Il primo Report di cybersecurity per i consumatori di NordVPN descrive una crescita delle frodi mirate, favorite dall’intelligenza artificiale generativa e dalla disponibilità di strumenti criminali pronti all’uso.
La vulnerabilità più sfruttata dai criminali informatici non si trova necessariamente in un sistema operativo, in un’applicazione o in un dispositivo. Molto più spesso coincide con la fiducia delle persone verso un volto, una voce, un marchio o un messaggio apparentemente credibile.
È quanto emerge dal primo Report di cybersecurity per i consumatori di NordVPN, che prende in esame i segnali di sicurezza raccolti dall’azienda tra gennaio e giugno 2026. I risultati provengono dai sistemi interni di rilevamento e da fonti esterne di threat intelligence, esaminate a livello aggregato.
Secondo il rapporto, il cybercrimine si è spostato dagli attacchi indiscriminati verso campagne costruite su misura, capaci di sfruttare urgenza, paura, avidità e fiducia nei servizi conosciuti. L’intelligenza artificiale generativa permette inoltre di creare testi più credibili, clonare voci, manipolare immagini e produrre identità sintetiche a costi ridotti.
Kit criminali e AI abbassano la soglia di accesso
I criminali non devono più sviluppare ogni componente di un attacco. Nei circuiti underground sono disponibili kit per il phishing, pannelli di controllo, modelli per siti contraffatti, database di contatti e strumenti di intelligenza artificiale privi di restrizioni.
Questi servizi trasformano la frode in un’attività sempre più industrializzata. Un operatore con competenze tecniche limitate può riprodurre l’aspetto di una banca, di una piattaforma di streaming o di un servizio cloud e distribuire migliaia di messaggi personalizzati.
«I criminali sfruttano a proprio vantaggio il nostro istinto naturale di credere a ciò che vediamo e sentiamo», spiega Marijus Briedis, CTO di NordVPN. Secondo Briedis, molti attacchi non richiedono più competenze avanzate o risorse particolarmente elevate. Un singolo errore della vittima può quindi provocare conseguenze più gravi rispetto al passato.
Oltre 4,4 milioni di tentativi di phishing bloccati
NordVPN dichiara di esaminare ogni giorno circa 12 milioni di URL unici, per un totale mensile vicino ai 360 milioni di indirizzi. I sistemi della società avrebbero bloccato, in media, 130.000 pagine dannose al giorno.
Il malware rappresenta la categoria più numerosa. Nel solo gennaio 2026, i sistemi di NordVPN avrebbero intercettato più di 5 milioni di tentativi di attacco malware.
Una parte rilevante riguarda gli infostealer, programmi progettati per sottrarre password, dati delle carte di pagamento, portafogli di criptovalute, informazioni personali e contenuti conservati nei browser. Questi malware spesso si nascondono in software pirata, estensioni contraffatte, archivi compressi o falsi aggiornamenti.
Nel primo semestre del 2026, NordVPN afferma inoltre di avere bloccato oltre 4,4 milioni di tentativi di phishing. Il 99% degli episodi rilevati avrebbe sfruttato l’identità di appena 300 marchi.
Microsoft risulta il nome più imitato, con il 16,12% dei casi, seguito da Roblox con il 12,32%, Google con il 9,94% e Netflix con il 5,99%. La notorietà del marchio serve a ridurre i sospetti e a spingere la vittima verso un accesso contraffatto, un pagamento o la consegna di informazioni personali.
Il dominio .com non garantisce l’affidabilità di un sito
Il 43,2% dei siti fraudolenti intercettati utilizzava un dominio con estensione .com. La scelta sfrutta la familiarità degli utenti con questa estensione, che però non costituisce alcuna garanzia circa l’identità o la sicurezza di una pagina.
NordVPN riferisce anche di aver bloccato circa 29.000 chiamate fraudolente dall’inizio del periodo esaminato fino al 16 giugno 2026. Nello stesso intervallo, più di 525.000 utenti avrebbero ricevuto un avviso relativo a chiamate indesiderate o potenzialmente pericolose.
Le frodi telefoniche possono sfruttare numeri falsificati, operatori che si presentano come dipendenti di banche o servizi pubblici e, nei casi più sofisticati, sistemi capaci di riprodurre la voce di una persona conosciuta.
Account compromessi e informazioni personali nel dark web
Gli strumenti di monitoraggio del dark web della società avrebbero rilevato 8,4 milioni di account compromessi in 90 giorni. NordVPN segnala inoltre un aumento medio mensile del 33% nella quantità di dati esposti durante la prima metà del 2026.
Oltre il 47% delle informazioni scambiate includerebbe nomi completi e indirizzi fisici. L’unione tra dati digitali e informazioni reali permette di creare profili dettagliati delle vittime, utili per truffe personalizzate, furti d’identità e tentativi di accesso ai servizi finanziari.
Un messaggio che cita il nome corretto, l’indirizzo di casa, un acquisto recente o un servizio realmente utilizzato dalla vittima può risultare molto più credibile rispetto al phishing tradizionale.
Cookie rubati e dirottamento delle sessioni
Il rapporto richiama anche il rischio legato ai cookie sottratti dai browser. Una ricerca pubblicata da NordVPN nel 2025 aveva individuato quasi 94 miliardi di cookie esposti, tra i quali circa 1,2 miliardi di cookie di sessione.
Il dato non rappresenta il numero di cookie sottratti nel solo primo semestre del 2026, ma la dimensione del dataset analizzato nella ricerca precedente.
I cookie di sessione consentono ai siti di riconoscere un utente già autenticato. Se un criminale riesce a copiarne uno ancora valido, potrebbe accedere a un account senza conoscere la password. In alcune circostanze, questo metodo permette anche di superare l’autenticazione a più fattori, poiché il servizio considera la sessione già verificata.
La presenza di miliardi di cookie nei database criminali non implica che siano tutti ancora utilizzabili. Molti possono essere scaduti, revocati o privi di informazioni sensibili. Quelli attivi e associati a servizi importanti restano però un rischio concreto.
Come ridurre il rischio di phishing e frodi AI
Le difese tecnologiche restano necessarie, ma non possono riconoscere ogni contenuto creato o modificato con l’intelligenza artificiale. La verifica deve quindi coinvolgere anche il comportamento dell’utente.
Prima di accedere a un servizio da un messaggio ricevuto via email, SMS o chat, è preferibile aprire l’app ufficiale oppure digitare direttamente l’indirizzo nel browser. Una richiesta urgente di denaro, credenziali o codici temporanei deve essere controllata attraverso un canale diverso.
In presenza di una telefonata sospetta, occorre interrompere la comunicazione e richiamare il numero ufficiale dell’organizzazione. Se il messaggio sembra provenire da un familiare o da un collega, una domanda personale o una verifica diretta può aiutare a riconoscere una voce clonata.
Password differenti per ciascun servizio, un gestore delle credenziali, aggiornamenti regolari e autenticazione a più fattori riducono le possibilità di compromissione. Dopo un possibile furto di cookie è opportuno anche disconnettere tutte le sessioni attive, cambiare la password e controllare gli accessi recenti.
