Due Miliardi di mail compromesse e crescita del phishing 2025
Have I Been Pwned ha indicizzato un corpus enorme di credential stuffing proveniente da Synthient, che ha raccolto eticamente ed organizzato in maniera sicura dati pubblicati da gruppi criminali in varie fonti online.
In totale sono stati esposti 2 miliardi di mail, precisamente 1 miliardo e 957 milioni di indirizzi email unici e 1,3 miliardi di password, di cui 625 milioni mai viste prima.
Non si tratta di una singola violazione ma di un insieme di database aggregati nel tempo, provenienti da molteplici incidenti e successivamente condivisi tra cybercriminali per attività di credential stuffing.
Il credential stuffing è la nota tecnica con cui si esegue un controllo tramite sistemi automatici di combinazioni di email e password trafugate per poi accedere ad altri account dove l’utente ha riutilizzato le stesse credenziali.
Una analisi a campione ha mostrato che molte password erano ormai vecchie e inutilizzate, ma una percentuale significativa risultava ancora attiva su account secondari, e in diversi casi perfino su account principali ancora in uso.
Questo dato conferma che la pratica di riutilizzare le stesse password continua a rappresentare uno dei maggiori rischi per la sicurezza personale online.
Sul piano globale, i dati mostrano come la minaccia del phishing e dell’ingegneria sociale continui a crescere, alimentata dal riuso delle password, dalla disponibilità di enormi quantità di dati personali nei mercati criminali e dalla IA come facilitatore.
Secondo il Rapporto CLUSIT 2025, in Italia si sono verificati 357 incidenti gravi nel 2024 e il phishing rappresenta una delle minacce più in crescita, con un incremento stimato del 33% rispetto all’anno precedente.
A livello europeo, l’ENISA nel suo Threat Landscape 2025 segnala che il phishing e lo spear-phishing sono ancora la principale via di compromissione iniziale, con oltre l’80% delle campagne di social engineering supportate da strumenti di intelligenza artificiale che le rendono più convincenti e automatizzate.
Negli Stati Uniti, l’FBI e l’Internet Crime Complaint Center nel loro Internet Crime Report 2024 hanno evidenziato che il phishing, insieme alle frodi attraverso email aziendali (BEC), è tra i reati informatici più segnalati.
Le perdite economiche complessive dovute a frodi online nel 2024 hanno raggiunto i 16,6 miliardi di dollari, un dato mai registrato prima.
In Asia, Kaspersky ha riportato quasi 893 milioni di tentativi di phishing bloccati nel 2024, con un aumento del 26% rispetto all’anno precedente.
Solo nella regione del Sud-Est asiatico, nella prima metà del 2024 sono stati registrati oltre 330.000 attacchi di phishing di tipo finanziario, segno di un’area geografica particolarmente colpita e appetibile per le campagne di frode.
A livello globale ha rilevato e bloccato oltre 142 milioni di clic su link di phishing nel secondo trimestre del 2025, con un aumento del 3,3% rispetto al primo trimestre.
A livello globale, l’APWG (Anti-Phishing Working Group) ha registrato nel primo trimestre 2025 oltre un milione di attacchi di phishing, il valore trimestrale più alto dall’ultimo picco del 2023. Questo conferma che la crescita del fenomeno è continua e che le nuove varianti — dal QR-phishing alle truffe BEC — rendono il panorama sempre più complesso.
Il messaggio finale è più che chiaro: la prevenzione è nelle mani degli utenti e delle compagnie per cui lavorano. Investire in test mirati anti phishing, cultura aziendale, evitare il riutilizzo delle credenziali, attivare la doppia autenticazione sono le buone pratiche che possono ridurre enormemente il rischio aziendale e personale.
Senza vera pratica, difficilmente l’utente potrà difendersi dalle crescenti sofisticazioni degli attacchi.
Fonti principali
Kaspersky, comunicati e report blocking phishing (2024). kaspersky.com+1
https://www.kaspersky.com/about/press-releases/phishing-evolves-with-ai-and-stealth-kaspersky-highlights-biometric-and-signature-risks
APWG, Phishing Activity Trends Report, Q1 2025. docs.apwg.org
ENISA, Threat Landscape 2025 (ETL 2025) — PDF. ENISA+1
FBI / IC3, Internet Crime Report 2024 (report annuale e comunicati). ic3.gov+1
CLUSIT, Rapporto Clusit 2025 (dati su Italia e trend phishing). clusit.it
#dataleak #cybersecurity #ethical #HIBP #credentialstuffing #phishing #observere
