Il rapporto IC3 2025 dell’FBI sui reati informatici ha registrato perdite pari a 20,9 miliardi di dollari — con un aumento del 26% rispetto all’anno precedente — di cui quasi 85 centesimi per ogni dollaro perso sono da attribuire a frodi informatiche in cui una persona ha ricevuto un messaggio convincente e ha agito di conseguenza, e non a malware o a vulnerabilità zero-day.
Il fenomeno del “Business Email Compromise” (BEC) si sta trasformando in un problema da 3 miliardi di dollari in grado di eludere qualsiasi filtro tecnico: nessun link dannoso, nessun payload, nessun dominio da bloccare — solo e-mail apparentemente innocue che sfruttano la fiducia e il senso di urgenza nel momento in cui l’utente deve prendere una decisione.
L’anno scorso l’FBI ha identificato formalmente per la prima volta l’intelligenza artificiale come un vettore di minaccia a sé stante. Quasi 900 milioni di dollari di perdite confermate legate all’intelligenza artificiale. E persino l’FBI vi dirà che tale cifra sottostima la realtà — non perché gli attacchi non avvengano, ma perché le vittime non riconoscono il coinvolgimento dell’intelligenza artificiale. L'intelligenza artificiale è già integrata in un numero di progetti ben superiore a quello che chiunque possa attualmente quantificare.
Il Rapporto sui reati informatici del 2025 dell’Internet Crime Complaint Center (IC3) dell’FBI mostra un quadro coerente in tutte le principali categorie di perdite: il denaro e i dati vanno persi perché una persona ha preso una decisione che non avrebbe dovuto prendere. L'intelligenza artificiale sta rendendo più difficile prendere le decisioni giuste.
20,877 miliardi di dollari
Le perdite segnalate a causa della criminalità informatica nel 2025 sono aumentate del 26% rispetto all’anno precedente e sono quasi tre volte superiori al dato del 2021.
Quasi 85 centesimi di ogni dollaro perso erano dovuti a frodi commesse tramite il web. Non si tratta di malware. Non si tratta di vulnerabilità zero-day. Si tratta di attacchi riusciti in cui qualcuno ha ricevuto un messaggio convincente e ha agito di conseguenza.
Tag correlati
Threat Intelligence
Condividi questo contenuto
3 miliardi di dollari che hanno superato ogni filtro tecnico e ogni valutazione umana
Gli attacchi di tipo “Business Email Compromise” (BEC) spesso non contengono alcun carico dannoso: nessun link da analizzare, nessun dominio dannoso da bloccare. Sfruttano la fiducia e il senso di urgenza per convincere una persona ad autorizzare un bonifico. La perdita avviene nel momento stesso in cui si prende quella decisione.
Da quando l’FBI ha iniziato a monitorare il fenomeno BEC nel 2015, l’IC3 ha registrato oltre 20 miliardi di dollari di perdite segnalate. Solo nel 2025, le truffe BEC hanno causato danni per 3,047 miliardi di dollari in 24.768 episodi, con una media di 123.000 dollari per caso. Ben l’86% di tali pagamenti fraudolenti è stato effettuato tramite bonifico bancario o ACH, superando ogni controllo a monte senza far scattare un single allarme.
Il rilevamento basato sulle firme presuppone che vi sia un elemento con cui effettuare il confronto. Il BEC non vi offre nulla. L'e-mail è corretta. Il mittente sembra attendibile. L'istruzione è simile a decine di altre che l'hanno preceduta.
Per individuare questi attacchi è necessario comprendere come si presenta la comunicazione normale per una determinata persona, all’interno di una specifica organizzazione, e segnalare eventuali anomalie. Si tratta di un problema comportamentale, non di un problema di corrispondenza dei modelli.
L'intelligenza artificiale fa la sua prima apparizione nel rapporto IC3
Sono ormai 25 anni che l’IC3 pubblica i propri rapporti e quello di quest’anno è il primo a includere una sezione dedicata all’intelligenza artificiale. 22.364 reclami. 893 milioni di dollari di perdite accertate. Entrambe sono state esplicitamente segnalate come sottostimate.
Il totale delle frodi nel settore degli investimenti ha raggiunto gli 8,6 miliardi di dollari. Solo 632 milioni di dollari sono stati identificati come relativi all’intelligenza artificiale. L'intelligenza artificiale non costituisce una categoria a sé stante. Si tratta di un fattore accelerante già presente in ambito di BEC, phishing, frodi finanziarie e truffe sentimentali. Clonazione della voce. E-mail di furto d’identità generate tramite chat. Chiamate di verifica dei deepfake. Gli 893 milioni di dollari corrispondono all’importo dichiarato dalle vittime stesse. I dati effettivi sono riportati in tutto il rapporto.
Quali saranno le esigenze relative ai dati dell’IC3 nel 2026
Il quadro è chiaro. Ripetiamolo ancora una volta. Si verificano perdite di denaro e di dati perché qualcuno ha ricevuto informazioni convincenti e ha agito di conseguenza. L'intelligenza artificiale rende tali attacchi più difficili da individuare e consente ai criminali di agire alla velocità di una macchina. Il volume non sta diminuendo. Il divario tra ciò che i sistemi di controllo tradizionali riescono a rilevare e ciò che gli autori degli attacchi inviano non è mai stato così ampio.
Per colmare tale divario è necessario un sistema di rilevamento comportamentale che tenga conto delle norme di comunicazione, e non solo dei modelli notoriamente dannosi. Controlli a più livelli che condividono le informazioni lungo l'intero percorso di gestione delle e-mail. Autenticazione di dominio che copre ciò che avviene al di fuori del Suo perimetro. Visibilità sulla compromissione delle credenziali e sul trasferimento dei dati prima che il ransomware diventi tale. Misure di controllo dei rischi legati al fattore umano che intervengono nel momento della decisione, non successivamente. E una copertura che abbraccia tutti gli strumenti di collaborazione, non solo la posta elettronica.
È questa l’architettura su cui si basa Mimecast. Intelligenza artificiale comportamentale per attacchi “puliti”. DMARC Analyzer e Brand Exploit Protect per il perimetro esterno. Protezione contro l'appropriazione indebita degli account e Incydr per i rischi legati alle credenziali e al trasferimento dei dati. E il Human Risk Command Center, per individuare chi si trova attualmente in una situazione di rischio e intervenire prima che prenda una decisione sbagliata.
L'FBI può quantificare le perdite subite. È impossibile quantificare il numero di incidenti verificatisi all’interno di un programma di sicurezza che monitorava l’oggetto sbagliato. La domanda per il 2026 è se sarete in grado di individuare i rischi legati all’uomo e all’intelligenza artificiale prima che vi costino caro.
Scoprite quali sono le lacune dei vostri attuali sistemi di controllo. Provi la soluzione gratuita “Proof of Value” di Mimecast. Lasciateci collegare il vostro ambiente e vi mostreremo cosa riesce a passare.
