Dark Web, 2,5 miliardi di dati esposti: Italia terza per account rubati dagli infostealer

Password, indirizzi e-mail, nomi utente e numeri di telefono alimentano un patrimonio di informazioni che può essere sfruttato per costruire frodi sempre più mirate. Nel primo semestre del 2026 i dati univoci rilevati in circolazione sul Dark Web hanno raggiunto quota 2,5 miliardi, secondo l’Osservatorio Cyber di CRIF.

Il quadro italiano mostra una particolare esposizione agli infostealer, malware progettati per sottrarre automaticamente informazioni dai dispositivi compromessi. Per numero di account rubati e successivamente diffusi sul Dark Web attraverso questi programmi, l’Italia occupa il terzo posto mondiale, alle spalle di Stati Uniti e Francia. Considerando invece il furto di e-mail e password nel complesso, il Paese è sesto nella graduatoria globale.

Gli infostealer possono arrivare sui dispositivi attraverso campagne di phishing o software contraffatti e lavorare senza manifestazioni evidenti per l’utente. Le credenziali raccolte vengono poi trasferite ai criminali e possono confluire in archivi che associano indirizzi dei siti, login e password oppure in raccolte più articolate contenenti ulteriori informazioni sulla vittima e sul dispositivo.

La diffusione del modello stealer-as-a-service ha reso questa attività accessibile anche a soggetti con competenze tecniche limitate. Malware, pannelli di gestione, manuali e strumenti operativi vengono offerti come un vero servizio. L’Europa dell’Est rappresenta uno dei principali poli di questa attività, con la Russia indicata come area centrale per sviluppo e commercializzazione, mentre altri centri sono attivi nel Sud-est asiatico e in Brasile.

Tra i dati più frequentemente individuati sul Dark Web nel semestre figurano prima di tutto le password, seguite da e-mail, username, numeri di telefono, nomi e cognomi. Le combinazioni possono aumentare sensibilmente il rischio di frode. Nel 99,8% dei casi esaminati, i dati delle carte di credito risultano associati anche alle informazioni di sicurezza e alla data di scadenza.

La password compare insieme all’indirizzo e-mail nel 95,9% dei casi e con lo username nel 96%. Il numero di telefono è associato a una password nel 61,7% delle rilevazioni e a nome e cognome nel 18,8%. Incrociare questi elementi permette ai criminali di ricostruire profili più dettagliati e preparare messaggi apparentemente credibili.

Tra le frodi che possono sfruttare questo patrimonio informativo ci sono lo spear phishing, basato su comunicazioni personalizzate rivolte a una vittima specifica, e gli attacchi BEC, Business E-mail Compromise. In quest’ultimo caso il criminale può fingersi un dirigente o un responsabile aziendale per chiedere a un dipendente un pagamento, un trasferimento di denaro o la condivisione di informazioni riservate.

Anche l’intelligenza artificiale può contribuire a rendere più convincenti alcuni tentativi di frode. Tra gli strumenti utilizzabili rientrano deepfake audio e video e messaggi aziendali costruiti in modo da imitare con maggiore precisione comunicazioni autentiche.

Nel primo semestre 2026 il 32,3% degli utenti italiani monitorati dai servizi di protezione CRIF ha ricevuto almeno un alert relativo a informazioni individuate sul Dark Web. Le fasce più presenti tra gli utenti allertati sono quelle tra 51 e 60 anni, con il 26,7%, e tra 41 e 50 anni, con il 26,6%, mentre gli over 60 rappresentano il 20,3%. Gli uomini costituiscono il 64,3% del totale.

In termini assoluti, il maggior numero di alert riguarda Lombardia, con il 15,7%, Lazio con il 12,3%, Sicilia con l’11,3%, Emilia-Romagna con il 9,7% e Piemonte con il 9,5%. Rapportando invece gli avvisi alla popolazione, le incidenze maggiori interessano Umbria, Molise, Lazio, Piemonte e Friuli-Venezia Giulia.