L'avvertimento dell'FBI da 20 miliardi di dollari

Il Rapporto sui reati informatici del 2025 dell’Internet Crime Complaint Center (IC3) dell’FBI mostra un quadro coerente in tutte le principali categorie di perdite: il denaro e i dati vanno persi perché una persona ha preso una decisione che non avrebbe dovuto prendere. L'intelligenza artificiale sta rendendo più difficile prendere le decisioni giuste. 

20,877 miliardi di dollari

Le perdite segnalate a causa della criminalità informatica nel 2025 sono aumentate del 26% rispetto all’anno precedente e sono quasi tre volte superiori al dato del 2021.

Quasi 85 centesimi di ogni dollaro perso erano dovuti a frodi commesse tramite il web. Non si tratta di malware. Non si tratta di vulnerabilità zero-day. Si tratta di attacchi riusciti in cui qualcuno ha ricevuto un messaggio convincente e ha agito di conseguenza.

3 miliardi di dollari che hanno superato ogni filtro tecnico e ogni valutazione umana

Gli attacchi di tipo “Business Email Compromise” (BEC) spesso non contengono alcun carico dannoso: nessun link da analizzare, nessun dominio dannoso da bloccare. Sfruttano la fiducia e il senso di urgenza per convincere una persona ad autorizzare un bonifico. La perdita avviene nel momento stesso in cui si prende quella decisione.

Da quando l’FBI ha iniziato a monitorare il fenomeno BEC nel 2015, l’IC3 ha registrato oltre 20 miliardi di dollari di perdite segnalate. Solo nel 2025, le truffe BEC hanno causato danni per 3,047 miliardi di dollari in 24.768 episodi, con una media di 123.000 dollari per caso. Ben l’86% di tali pagamenti fraudolenti è stato effettuato tramite bonifico bancario o ACH, superando ogni controllo a monte senza far scattare un single allarme.

Il rilevamento basato sulle firme presuppone che vi sia un elemento con cui effettuare il confronto. Il BEC non vi offre nulla. L'e-mail è corretta. Il mittente sembra attendibile. L'istruzione è simile a decine di altre che l'hanno preceduta.

Per individuare questi attacchi è necessario comprendere come si presenta la comunicazione normale per una determinata persona, all’interno di una specifica organizzazione, e segnalare eventuali anomalie. Si tratta di un problema comportamentale, non di un problema di corrispondenza dei modelli.

L'intelligenza artificiale fa la sua prima apparizione nel rapporto IC3

Sono ormai 25 anni che l’IC3 pubblica i propri rapporti e quello di quest’anno è il primo a includere una sezione dedicata all’intelligenza artificiale. 22.364 reclami. 893 milioni di dollari di perdite accertate. Entrambe sono state esplicitamente segnalate come sottostimate.

Il totale delle frodi nel settore degli investimenti ha raggiunto gli 8,6 miliardi di dollari. Solo 632 milioni di dollari sono stati identificati come relativi all’intelligenza artificiale. L'intelligenza artificiale non costituisce una categoria a sé stante. Si tratta di un fattore accelerante già presente in ambito di BEC, phishing, frodi finanziarie e truffe sentimentali. Clonazione della voce. E-mail di furto d’identità generate tramite chat. Chiamate di verifica dei deepfake. Gli 893 milioni di dollari corrispondono all’importo dichiarato dalle vittime stesse. I dati effettivi sono riportati in tutto il rapporto.

Quali saranno le esigenze relative ai dati dell’IC3 nel 2026

Il quadro è chiaro. Ripetiamolo ancora una volta. Si verificano perdite di denaro e di dati perché qualcuno ha ricevuto informazioni convincenti e ha agito di conseguenza. L'intelligenza artificiale rende tali attacchi più difficili da individuare e consente ai criminali di agire alla velocità di una macchina. Il volume non sta diminuendo. Il divario tra ciò che i sistemi di controllo tradizionali riescono a rilevare e ciò che gli autori degli attacchi inviano non è mai stato così ampio.

Per colmare tale divario è necessario un sistema di rilevamento comportamentale che tenga conto delle norme di comunicazione, e non solo dei modelli notoriamente dannosi. Controlli a più livelli che condividono le informazioni lungo l'intero percorso di gestione delle e-mail. Autenticazione di dominio che copre ciò che avviene al di fuori del Suo perimetro. Visibilità sulla compromissione delle credenziali e sul trasferimento dei dati prima che il ransomware diventi tale. Misure di controllo dei rischi legati al fattore umano che intervengono nel momento della decisione, non successivamente. E una copertura che abbraccia tutti gli strumenti di collaborazione, non solo la posta elettronica.

È questa l’architettura su cui si basa Mimecast. Intelligenza artificiale comportamentale per attacchi “puliti”. DMARC Analyzer e Brand Exploit Protect per il perimetro esterno. Protezione contro l'appropriazione indebita degli account e Incydr per i rischi legati alle credenziali e al trasferimento dei dati. E il Human Risk Command Center, per individuare chi si trova attualmente in una situazione di rischio e intervenire prima che prenda una decisione sbagliata. 

L'FBI può quantificare le perdite subite. È impossibile quantificare il numero di incidenti verificatisi all’interno di un programma di sicurezza che monitorava l’oggetto sbagliato. La domanda per il 2026 è se sarete in grado di individuare i rischi legati all’uomo e all’intelligenza artificiale prima che vi costino caro.

Scoprite quali sono le lacune dei vostri attuali sistemi di controllo. Provi la soluzione gratuita “Proof of Value” di Mimecast. Lasciateci collegare il vostro ambiente e vi mostreremo cosa riesce a passare. 

Inizi la sua prova gratuita →