Nel terzo trimestre 2026 Microsoft Threat Intelligence ha rilevato circa 7,3 miliardi di minacce di phishing via email. A settembre ne ha registrate quasi 3 miliardi, il 41% in più rispetto ad agosto. Il rapporto, pubblicato il 5 novembre, copre il periodo da luglio a settembre e descrive tendenze diverse a seconda della tecnica usata (il rapporto di Microsoft).

Per leggere il totale, tieni distinti i percorsi: QR code, CAPTCHA e allegati sono tecniche diverse, con andamenti e rischi differenti.

QR code in calo, CAPTCHA in ripresa

Nel trimestre Microsoft ha rilevato circa 12,1 milioni di attacchi di phishing con QR code, il 67% in meno rispetto al secondo trimestre. A settembre il volume era l’86% sotto il picco di marzo. Il phishing protetto da CAPTCHA, invece, ha recuperato terreno: a settembre ha raggiunto 3,1 milioni di attacchi, quasi il doppio del minimo di luglio. Gli allegati SVG costituivano il 65% di questa attività in agosto e il 49% in settembre.

Anche la falsificazione dei mittenti aziendali ha pesato nei dati: Microsoft ha contato circa 129 milioni di messaggi malevoli che imitavano i domini di servizi business monitorati nell’analisi. A settembre, le eccezioni alle impostazioni di sicurezza riguardavano il 63% dei messaggi con un esito registrato; la maggior parte era configurata a livello di organizzazione.

Due campagne, due percorsi d’attacco

La falsa revisione salariale di agosto

Il 19 e 20 agosto Microsoft Defender Research ha osservato una campagna che prendeva di mira più di 10.000 utenti in oltre 4.800 organizzazioni, soprattutto negli Stati Uniti. I servizi professionali, in particolare le organizzazioni legali, rappresentavano il 72,1% dei destinatari previsti; tecnologia e software il 22,5%.

L’esca era una revisione dello stipendio personalizzata. Un documento Word conteneva un QR code che portava a una falsa pagina di accesso OneDrive: la pagina forniva un codice dispositivo e indirizzava l’utente al portale di accesso Microsoft autentico. Secondo Microsoft, completare la procedura con quel codice poteva trasferire all’attaccante un token di sessione valido senza rivelare la password né richiedere una nuova verifica MFA.

Ordini e buste paga a settembre

Il 21 settembre Microsoft Defender Research ha osservato una seconda campagna, diretta a più di 56.000 utenti in oltre 8.100 organizzazioni. Il 63% dei messaggi riguardava ordini di acquisto e il 37% buste paga. Nel riparto dei destinatari previsti figuravano Colombia (15%), Stati Uniti e Messico (12% ciascuno), Cile (11%) e Spagna (8%).

Il dominio mittente superava i controlli SPF, DKIM e DMARC, mentre il nome visualizzato imitava un referente commerciale o delle risorse umane dell’organizzazione destinataria. Nel ramo degli ordini, un archivio RAR mascherato da PDF conteneva un downloader JavaScript che scaricava Lincoln.ps1 da Firebase Storage; Microsoft collega il payload ad Agent Tesla. Il ramo delle buste paga usava un archivio RAR diverso, con un eseguibile camuffato da file XML e identificato da Microsoft come Agent Tesla.

Che cosa conteggiano le altre categorie

Nel trimestre Microsoft ha rilevato circa 6,2 milioni di attacchi basati sull’impersonificazione di contatti aziendali. I messaggi generici restavano la forma più comune, pari al 79% a settembre; le richieste di pagamento di fatture erano arrivate al 3%. Per gli attacchi basati su allegati, il 94–96% indirizzava i destinatari verso siti di phishing o mostrava localmente schermate di accesso fraudolente. Il furto di credenziali era il rischio prevalente associato a questi allegati.

Microsoft ha inoltre registrato circa 141.000 tentativi di chiamata malevoli su Teams. Nel campione osservato, i nomi personali comuni passavano dal 46% delle identità visualizzate a luglio all’88% a settembre, mentre le identità esplicitamente legate all’help desk scendevano dal 17% al 2%. Il conteggio comprendeva anche chiamate senza risposta, rifiutate o di breve durata.

Tra le misure di difesa indicate da Microsoft ci sono la revisione delle impostazioni di Exchange e Defender, l’uso di Safe Links e Safe Attachments, le simulazioni di phishing, l’autenticazione senza password o tramite MFA, i controlli sulle chiamate esterne in Teams e l’analisi o rimozione dei messaggi malevoli.