Oltre 30 milioni di eventi tra phishing, spam e malware, con il phishing in aumento del 56% in un anno. È il quadro tracciato da Interisle nel rapporto Cybercrime Supply Chain 2026, basato su attività osservate tra settembre 2025 e agosto 2026. Per il settore dei domini, il segnale più netto riguarda la scala: 23,7 milioni di nomi unici sono stati associati ad attività malevole e più di 11 milioni risultano registrati in massa.
Questi numeri non equivalgono a un censimento di tutti i domini usati dai criminali. Sono risultati raccolti da fonti di intelligence e servizi di reputazione: aiutano a individuare concentrazioni e modelli operativi, ma la copertura incompleta rende probabile una sottostima del fenomeno.
Leggi anche: ICANN misura i domini associati: cosa emerge dai dati pubblici sul DNS abuse
Il phishing accelera, il malware cala
Nel confronto con lo studio precedente, Interisle stima una crescita complessiva degli eventi del 17%, da circa 26 a oltre 30 milioni. Le componenti si muovono in direzioni diverse: il phishing sale da 3,7 a oltre 5,7 milioni di eventi (+56%), lo spam cresce del 16% fino a circa 20 milioni, mentre il malware diminuisce del 9%, a 4,6 milioni. Il rapporto segue il periodo annuale fino ad agosto 2026 e conta segnalazioni raccolte da undici fonti pubbliche e commerciali.
Il dato sugli eventi non va letto come numero di vittime o di campagne indipendenti. Una stessa infrastruttura può partecipare a più episodi; per questo il report distingue gli eventi dai nomi di dominio unici osservati. Nel quadriennio, aggiunge Interisle, gli attacchi di phishing e i domini usati per il phishing sono cresciuti di circa cinque volte, secondo la serie storica elaborata dallo studio.
Registrazioni in massa e nomi facili da sostituire
Gli oltre 11 milioni di domini registrati in massa segnano un aumento del 50% sull’anno precedente. Interisle descrive gruppi di nomi acquisiti in tempi brevi e poi impiegati in campagne di phishing o spam: quando una parte viene identificata e bloccata, disporre di molti domini rende più semplice rimpiazzare le destinazioni e mantenere attiva l’operazione.
Un altro indicatore riguarda le corrispondenze con marchi monitorati: nomi di dominio e account di siti gratuiti che contengono marchi sono quasi 830.000, il 74% in più. Il rapporto non sostiene che ogni corrispondenza sia automaticamente una violazione o un abuso confermato; mostra piuttosto un segnale utile per individuare registrazioni e account che meritano controlli ulteriori.
Leggi anche: Flax Typhoon, il sequestro di sette domini porta il DNS al centro della difesa
Come leggere la quota dei nuovi gTLD
I nuovi gTLD costituiscono il 15% del mercato considerato, ma rappresentano il 43% dei domini segnalati per attività criminali nel complesso. La sproporzione è marcata, ma la composizione del dato conta. Nel sottoinsieme che Interisle classifica come registrazioni malevole intenzionali, la quota dei nuovi gTLD arriva al 52%. Sono due indicatori distinti: il primo include tutti i domini emersi nelle fonti, compresi quelli compromessi; il secondo cerca di isolare i nomi registrati appositamente per l’attività criminale.
Il rapporto associa parte della concentrazione a prezzi d’ingresso bassi e procedure di registrazione con pochi attriti, condizioni che possono rendere conveniente acquistare grandi lotti. Non significa che l’estensione, da sola, predica l’abuso: il .com, per esempio, ha il maggior volume assoluto di domini segnalati, mentre la graduatoria per incidenza rapportata alla dimensione della zona mette in testa alcune estensioni più piccole. Volumi e tassi per dimensione rispondono a domande differenti.
La ricerca rileva inoltre più di 1,1 milioni di hostname su sottodomini di servizi gratuiti usati negli attacchi, il 67% in più. È un promemoria per chi gestisce hosting, strumenti di pubblicazione e servizi cloud: la responsabilità operativa non si ferma al registrar. Account gratuiti, sottodomini e infrastrutture di hosting sono altri punti della catena in cui rilevare comportamenti automatizzati o intervenire rapidamente.
Prevenzione distribuita lungo la filiera
Interisle raccomanda controlli più affidabili sui dati dei registranti, verifiche specifiche per chi registra in massa, sistemi automatizzati per riconoscere schemi sospetti e canali di segnalazione rapida tra operatori e ricercatori. Suggerisce anche limiti alla creazione automatica di account presso servizi gratuiti. Sono proposte dello studio, non obblighi normativi già in vigore.
La distribuzione delle risorse tra registrazione, hosting e sottodomini spiega perché una risposta basata soltanto sulla rimozione dei singoli domini possa risultare incompleta. Se un operatore interviene su un punto, chi conduce la campagna può spostarsi su un altro. Per i provider, misure proporzionate e basate su segnali comportamentali possono ridurre l’uso abusivo senza trattare ogni registrazione economica o ogni uso di un nuovo gTLD come sospetto.
La lettura Webinvest
Il rapporto offre una fotografia utile delle pressioni che attraversano il mercato, ma va letto per quello che è: un’analisi di segnalazioni raccolte da fonti di reputazione, non la misura definitiva di tutto il cybercrime online. La crescita del bulk registration e dei sottodomini abusati indica che la difesa deve guardare ai pattern e ai servizi che rendono scalabile l’attacco. Per registry, registrar e provider di hosting, la sfida è trovare controlli che colpiscano la rapidità e la ripetibilità degli abusi, preservando l’accesso legittimo a domini e servizi a basso costo.
Fonte: Interisle Consulting Group, Cybercrime Supply Chain 2026.
← Tutte le news