Il report Zscaler ThreatLabz 2026 rileva un calo del 20% nel volume globale del phishing. La riduzione non coincide con un arretramento della minaccia: intelligenza artificiale, siti creati in pochi minuti e kit capaci di aggirare la MFA rendono le campagne più credibili e selettive.
Il volume globale del phishing è diminuito del 20% per il secondo anno consecutivo, ma gli attacchi risultano più accurati, realistici e difficili da individuare. È il quadro descritto dallo Zscaler ThreatLabz 2026 Phishing and Initial Access Report, che individua un cambiamento nel modello economico della criminalità informatica: meno campagne indiscriminate e maggiore attenzione verso bersagli di valore.
La ricerca si basa sui dati raccolti dalla piattaforma Zscaler Zero Trust Exchange tra gennaio e dicembre 2025. L’analisi comprende attività di phishing, sessioni cifrate e interazioni con infrastrutture di deception. Queste ultime hanno registrato quasi 90 milioni di attività ostili tra ottobre 2025 e marzo 2026.
Secondo Zscaler, il calo numerico non rappresenta un miglioramento automatico del livello di sicurezza. Gli attaccanti hanno adottato strumenti capaci di produrre messaggi corretti, pagine web coerenti con l’identità visiva dei marchi e flussi di autenticazione simili a quelli legittimi.
L’AI favorisce campagne di phishing più credibili
ThreatLabz ha identificato 413.524 siti creati tramite strumenti di intelligenza artificiale. Quasi il 10% è stato classificato come esplicitamente malevolo.
Servizi di tipo “text-to-site”, tra cui Manus AI, Blackbox AI e Lovable AI, possono produrre rapidamente portali web completi a partire da istruzioni testuali. Un criminale può quindi replicare una pagina di accesso, una richiesta di pagamento o un modulo aziendale senza possedere competenze avanzate nello sviluppo web.
Questa possibilità riduce i costi e i tempi necessari per preparare una campagna. In passato, un portale falso credibile richiedeva lavoro manuale, conoscenze tecniche e una fase di test. Oggi alcuni strumenti possono creare in pochi minuti pagine curate, compatibili con dispositivi mobili e coerenti con il marchio imitato.
L’uso dell’AI permette inoltre di eliminare molti segnali che in passato aiutavano a riconoscere una truffa, come errori grammaticali, testi generici e impaginazioni poco professionali. Le esche possono adattarsi al settore, al ruolo lavorativo, alla lingua e alle abitudini operative della vittima.
Il settore dei servizi registra un aumento del 65,5%
Il comparto dei servizi ha registrato un aumento del 65,5% su base annua negli attacchi rilevati. I criminali hanno sfruttato processi fondati sulla fiducia, tra cui fatturazione, rinnovi contrattuali, onboarding e assistenza tecnica.
Questi contesti offrono occasioni adatte per inserire richieste urgenti, collegamenti a portali falsi o allegati malevoli. Un messaggio che richiama una fattura in scadenza o un rinnovo imminente può apparire plausibile, soprattutto quando riproduce nomi, loghi e formule già utilizzati nei normali rapporti commerciali.
Il settore manifatturiero e la pubblica amministrazione restano tra i principali bersagli del phishing via email. Gli attacchi contro gli enti pubblici sono aumentati del 50%, con un interesse particolare verso credenziali, informazioni riservate e sistemi di identità.
Microsoft e Google restano i marchi più imitati
Microsoft e Google occupano i primi posti tra i marchi copiati nelle campagne di phishing. La scelta riflette il valore degli account aziendali collegati ai loro ecosistemi.
La compromissione di un’identità Microsoft 365 o Google Workspace può offrire accesso a posta elettronica, documenti, archivi cloud, calendari, strumenti di collaborazione e applicazioni collegate tramite autenticazione unica. Una sola credenziale può quindi aprire più servizi e ampliare l’impatto dell’attacco.
Gli aggressori non puntano soltanto alla password. Alcuni kit cercano di intercettare anche cookie, token e sessioni già autenticate, così da superare le difese che richiedono un secondo fattore.
BlackForce e il furto delle sessioni attive
Il report cita BlackForce, un kit di phishing capace di operare in tempo reale contro i sistemi protetti da autenticazione a più fattori.
Gli attacchi di tipo adversary-in-the-middle collocano un’infrastruttura controllata dal criminale tra la vittima e il servizio legittimo. La pagina falsa inoltra le informazioni al sito autentico e intercetta credenziali, codici temporanei o token di sessione.
