Il phishing nei servizi finanziari: tendenze degli attacchi, costi e misure di difesa nel 2026

Il settore dei servizi finanziari è uno dei più regolamentati, sottoposti a revisione contabile e avanzati dal punto di vista della sicurezza al mondo. Ciononostante, trimestre dopo trimestre, continua ad assorbire una delle quote più consistenti del volume globale di attacchi di phishing rispetto a qualsiasi altro settore.

Sebbene banche, assicurazioni e fintech investano nei controlli di sicurezza più di quasi chiunque altro al di fuori del settore pubblico e della difesa, il phishing nei servizi finanziari continua a causare perdite clamorose, avvisi delle autorità di regolamentazione e compromissione degli account dei clienti. Le statistiche sulla sicurezza informatica nei servizi finanziari relative al 2025 e al 2026 raccontano una storia coerente: questo settore non è preso di mira perché le sue difese sono deboli, ma perché è il più vicino al denaro e gli aggressori si sono adattati più rapidamente rispetto ai controlli della maggior parte delle istituzioni.

Questo articolo illustra perché il settore finanziario attiri un tale livello di attenzione, quali siano i tipi specifici di attacchi che si rivelano effettivamente efficaci contro di esso, quali siano i costi di tali attacchi in dollari verificati e quali siano i casi reali, e come si configuri un moderno sistema di difesa in vista del 2026.

Perché il settore dei servizi finanziari è l'obiettivo numero uno del phishing

Nel “Data Breach Investigations Report 2025” di Verizon, che ha analizzato 3.336 incidenti di sicurezza e 927 violazioni confermate nel settore finanziario e assicurativo, il guadagno economico è risultato il movente principale nel 90% delle violazioni. Anche gli attacchi a scopo di spionaggio sono in aumento in questo settore, passando dal 5% al 12% su base annua, segno che, accanto ai criminali mossi da motivazioni finanziarie, si stanno interessando alla questione anche attori legati agli Stati. Gli autori esterni sono stati responsabili del 78% delle violazioni, mentre le intrusioni nei sistemi, l’ingegneria sociale e gli attacchi di base alle applicazioni web hanno rappresentato complessivamente il 74% di tutte le violazioni nel settore.

Il rapporto del primo trimestre 2025 dell’Anti-Phishing Working Group ha registrato 1.003.924 attacchi di phishing nel trimestre, il volume più elevato dalla fine del 2023, e ha rilevato che i settori dei pagamenti online e di quello finanziario (bancario) hanno rappresentato complessivamente il 30,9% di tutti gli attacchi.

Il targeting non si limita alle e-mail. Nello stesso set di dati del DBIR, il settore finanziario è risultato essere quello più preso di mira dagli attacchi Denial of Service di livello 3 e 4, subendone il 35%, davanti al settore manifatturiero e a quello dei servizi professionali. Gli autori degli attacchi sfruttano ogni canale che conduca a denaro o dati, e il phishing risulta essere quello più economico e affidabile.

Come funzionano effettivamente gli attacchi di phishing contro gli istituti finanziari

I consigli generici sul phishing non rispecchiano bene il modo in cui il settore finanziario viene effettivamente colpito. I tipi di attacco riportati di seguito sono quelli che emergono dai dati attuali e dagli incidenti reali.

Phishing delle credenziali nei servizi bancari online

Le pagine di accesso contraffatte continuano a rappresentare una delle tecniche di attacco più diffuse, rivolte sia ai clienti che ai dipendenti. Un clone convincente di un portale di online banking, inviato tramite un dominio contraffatto o simile all’originale, richiede solo che una piccola parte dei destinatari inserisca le proprie credenziali affinché l’autore dell’attacco ottenga l’accesso all’account. Poiché queste pagine sono economiche da realizzare e facili da aggiornare, continuano a rappresentare una minaccia costante in secondo piano, anche se i tipi di attacco più sofisticati finiscono spesso in prima pagina.

