I risultati del rapporto DBIR 2026 di Verizon che dovrebbero guidare la definizione delle vostre misure di difesa

Il “Verizon Data Breach Investigations Report” del 2026 ha analizzato oltre 22.000 violazioni confermate, il più ampio insieme di dati nella storia del rapporto. I risultati costituiscono un utile strumento di verifica per i responsabili della sicurezza che sospettano che la superficie di attacco si stia espandendo più rapidamente rispetto ai propri sistemi di controllo. È vero. Ecco gli aspetti salienti e cosa significano concretamente per le persone, i dati e l’intelligenza artificiale da cui dipende la vostra organizzazione.

Il fattore umano rimane la variabile dominante

Il DBIR ha rilevato che il fattore umano era presente nel 62% delle violazioni, con un leggero aumento rispetto al 60% registrato l'anno precedente. Quel dato è difficile da risolvere proprio perché non è riconducibile a un single problema o a un single fallimento. Si tratta di una combinazione di minacce che comprende il riutilizzo delle credenziali, la vulnerabilità al phishing, le lacune in materia di conformità e, ora, le tecniche di inganno assistite dall’intelligenza artificiale, tutte riunite in un unico indicatore.

Fonte: Verizon DBIR 2026, pag. 12

L'ingegneria sociale è stata la terza causa più frequente di incidenti in assoluto, rappresentando il 16% e di tutte le violazioni. Tra questi, l’e-mail è rimasta il principale vettore di attacco, un dato che si conferma ormai da anni. Tuttavia, i dettagli che si celano dietro quel titolo stanno subendo cambiamenti significativi.

L'intelligenza artificiale sta potenziando il phishing, non lo sta sostituendo

Gli autori degli attacchi hanno utilizzato l’assistenza fornita dall’intelligenza artificiale generativa (GenAI) in una mediana di 15 tecniche distinte nell’ambito delle campagne di attacco documentate. Alcuni lo hanno utilizzato su un numero che andava dai 40 ai 50. Tra i vettori di accesso iniziali assistiti dall’intelligenza artificiale individuati dal DBIR, Phishing ha rappresentato il 44%, costituendo la single categoria più consistente.

Fonte: Verizon DBIR 2026, pag. 26

Secondo i dati forniti da Anthropic a Verizon, il volume di testi generati con l’ausilio dell’intelligenza artificiale presenti nelle e-mail dannose è raddoppiato rispetto agli anni precedenti. Il DBIR sottolinea con attenzione che tale aumento dell’assistenza fornita dall’intelligenza artificiale non si è ancora tradotto in un aumento misurabile del tasso di successo dei tentativi di phishing ai danni delle organizzazioni presenti nel proprio database degli incidenti. Ma questo non è un segnale rassicurante, bensì un indicatore in ritardo. Il miglioramento è tangibile: l’intelligenza artificiale abbassa la soglia di accesso per gli attori meno esperti, consentendo loro di creare esche convincenti, grammaticalmente corrette e plausibili dal punto di vista contestuale. I team di sicurezza si trovano a dover conciliare la capacità di rilevamento con il volume dei dati.

I dati relativi alla sicurezza della posta elettronica mostrano una ripartizione costante dei contenuti bloccati: l’80% di casi di phishing classico, il 10% di e-mail contenenti malware, il 5% di tentativi di attacchi di tipo callback o orientati al telefono (TOAD) e il 3% di attacchi in stile Business Email Compromise (BEC) mirati al bonifico bancario o al reindirizzamento dei pagamenti. Questi risultati sono in linea con quanto da noi riportato nel “Mimecast Global Threat Intelligence Report”.

Il “pretexting” sta diventando un punto di accesso per il ransomware

La maggior parte dei team di sicurezza non sta ancora affrontando il fenomeno del “pretexting” con la dovuta serietà: il “pretexting”, ovvero la creazione di uno scenario fittizio per indurre un bersaglio a compiere un’azione dannosa, è diventato un vettore di accesso iniziale sempre più frequente nelle campagne di ransomware e di estorsione. Tra tutti gli incidenti esaminati, il “pretexting” è stato utilizzato nel 6% e dei casi come vettore iniziale e si presenta sia come tecnica autonoma sia come fase successiva a un’e-mail di phishing.

Ciò che rende il “pretexting” più difficile da contrastare rispetto al phishing convenzionale è la sua natura sincrona. L'autore dell'attacco è presente nella conversazione, sia essa vocale, in una chat o in uno scambio di e-mail, e adatta la propria versione dei fatti in tempo reale. Le misure di difesa devono essere estese in modo da includere i segnali relativi al comportamento degli utenti, i modelli di comunicazione anomali e quel tipo di rilevamento contestuale delle minacce che va oltre la scansione dei link e degli allegati.

