Le truffe online rilevate da Akamai sono passate da circa 3,2 a 6,4 milioni e, nel primo trimestre del 2026, hanno superato per la prima volta il phishing tradizionale nella classificazione del fornitore. Nello stesso periodo di osservazione, la durata operativa media delle campagne di phishing si è ridotta: dai 48 giorni del quarto trimestre 2025 ai 22 del secondo trimestre 2026.
I dati arrivano dal rapporto AI-Driven Digital Deception: The Fraud and Abuse Report 2026, pubblicato il 29 ottobre. La ricerca descrive un ecosistema criminale che combina automazione, servizi pronti all’uso e strumenti di intelligenza artificiale per imitare marchi conosciuti, verificare account e sfruttare la fiducia degli utenti. I numeri si riferiscono alle osservazioni di Akamai: non costituiscono un censimento di tutte le frodi mondiali.
Dai negozi falsi alle offerte di lavoro: come cambiano le truffe online
La categoria delle truffe comprende siti di vendita contraffatti, false opportunità di lavoro e portali di eventi che imitano organizzazioni reali. Il phishing tradizionale mira soprattutto alla raccolta di credenziali; questi altri schemi possono invece cercare un pagamento diretto, informazioni personali o l’adesione a una procedura fraudolenta.
Secondo Akamai, quasi il 70% delle attività di phishing considerate imita marchi dell’alta tecnologia, dei servizi finanziari e del commercio. Le quote sono rispettivamente del 41,6%, 18,9% e 8,4%. Il marchio familiare funziona come una scorciatoia di fiducia: l’utente riconosce un nome o un aspetto grafico, ma il dominio e il soggetto che lo controlla possono essere estranei all’azienda.
Perché campagne più brevi complicano la difesa
La riduzione da 48 a 22 giorni non indica attacchi meno pericolosi. Descrive infrastrutture che restano operative per meno tempo e possono cambiare prima che un blocco statico diventi efficace. I ricercatori collegano questa dinamica ai servizi Phishing-as-a-Service, alla registrazione massiva di domini e alla rapida rotazione delle risorse.
Con il modello a servizio, un criminale può ottenere strumenti per costruire e amministrare campagne senza sviluppare ogni componente. La difesa deve quindi riconoscere anche il comportamento sospetto e gli abusi dei flussi applicativi, oltre a confrontare gli indirizzi con liste di siti già segnalati.
Gli account sotto osservazione prima del tentativo di furto
Le attività classificate ad alto rischio o rischio critico rappresentano il 26,6% dei tentativi di accesso osservati. All’interno di questo insieme, le richieste di verifica degli account raggiungono il 40%. Akamai interpreta il dato come un segnale di preparazione: gli attaccanti controllano quali indirizzi esistono prima di provare combinazioni di credenziali su larga scala.
Questa tecnica, detta credential stuffing, sfrutta password già sottratte altrove e riutilizzate su altri servizi. Il commercio concentra il 41,1% dei tentativi di accesso complessivi del campione. Un account di acquisto può avere valore anche per i punti fedeltà, i dati conservati o le possibilità di frode, oltre che per eventuali strumenti di pagamento associati.
Controlli lungo l’intero ciclo di vita dell’account
Il rapporto propone analisi comportamentali nelle diverse fasi del rapporto con l’utente, dalla registrazione agli accessi e alle operazioni successive. Per le aziende significa collegare antifrode e sicurezza informatica, con attenzione alle richieste automatiche lente e distribuite che possono sfuggire ai soli limiti sul numero di tentativi.
Il tema dell’identità riguarda anche gli agenti AI e i loro permessi di accesso. Per gli utenti restano essenziali password diverse per ogni servizio e la verifica del dominio prima di inserire dati. Il caso Coinbase e Amplitude mostra inoltre come i dati esposti presso un fornitore possano creare nuove occasioni per messaggi mirati.
Fonte: comunicato Akamai del 29 ottobre 2026 e rapporto State of the Internet sulle frodi digitali.