Frodi tramite e-mail aziendali e frodi telematiche

Secondo l’indagine “AFP Payments Fraud and Control Survey 2025”, sponsorizzata da Truist, nel 2024 il “business email compromise” (BEC) è stato il principale vettore di frode citato dal 63% delle organizzazioni, mentre i bonifici bancari hanno riconquistato il primo posto come metodo di pagamento più frequentemente preso di mira dai truffatori BEC. Anche le tattiche stanno cambiando: le classiche truffe di "impersonificazione del CEO", in cui un truffatore si finge un dirigente e ordina un bonifico urgente, sono diminuite dal 57% al 49% degli incidenti BEC segnalati, mentre l’impersonificazione del fornitore, in cui gli aggressori si fingono un fornitore legittimo e reindirizzano un pagamento, è salita al 60%. Gli aggressori stanno abbandonando l’approccio basato sull’autorità per puntare sulla fiducia nei rapporti commerciali esistenti.

Il Rapporto sui crimini informatici del 2024 dell’FBI ha registrato perdite per 2,77 miliardi di dollari legate alle truffe BEC, relative a 21.442 denunce, in leggero calo rispetto ai 2,9 miliardi di dollari del 2023, portando le perdite cumulative legate alle truffe BEC dal 2022 al 2024 a quasi 8,5 miliardi di dollari.

Per saperne di più sui meccanismi di questo tipo di attacco, consulta la nostra guida su cosa sia il Business Email Compromise e in che modo si distingua dal normale phishing.

Vishing e callback phishing con l'usurpazione dell'identità di marchi finanziari

Il “phishing tramite richiamata”, in cui un’e-mail o un SMS fraudolento convince la vittima a chiamare un numero gestito dall’autore dell’attacco, è diventato uno dei metodi preferiti per accedere ai conti finanziari.

La ricerca di Hoxhunt sulle tendenze del phishing ha rilevato che il 27,1% delle campagne di phishing tramite richiamata monitorate tra la fine del 2025 e l’inizio del 2026 si spacciava specificatamente per marchi di servizi finanziari, più di qualsiasi altra categoria, con PayPal, Venmo e le principali banche al dettaglio tra i nomi più frequentemente contraffatti. Queste campagne in genere minacciano un addebito fasullo o un problema con il conto e fanno pressione sulla vittima affinché chiami immediatamente; a quel punto, un operatore umano la guida passo passo nella procedura per fornire le credenziali o i codici di accesso monouso.

Phishing generato dall'intelligenza artificiale e deepfake

Questo è l’elemento di differenziazione più evidente nell’attuale panorama delle minacce. L’analisi di CybelAngel del 2026 ha rilevato che l’82,6% delle e-mail di phishing individuate tra settembre 2024 e febbraio 2025 utilizzava la generazione tramite IA, con un aumento del 53,5% rispetto all’anno precedente. Inoltre, i dati di telemetria raccolti da Darktrace presso la propria base clienti del settore finanziario hanno registrato 2,4 milioni di e-mail di phishing nella prima metà del 2025, con quasi il 30% mirato specificatamente a utenti VIP, quali dirigenti e personale finanziario con autorità di pagamento, piuttosto che alla popolazione generale dei dipendenti.

Questo andamento è significativo: gli autori degli attacchi privilegiano sempre più la qualità degli obiettivi rispetto al semplice volume. La clonazione vocale aggiunge un ulteriore livello di rischio, con 2025 casi documentati in cui dipendenti bancari hanno ricevuto chiamate che imitavano in modo convincente la voce di un dirigente che autorizzava un bonifico bancario.

Appropriazione di account tramite credenziali sottratte

L’appropriazione di account presenta caratteristiche diverse rispetto allo schema BEC sopra descritto. Anziché una singola perdita ingente e improvvisa, si manifesta sotto forma di numerosi tentativi automatizzati di entità minore. La ricerca di Proof sull’ATO, pubblicata nell’ambito della sua analisi sulle frodi del maggio 2026, ha rilevato che l’importo medio delle richieste di pagamento fraudolente è sceso da 182.000 dollari nel 2022 a 118.000 dollari nel 2024, con una previsione di 88.500 dollari entro il 2026. I truffatori sembrano puntare deliberatamente a importi appena inferiori alle soglie che innescano la revisione manuale presso molti istituti, privilegiando la frequenza e l’automazione a scapito dell’entità delle operazioni.