L'intelligenza artificiale "ombra" rappresenta ormai un rischio consolidato legato ai dati interni

Si tratta di un dato che dovrebbe dare adito a un confronto urgente tra i responsabili della sicurezza, dell’IT e dell’azienda. Il 45% dei dipendenti utilizza ormai regolarmente l’intelligenza artificiale sui dispositivi aziendali, rispetto al 15% dell’anno precedente. Di questi, 67% accedono alle piattaforme di intelligenza artificiale tramite account non aziendali, collocando i dati aziendali in sistemi al di fuori di qualsiasi perimetro di controllo informatico o di sicurezza.

La conseguenza è evidente nei dati di telemetria DLP: Shadow AI è ora la terza azione interna non dannosa più frequente rilevata nei set di dati DLP, con un aumento pari a quattro volte rispetto all’anno precedente. Il tipo di dati più comunemente fornito ai modelli di intelligenza artificiale esterni è il codice sorgente — con un margine significativo. Dati strutturati, immagini e, nel 3,2% dei casi di DLP, anche documenti di ricerca e documentazione tecnica vengono caricati su sistemi non autorizzati.

Fonte: Verizon DBIR 2026, pag. 13

Non si tratta di un rischio speculativo. Si tratta di un rischio quantificabile e in aumento, di cui la maggior parte delle organizzazioni non si rende attualmente conto.

Come sarà una buona difesa nel 2026

Il messaggio del DBIR non è che il panorama delle minacce sia cambiato al punto da risultare irriconoscibile, bensì che i problemi già noti stiano assumendo proporzioni sempre maggiori e che gli esseri umani, al centro della catena di attacco, vengano presi di mira attraverso un numero crescente di canali e con tecniche sempre più convincenti.

La risposta concreta è articolata su più livelli. Significa un sistema di rilevamento delle minacce via e-mail in grado di stare al passo con la creazione di esche assistita dall'intelligenza artificiale. Ciò significa estendere la sensibilizzazione sul phishing e sull’ingegneria sociale al di là della casella di posta elettronica. Si tratta di segnali comportamentali in grado di rilevare la compromissione di un account o accessi anomali prima che le credenziali diventino gli unici indicatori. Ciò significa poter avere una visione chiara di quali dati vengano trasferiti alle piattaforme di intelligenza artificiale, indipendentemente dal fatto che tale trasferimento sia autorizzato o meno.

La piattaforma integrata di Mimecast offre soluzioni concrete a molti di questi problemi ricorrenti. La soluzione "Email & Collaboration Threat Protection" si avvale della piattaforma Mihra AI, che elabora oltre 18 miliardi di eventi di sicurezza al giorno, per individuare messaggi di phishing, BEC e contenenti malware, anche man mano che le tattiche alla base di tali attacchi si evolvono. La protezione contro l'appropriazione indebita degli account individua gli indicatori comportamentali relativi agli account compromessi che sfuggono ai controlli basati esclusivamente sulle credenziali. La gestione dei comportamenti in materia di sicurezza affronta il fattore umano che il DBIR identifica costantemente come la variabile dominante, promuovendo cambiamenti misurabili nel comportamento dei dipendenti anziché limitarsi al semplice adempimento di una serie di requisiti formali. Inoltre, le soluzioni di Incydr per la gestione dei rischi interni e la protezione dei dati, insieme alla governance e al controllo sugli agenti di intelligenza artificiale, garantiscono quella visibilità sui dati che i risultati del DBIR relativi all’“intelligenza artificiale ombra” rendono sempre più urgente.

Il DBIR 2026 ci ricorda che i principi fondamentali non sono venuti meno, ma vengono semplicemente messi alla prova su larga scala, con l’ausilio dell’intelligenza artificiale, su un fronte di attacco più ampio. Le organizzazioni meglio posizionate per reagire sono quelle che considerano le persone, i dati e l’intelligenza artificiale come una single superficie di rischio interconnessa, anziché come tre problemi distinti.

Scoprite in che modo Mimecast garantisce la sicurezza delle persone, dei dati e dell’intelligenza artificiale: prenotate una demo o leggete il rapporto DBIR 2026 di Verizon nella sua versione integrale su verizon.com.

Fonti:

• Rapporto Verizon 2026 sulle indagini relative alle violazioni dei dati (maggio 2026): verizon.com/business/resources/reports/dbir/