolarmente la vulnerabilità di persone e aziende agli attacchi informatici e i principali trend relativi ai dati scambiati negli ambienti open web e dark web.

Il nostro Paese non è certo immune da questa minaccia globale. Nel primo semestre del duemilaventisei, l'Italia si posiziona al quarto posto nel continente europeo e al sesto posto nella classifica globale per quanto riguarda il numero di indirizzi e-mail compromessi e messi in circolazione sul dark web. L'Italia si colloca inoltre al sesto posto in Europa per numero di dati relativi a carte di credito in circolazione, indicatore significativo di vulnerabilità finanziaria, e al sedicesimo posto europeo per il rilevamento di numeri di telefono, elemento chiave in molte truffe come lo smishing.

L'Osservatorio evidenzia anche una crescita costante della circolazione di dati sottratti tramite malware infostealer. Questi software si diffondono soprattutto attraverso campagne di phishing e programmi contraffatti, operando in modo silenzioso per raccogliere credenziali e informazioni dai dispositivi digitali prima di trasmetterle ai criminali. A favorire la diffusione contribuisce il modello stealer-as-a-service, che rende disponibili strumenti e guide anche a soggetti privi di specifiche competenze tecniche, abbassando notevolmente le barriere di accesso per la criminalità informatica.

Analizzando gli indirizzi e-mail presenti negli archivi specializzati, è stato possibile classificare gli account compromessi in base al Paese di appartenenza. L'Italia si conferma un bersaglio primario, posizionandosi al terzo posto a livello globale, dopo Stati Uniti e Francia, per numero di account rubati e diffusi sul dark web tramite infostealer. Nell'Europa dell'Est si colloca l'epicentro di questa industria criminale, con la Russia che guida lo sviluppo e la commercializzazione dei principali malware sul mercato, sebbene siano emersi poli secondari in Sud-est asiatico e Brasile.

Nel primo semestre dell'anno la classifica dei dati personali più vulnerabili conferma la centralità delle credenziali digitali. Le tipologie di dati più diffuse e vulnerabili sul dark web risultano password, e-mail, nomi utente, numeri di telefono, nomi e cognomi. Particolarmente rilevanti sono le combinazioni che vedono il numero della carta di credito associato alle informazioni di sicurezza e alla data di scadenza, rilevato nella quasi totalità dei casi esaminati e in forte crescita rispetto ai periodi precedenti.

L'incrocio di più informazioni personali facilita la ricostruzione di profili dettagliati delle vittime, rendendo gli attacchi di ingegneria sociale molto più efficaci. I dati di contatto vengono spesso utilizzati per realizzare frodi mirate come lo spear phishing e gli attacchi Business E-mail Compromise, nei quali i criminali si fingono dirigenti aziendali per convincere i dipendenti a effettuare bonifici, trasferire fondi o condividere informazioni riservate.

Dall'analisi qualitativa dei contesti in cui i dati circolano, escludendo i servizi di posta elettronica, le username trovate sul dark web sono maggiormente associate agli account di servizi e abbonamenti digitali, seguiti da social network, forum e siti web, enti pubblici e istituzioni. Le credenziali rubate possono essere impiegate per accedere illecitamente agli account, utilizzare servizi in modo fraudolento, inviare messaggi con richieste di denaro o diffondere malware ed estorcere fondi.

In questo scenario complesso, il fattore umano continua a giocare un ruolo cruciale, in quanto la disattenzione degli utenti e l'uso di password deboli o riutilizzate rappresentano tra le cause più comuni di compromissione. Analizzando i domini degli account e-mail esposti, emerge una netta prevalenza di indirizzi personali, a conferma che gli utenti privati continuano a proteggere in modo insufficiente i propri dati digitali, rimanendo il bersaglio preferito dei criminali informatici.