Quanto costa realmente il phishing nel settore finanziario

Secondo CybelAngel, il costo medio di una violazione dei dati nel settore finanziario ammonta a 5,9 milioni di dollari per singolo incidente, una cifra che non include le sanzioni normative né il danno reputazionale. Se a ciò si aggiungono i 2,77 miliardi di dollari di perdite annuali dovute al BEC citati in precedenza, il quadro che emerge è quello di perdite ingenti e concentrate, ma anche di un flusso costante di perdite minori.

Crelan Bank, gennaio 2016

Il caso più documentato di un istituto finanziario che ha subito perdite a causa del BEC è anche uno dei più ingenti. I truffatori hanno usurpato l’identità o compromesso l’account e-mail di un alto dirigente della banca belga e hanno convinto il dipartimento finanziario a trasferire dei fondi. Un audit interno ha successivamente scoperto che erano scomparsi circa 70 milioni di euro, pari a circa 75,8 milioni di dollari. Diversi media dell’epoca, tra cui Help Net Security, hanno confermato l’importo e il meccanismo della frode.

Si tratta di un caso risalente a dieci anni fa, ma il modello che illustra – un’e-mail dal tono discreto e urgente inviata a una persona con potere decisionale in materia di pagamenti – costituisce ancora oggi la colonna portante del BEC.

Organizzazione criminale specializzata in frodi d’identità operante nel Massachusetts, nel Connecticut e nel Rhode Island

Un caso più recente e su scala molto più ridotta evidenzia un modello diverso, ancora in atto presso le istituzioni regionali. I procuratori federali hanno incriminato e successivamente ottenuto dichiarazioni di colpevolezza da parte di diversi imputati che avevano utilizzato nomi di clienti, numeri di previdenza sociale e dati bancari rubati per creare documenti di identità falsi, per poi far sì che dei complici si spacciassero per veri clienti presso le filiali bancarie al fine di prelevare fondi.

Nel maggio 2026, due degli imputati si sono dichiarati colpevoli in relazione a un piano in cui sono state utilizzate identità rubate per prelevare oltre 1 milione di dollari da conti bancari in tre stati. Non si tratta di un caso di phishing nel senso classico del termine, ma è un esempio lampante di ciò che accade quando i dati dei clienti finiscono in mano a malintenzionati: vengono strumentalizzati per commettere frodi sui conti, spesso attraverso un canale completamente diverso da quello che li ha originariamente resi vulnerabili.

Marquis Software Solutions, 2025

Nell’agosto 2025, un attacco ransomware ai danni di Marquis Software Solutions, un fornitore di strumenti di analisi dei dati, CRM e conformità per centinaia di banche e cooperative di credito, ha portato alla divulgazione di dati personali e finanziari relativi ad almeno 74 istituzioni. Le notifiche di violazione presentate ai procuratori generali degli Stati a partire da dicembre 2025 stimano il numero di persone coinvolte a oltre 400.000, con alcune segnalazioni che citano cifre più vicine a 780.000. Secondo quanto riportato da BleepingComputer, gli autori dell’attacco avrebbero ottenuto l’accesso iniziale sfruttando una vulnerabilità nel firewall del fornitore piuttosto che tramite phishing.

Il motivo per cui questo episodio rientra nell’ambito di questo articolo non è che si sia trattato di un attacco di phishing in sé, bensì che i numeri di previdenza sociale e i dati degli account sottratti in seguito a violazioni come questa riaffiorano regolarmente mesi dopo, fungendo da materia prima per tentativi mirati di phishing e di appropriazione indebita degli account ai danni degli stessi clienti.

Perché questo continua ad accadere in uno dei settori più avanzati in materia di sicurezza

Il settore dei servizi finanziari registra uno dei tassi di adozione del DMARC più elevati tra tutti i settori analizzati; tuttavia, l’applicazione del parametro p=reject — l’impostazione che blocca effettivamente le e-mail contraffatte anziché limitarsi a monitorarle — è ancora carente in una quota consistente di istituzioni, tra cui alcuni dei nomi più importanti del settore. Trattiamo in dettaglio questo divario tra adozione e applicazione nel nostro blog dedicato alle istituzioni finanziarie e al DMARC.

