Phishing estivo: perché la stagione delle vacanze è anche la stagione degli attacchi
Ogni estate si ripete lo stesso schema: mentre le aziende rallentano e i team si riducono, le campagne di phishing accelerano. Nel 2026, i dati confermano che questa dinamica ha raggiunto livelli senza precedenti, con una crescita che riguarda sia il volume degli attacchi sia la loro sofisticazione.
Non è un fenomeno distante. Riguarda chiunque, in qualsiasi organizzazione, apra un’email, prenoti un viaggio o approvi un pagamento in questo periodo dell’anno.
I numeri dell’estate 2026: cosa dicono i dati
Il report di Check Point Research pubblicato a giugno 2026 fotografa un settore, quello del travel, hospitality e recreation, sotto attacco crescente. Nel solo mese di maggio 2026, le organizzazioni del comparto hanno subìto in media 2.291 attacchi informatici a settimana, con un aumento del 24% rispetto allo stesso mese del 2025.
Il dato più significativo riguarda l’infrastruttura preparata dagli attaccanti. A maggio 2026 sono stati registrati oltre 47.000 nuovi domini legati a viaggi e prenotazioni, in crescita del 33% rispetto ad aprile. Check Point ha identificato campagne coordinate di registrazione massiva, incluse oltre 210 domini costruiti su template come hotel-stay[N].com e stay-hotel[N].com, tutti riconducibili a un singolo attore automatizzato.
I brand più imitati nelle campagne di phishing estive includono piattaforme di prenotazione, compagnie aeree e istituti finanziari con programmi di fidelizzazione travel, sfruttando la familiarità dell’utente con queste comunicazioni nel periodo pre-vacanza.
Il quadro italiano: CERT-AGID e la pressione costante
L’Italia non è un’eccezione. I dati del CERT-AGID mostrano una pressione continua e strutturata sulle organizzazioni italiane per tutto il primo semestre 2026.
Ad aprile 2026, il CERT-AGID ha registrato 513 campagne malevole in un solo mese, con un panorama dominato dal phishing a tema PagoPA e dalle frodi mirate ai clienti dei principali istituti bancari. In parallelo, è cresciuto l’allarme per i dispositivi mobili, con la moltiplicazione di campagne di smishing (SMS ingannevoli) progettate per far scaricare malware APK su Android.
I dati settimanali tra maggio e luglio 2026 confermano il trend: centinaia di campagne ogni settimana, migliaia di indicatori di compromissione distribuiti agli enti accreditati. Le campagne a tema ordini, fatture, pagamenti e rinnovi restano tra i vettori più efficaci.
Un elemento particolarmente insidioso nel contesto italiano è l’abuso delle PEC compromesse. Il CERT-AGID ha segnalato oltre 650 eventi gestiti dall’inizio del 2026, un trend in crescita che sfrutta la fiducia riposta nella posta elettronica certificata come strumento con valore legale.
Perché l’estate amplifica il rischio
Il phishing funziona sempre, ma in estate funziona meglio. Le ragioni sono strutturali e si applicano a qualsiasi organizzazione:
- Team ridotti e tempi di reazione più lunghi: meno persone operative significa catene di verifica interrotte e tempi di risposta del SOC dilatati. Gli attaccanti guadagnano una finestra d’azione più ampia.
- Contesto di viaggio e distrazione: chi lavora dal telefono in aeroporto o dall’hotel valuta le email con meno attenzione, e il phishing che imita prenotazioni o pagamenti diventa più credibile.
- Reti non protette di hotel, aeroporti e co-working: le connessioni Wi-Fi aperte espongono ad attacchi man-in-the-middle e rendono intercettabile il traffico verso risorse aziendali.
- Campagne di phishing con il coinvolgimento dell’AI: il Verizon DBIR 2026 documenta l’uso dell’AI generativa in almeno 15 tecniche di attacco, con email sempre più credibili, personalizzate e difficili da distinguere da comunicazioni legittime.
Quattro aree di difesa su cui intervenire
Il phishing non si ferma con un singolo strumento. Si contiene con un approccio che agisce su più livelli contemporaneamente.
- Formazione e consapevolezza: il fattore umano resta il primo vettore di attacco: il 62% delle violazioni coinvolge un elemento umano, che include phishing, credenziali rubate e social engineering (Verizon DBIR 2026). La formazione non deve essere un evento annuale, ma un processo continuo. Prima del periodo estivo, un richiamo mirato sulle tecniche di phishing stagionale può fare la differenza.
- Autenticazione multifattore su tutti gli account critici: l’MFA non elimina il phishing, ma ne riduce drasticamente l’impatto. Anche quando una credenziale viene compromessa, il secondo fattore di autenticazione blocca l’accesso. Nel periodo estivo, con accessi da dispositivi e reti diversi dal solito, l’MFA diventa ancora più importante.
- Protezione tecnica delle email e dei domini: i filtri anti-phishing evoluti, la configurazione corretta di SPF, DKIM e DMARC, e il monitoraggio dei domini simili al proprio (typosquatting) sono misure tecniche che riducono la superficie d’attacco prima che l’email arrivi all’utente.
- Piano di risposta agli incidenti aggiornato per il periodo estivo: prima della pausa estiva, è essenziale verificare che le catene di escalation siano aggiornate, che i contatti di emergenza siano attivi e raggiungibili, e che le procedure di contenimento siano note anche al personale che resta operativo con responsabilità temporanee.
Il supporto di Infonet Solutions
In Infonet Solutions affianchiamo le aziende nella costruzione di difese concrete: dalla formazione del personale alla configurazione delle protezioni tecniche, dalla definizione dei piani di risposta alla verifica continua della postura di sicurezza. Il nostro approccio parte sempre dal contesto specifico dell’organizzazione, perché non esiste una soluzione uguale per tutti.