In questo scenario, la MFA conserva un ruolo importante, ma non garantisce una protezione assoluta. Un token di sessione sottratto dopo un accesso valido può permettere al criminale di entrare nell’account senza ripetere l’intero processo di autenticazione.
Le aziende possono ridurre il rischio tramite fattori resistenti al phishing, come passkey e chiavi hardware conformi agli standard FIDO2, controlli sul dispositivo, verifica continua della sessione e limitazione dei privilegi.
Il 95,2% del phishing si nasconde nel traffico cifrato
Il 95,2% dei tentativi di phishing osservati da ThreatLabz è transitato attraverso connessioni cifrate. Il dato mostra come la presenza di HTTPS non costituisca una prova di affidabilità.
Il lucchetto del browser indica che la comunicazione tra utente e sito utilizza la cifratura. Non certifica l’identità o la legittimità di chi gestisce la pagina. Anche un dominio creato per rubare credenziali può ottenere un certificato TLS valido.
Zscaler rileva inoltre che l’87% dell’attività malevola complessiva passa tramite HTTPS. La differenza tra i due valori dipende dal perimetro dell’analisi: il 95,2% riguarda i tentativi di phishing, mentre l’87% comprende un insieme più ampio di minacce.
Per le organizzazioni, l’ispezione del traffico TLS può offrire maggiore visibilità, ma richiede regole adeguate per privacy, conformità, prestazioni e gestione dei certificati.
Quasi 90 milioni di interazioni con sistemi di deception
La telemetria raccolta dai sistemi di deception ha rilevato 89,9 milioni di interazioni ostili riconducibili a 1,37 milioni di indirizzi IP unici nell’arco di sei mesi.
Le tecnologie di deception espongono risorse, identità o servizi-esca che non dovrebbero ricevere traffico legittimo. Un tentativo di accesso o scansione rappresenta quindi un segnale utile per individuare attività di ricognizione.
Secondo il report, gli attaccanti hanno mostrato particolare interesse verso piattaforme di collaborazione e sistemi di gestione delle identità. Le attività precedono spesso il primo accesso e servono a mappare domini, account, applicazioni e possibili punti deboli.
Oltre 121.000 indirizzi IP ospitati su cloud pubblici sono stati associati a operazioni di scansione e sondaggio. Le infrastrutture cloud legittime permettono ai criminali di cambiare rapidamente origine, distribuire le richieste e confondere i controlli che si basano soltanto sulla reputazione degli indirizzi IP.
Il Brasile cresce come origine dei contenuti di phishing
Gli Stati Uniti restano tra i principali bersagli del phishing via email. Il Brasile ha invece registrato un aumento del 2.522% nell’hosting di contenuti di phishing, fino a entrare tra i primi cinque Paesi di origine osservati dalla ricerca.
Il dato non indica necessariamente che gli autori degli attacchi si trovino fisicamente in Brasile. La localizzazione può dipendere dai server, dai servizi cloud o dalle infrastrutture compromesse utilizzate per ospitare le pagine malevole.
Questa distinzione è importante perché l’origine tecnica di un sito non coincide sempre con la posizione dell’attaccante. Proxy, reti private virtuali, hosting temporanei e sistemi violati possono alterare la provenienza apparente delle attività.
Come ridurre il rischio di compromissione iniziale
Il report raccomanda un approccio che copra l’intera catena d’attacco, dalla ricognizione alla possibile esfiltrazione dei dati.
La riduzione della superficie esposta limita le informazioni accessibili dall’esterno. L’analisi del traffico cifrato può individuare minacce nascoste nelle connessioni HTTPS. I controlli Zero Trust possono vincolare l’accesso all’identità, al dispositivo, al contesto e alla singola applicazione.
La segmentazione riduce inoltre il movimento laterale dopo la compromissione di un account o di un endpoint. I sistemi di protezione dei dati possono infine riconoscere informazioni sensibili e bloccare trasferimenti non autorizzati.
Per gli utenti, restano utili alcune precauzioni: verificare il dominio prima di inserire le credenziali, evitare l’accesso tramite link ricevuti per email, controllare con attenzione richieste urgenti relative a pagamenti o rinnovi e preferire metodi di autenticazione resistenti al phishing.
Il report Zscaler ThreatLabz 2026 mostra che il numero totale delle campagne non basta più a descrivere il rischio. L’AI consente di creare esche più credibili, replicare processi aziendali e concentrare gli attacchi sugli account che offrono maggiore valore operativo.