Questo divario è dovuto ad alcune ragioni di natura strutturale:

• Complessità operativa: le grandi banche possono avere centinaia di mittenti terzi legittimi, dai fornitori di estratti conto alle piattaforme di marketing, fino ai gestori di prestiti. Autenticare correttamente ciascuno di essi prima di procedere all’applicazione delle misure è un’impresa non da poco.
• Avversione al rischio: i team di sicurezza sono spesso più preoccupati di bloccare accidentalmente e-mail legittime, come le comunicazioni relative alle buste paga o i documenti relativi ai prestiti, piuttosto che colmare la falla legata allo spoofing, anche quando gli aggressori la stanno attivamente sfruttando.
• Phishing basato sull'intelligenza artificiale: gli attacchi di phishing generati dall'intelligenza artificiale si stanno evolvendo più rapidamente di quanto molti filtri di posta elettronica tradizionali riescano ad adattarsi. Le organizzazioni che un tempo facevano affidamento sul rilevamento degli errori ortografici e sulla valutazione della reputazione ora necessitano invece di controlli più rigorosi basati sull'autenticazione e sul comportamento.

Adozione e applicazione dello standard DMARC nei servizi finanziari: un confronto tra paesi

Le autorità di regolamentazione finanziaria di tutto il mondo hanno spinto le banche a configurare il DMARC. Molto meno numerose sono state quelle che le hanno spinto ad attivarlo effettivamente. Questo divario tra l’adozione (avere un record DMARC) e l’applicazione (impostare quel record su p=reject, che blocca immediatamente le email contraffatte anziché limitarsi a registrarle) è la prova più evidente che l’esposizione del settore al phishing è una scelta politica tanto quanto tecnica.
I rapporti di PowerDMARC sull’adozione della sicurezza e-mail a livello nazionale forniscono un’analisi dettagliata per settore. Ecco come si posiziona il settore finanziario in sette mercati, secondo l’ultima analisi pubblicata:

Come gli istituti finanziari possono proteggersi dal phishing nel 2026

1. Applicare DMARC

Impostare DMARC con p=reject su ogni dominio di invio, compresi quelli parcheggiati e difensivi, insieme a SPF e DKIM. Questo requisito rappresenta ormai un requisito minimo di conformità oltre che una misura di sicurezza. Il requisito 5.4.1 dello standard PCI DSS v4.0.1, obbligatorio a partire dal 31 marzo 2025, richiede l’adozione di processi e meccanismi automatizzati per individuare e proteggere il personale dal phishing, e le linee guida dello stesso PCI Security Standards Council citano DMARC, SPF e DKIM come esempi di controlli. La nostra guida alla conformità e-mail secondo lo standard PCI DSS tratta questo requisito in modo più dettagliato, mentre la nostra guida alla FTC Safeguards Rule illustra le aspettative equivalenti per le società finanziarie non bancarie.

2. Richiedere una verifica del pagamento fuori banda

Richiedere una verifica fuori banda, effettuata da più persone, per qualsiasi bonifico bancario o modifica dei dettagli di pagamento, indipendentemente da quanto convincente possa sembrare la richiesta. Questa singola misura di controllo avrebbe impedito sia la perdita subita dalla Crelan Bank sia il modello di frode basato sull’usurpazione dell’identità dei fornitori, che secondo i dati del sondaggio dell’AFP sta ormai superando la classica frode del CEO.

3. Implementare un sistema di autenticazione resistente al phishing

In particolare, FIDO2 o chiavi di sicurezza hardware, su qualsiasi account con autorizzazione di pagamento. Il “credential harvesting” e gli attacchi AiTM possono aggirare i codici SMS e persino alcune forme di autenticazione a più fattori (MFA) basate su app. Non possono però aggirare l’autenticazione che è crittograficamente legata al dominio legittimo. La nostra analisi sulla “stanchezza da MFA” e sul “push bombing” spiega perché i metodi MFA più deboli vengono sempre più spesso aggirati anziché violati.

