Nel terzo trimestre del 2026, Microsoft è stato il marchio più imitato negli attacchi di phishing, raggiungendo il 33% dei tentativi di impersonificazione rilevati da Check Point Research, contro il 23% del trimestre precedente. È quanto emerge dal Brand Phishing Report, che evidenzia come i criminali informatici sfruttino la fiducia nei marchi più conosciuti per sottrarre credenziali e compromettere account.
Il primato di Microsoft rappresenta un rischio rilevante per le aziende: le credenziali rubate possono consentire l’accesso a email, file e strumenti di collaborazione. Seguono Apple e Google, entrambi con l’8%, LinkedIn con il 6% e Amazon, che completa le prime cinque posizioni.
Principali risultati
- Microsoft rafforza il primato: il marchio raggiunge il 33% dei tentativi di impersonificazione, rispetto al 23% del secondo trimestre.
- Apple sale al secondo posto: raggiunge l’8%, a pari merito con Google, mentre LinkedIn scende al quarto posto con il 6%.
- Dropbox e YouTube guadagnano posizioni: Dropbox entra nella top 10 all’ottavo posto, mentre YouTube sale al sesto.
- La tecnologia è il settore più imitato: seguono social network e banche, ambiti che concentrano account e informazioni di valore.
- IA e strumenti per sviluppatori diventano nuove esche: le campagne osservate sfruttano i nomi di Claude e Google Antigravity per indurre le vittime a fornire dati o eseguire comandi dannosi.
I marchi maggiormente imitati nel terzo trimestre del 2026
Microsoft domina la classifica con una quota del 33%, circa quattro volte quella di Apple e Google. Tra i cambiamenti più rilevanti, Dropbox raggiunge l’ottavo posto e YouTube sale al sesto, entrando tra i dieci marchi più imitati.
I settori maggiormente imitati dagli hacker
Il settore tecnologico si conferma il più imitato, seguito dai social network e dal comparto bancario. Gli aggressori puntano su servizi familiari agli utenti, sfruttando la fiducia nei marchi per rendere più credibili le richieste fraudolente.
Tecniche di brand phishing nel terzo trimestre del 2026
I seguenti esempi mostrano la gamma di tattiche osservate da Check Point Research, da un falso avviso di fatturazione basato sull’IA a pagine di supporto simili che inducono i visitatori a eseguire comandi dannosi sui propri computer.
Claude: una falsa email di mancato pagamento
Una campagna di phishing rilevata nell’ottobre 2026 sfrutta il nome di Claude, l’assistente di intelligenza artificiale di Anthropic, per sottrarre dati finanziari e credenziali. L’email, inviata dall’indirizzo non autorizzato billing-update@account-notif[.]com, ha come oggetto «Pagamento non riuscito per il tuo account Claude» e segnala il mancato pagamento di 500 euro.
Il messaggio minaccia la sospensione dell’accesso all’API e agli abbonamenti se il metodo di pagamento non viene aggiornato. Il pulsante «Aggiorna metodo di pagamento» induce il destinatario a seguire una procedura fraudolenta, esponendo informazioni finanziarie e credenziali al rischio di furto.
Google Antigravity: un comando di installazione dannoso
Registrato nel settembre 2026, il sito antigravity-ide-google[.]com imita Google Antigravity, la piattaforma di sviluppo software di Google. La pagina propone agli utenti Linux un comando di installazione apparentemente legittimo che, in realtà, decodifica ed esegue codice nascosto in Base64.
La procedura scarica uno script da un server esterno, consentendo agli aggressori di eseguire codice da remoto (RCE) sul sistema della vittima.
Apple: un falso articolo di supporto che prende di mira gli utenti Mac
Il sito apple-support[.]today, registrato nel settembre 2026, riproduce l’aspetto del portale ufficiale di Apple, compresi logo e menu di navigazione. La pagina propone un articolo intitolato «Ottimizza il tuo Mac usando il Terminale», invitando gli utenti a eseguire comandi per migliorare le prestazioni del computer.
La somiglianza con il sito autentico può indurre le vittime a fidarsi delle istruzioni ed eseguire comandi potenzialmente dannosi. Il sito ufficiale di supporto Apple è support.apple.com.
DocuSign: un falso aggiornamento che installa software di accesso remoto
Da settembre 2026 sono stati individuati diversi siti che imitano DocuSign, tra cui docusigninstalleradmin[.]help e docusignsinstaller[.]help. Le pagine mostrano documenti da revisionare e firmare, accompagnati da un avviso che richiede un aggiornamento di DocuSign Reader.
Facendo clic su «Continua», l’utente scarica fleetdeck_installer, che installa FleetDeck, uno strumento legittimo di gestione remota (RMM). Distribuito attraverso un sito contraffatto, il software può essere sfruttato per ottenere accesso non autorizzato al dispositivo.
Come possono le organizzazioni difendersi dal brand phishing?
Le organizzazioni devono rafforzare la protezione della posta elettronica, adottare sistemi capaci di individuare tentativi di furto delle credenziali e siti fraudolenti e monitorare l’installazione di strumenti di gestione remota non autorizzati.
La formazione del personale e procedure efficaci di risposta agli incidenti sono altrettanto importanti per ridurre il rischio che una richiesta apparentemente legittima provochi la compromissione di un account o di un dispositivo.
Il report di Check Point Research evidenzia quindi un’evoluzione delle tecniche di phishing: gli aggressori non si limitano a imitare i marchi più noti per sottrarre password, ma sfruttano servizi aziendali, strumenti di intelligenza artificiale e piattaforme di sviluppo per indurre gli utenti a compiere azioni rischiose.