4. Sviluppare un sistema di rilevamento del phishing basato sull'intelligenza artificiale

Sviluppare capacità di rilevamento specifiche per il phishing generato dall’intelligenza artificiale, anziché affidarsi ai filtri tradizionali basati sulle firme. Secondo i dati dell’indagine condotta dall’AFP nel 2026, solo il 17% delle organizzazioni colpite da frodi nei pagamenti nel 2025 aveva implementato difese in grado di riconoscere l’intelligenza artificiale. Si tratta di un divario notevole tra la minaccia e la risposta.

5. Concentrarsi sulla formazione del personale

Formare il personale sugli schemi specifici alla base delle perdite effettive, non sulla sensibilizzazione generica al phishing. Le frodi perpetrate dal CEO, l’usurpazione dell’identità dei fornitori e gli script di “callback-phishing” sono gli schemi che emergono effettivamente dai dati sopra riportati. Una formazione incentrata su questi scenari specifici si rivela di gran lunga più efficace rispetto a un modulo annuale del tipo “riconoscere le e-mail di phishing”.

6. Monitorare l’esposizione nei confronti di soggetti terzi e fornitori

Il caso di Marquis Software dimostra come la compromissione di un singolo fornitore possa fornire agli hacker i dati grezzi necessari per mesi di tentativi di phishing e di appropriazione degli account ai danni di clienti che non hanno mai interagito direttamente con il fornitore.

In che modo PowerDMARC aiuta gli istituti finanziari a colmare questa lacuna

Tutto quanto sopra porta alla stessa conclusione: il settore dei servizi finanziari non ha un problema di visibilità. La maggior parte delle istituzioni è già in grado di individuare chi sta effettuando lo spoofing del proprio dominio. Ciò che manca loro è un percorso rapido e a basso rischio che consenta di passare da tale visibilità all’effettiva applicazione delle misure di sicurezza, nonché la protezione a livello di trasporto necessaria a tal fine.

PowerDMARC è stato progettato appositamente per colmare questa lacuna per banche, cooperative di credito, compagnie assicurative e fintech:

• Migrazione guidata a p=reject: il passaggio dal monitoraggio all'applicazione delle regole è la fase in cui la maggior parte delle organizzazioni esita, per paura di bloccare messaggi legittimi. PowerDMARC automatizza l'applicazione delle regole in un ambiente sicuro e guidato, offrendo visibilità continua su tutti i vostri canali di posta elettronica.
• Ottimizzazione dei record SPF: le grandi istituzioni finanziarie superano regolarmente il limite di 10 ricerche DNS una volta considerati tutti i fornitori terzi, il che rappresenta proprio quel tipo di errore silenzioso che impedisce la consegna delle e-mail legittime. PowerSPF comprime automaticamente questi record in modo che l’autenticazione non si blocchi man mano che l’elenco dei fornitori cresce.
• MTA-STS e TLS-RPT in hosting: come mostrano i dati nazionali riportati sopra, quasi nessun istituto finanziario al mondo ha colmato la lacuna relativa alla crittografia a livello di trasporto. L’MTA-STS in hosting di PowerDMARC indirizza la posta in entrata verso canali crittografati senza richiedere la gestione manuale dei file di policy, che impedisce alla maggior parte dei team di affrontare mai la questione.
• Allineamento normativo: il requisito 5.4.1 dello standard PCI DSS v4.0.1, le aspettative della FTC Safeguards Rule e i quadri normativi equivalenti in altri mercati indicano tutti la stessa serie di controlli per l’autenticazione delle e-mail e la lotta al phishing. La suite completa di autenticazione delle e-mail di PowerDMARC è progettata per garantire direttamente la conformità.
• Informazioni sulle minacce per individuare i rischi nel settore finanziario: le violazioni subite dai fornitori, come l’incidente di Marquis Software, dimostrano come i dati compromessi possano riapparire mesi dopo sotto forma di attacchi di phishing mirati. Le nostre informazioni sulle minacce DMARC segnalano i tentativi di spoofing legati al vostro marchio prima che raggiungano la casella di posta dei clienti.

Scopri qual è la situazione attuale del tuo istituto. Inserisci il tuo dominio nel Domain Analyzer gratuito per ottenere una valutazione immediata del tuo stato attuale in termini di SPF, DMARC e MTA-STS!

Il bilancio

Il settore dei servizi finanziari non è bersaglio del phishing perché è negligente. È bersaglio perché è lì che si trovano i soldi e a causa dei tipi di attacchi che lo colpiscono attualmente, come le esche generate dall’intelligenza artificiale, il “callback phishing” e l’usurpazione dell’identità dei fornitori. Questi attacchi si stanno evolvendo più rapidamente delle difese della maggior parte delle istituzioni. L’elevato tasso di adozione del DMARC nel settore, ma il basso tasso di applicazione, è un buon esempio del divario che esiste tra l’avere un controllo in atto e l’utilizzarlo effettivamente per bloccare qualsiasi minaccia.

Domande frequenti

Perché il settore finanziario è quello più preso di mira dal phishing?

Secondo il DBIR 2025 di Verizon, il guadagno economico è il movente alla base di circa il 90% delle violazioni nel settore, poiché le credenziali rubate e i tentativi riusciti di frode telematica si traducono direttamente in denaro. Gli istituti finanziari si trovano inoltre al centro dei flussi di pagamento legittimi, fornendo agli aggressori una copertura plausibile per quasi qualsiasi richiesta.

Qual è la differenza tra il phishing e il business email compromise?

Il phishing è una categoria ampia che comprende qualsiasi tentativo di indurre qualcuno, con l'inganno, a rivelare le proprie credenziali o a cliccare su un link dannoso. Il "Business Email Compromise" (BEC) è una forma specifica e solitamente più mirata di phishing che consiste nell'usurpare l'identità di un soggetto di fiducia, spesso un dirigente o un fornitore, per dirottare un pagamento autentico o il trasferimento di dati sensibili.

Quanto costano il phishing e il BEC agli istituti finanziari?

Il Rapporto sui crimini informatici del 2024 dell’FBI ha registrato perdite per 2,77 miliardi di dollari legate alle truffe BEC, relative a 21.442 denunce solo negli Stati Uniti. CybelAngel stima separatamente che il costo medio di una violazione dei dati nel settore finanziario sia pari a 5,9 milioni di dollari per incidente, escluse le sanzioni normative.

Che cos’è il vishing/callback phishing e perché prende di mira proprio le banche?

Il phishing tramite richiamata utilizza un’e-mail o un messaggio fraudolento per indurre la vittima a chiamare un numero di telefono, dove un operatore umano la convince poi a fornire le proprie credenziali o i codici monouso. Secondo i dati attuali sul phishing tramite richiamata, le istituzioni finanziarie sono quelle più spesso oggetto di usurpazione di identità rispetto a qualsiasi altra categoria, poiché un falso avviso di frode proveniente da una banca crea un senso di urgenza facile da sfruttare.

Il DMARC può impedire gli attacchi di phishing contro un istituto finanziario?

DMARC impedisce agli hacker di falsificare il proprio dominio nelle e-mail inviate a clienti e partner, eliminando così uno dei principali vettori di phishing. Non blocca tutti gli attacchi di phishing, compresi quelli che utilizzano domini simili o che prendono di mira direttamente le caselle di posta dei clienti; pertanto, funziona al meglio come uno dei livelli di una strategia di difesa più ampia.

Qual è la misura di difesa più efficace contro il BEC nel settore dei servizi finanziari?

La verifica fuori banda, effettuata da più persone, per qualsiasi richiesta di pagamento o di modifica dei dettagli di pagamento è la misura di controllo più direttamente collegata alla prevenzione delle perdite effettive causate dal BEC, poiché elimina il singolo punto di vulnerabilità su cui fa affidamento l'ingegneria sociale basata sulle e-mail.

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• Il phishing nei servizi finanziari: tendenze degli attacchi, costi e misure di difesa nel 2026 - 7 agosto 2026
• I migliori servizi di reputazione e-mail nel 2026 - 6 agosto 2026
• Sicurezza del fax: una guida completa alla protezione dei documenti riservati nel 2026 - 30 luglio 2026