Panorama minacce email Q1 2026: insights Microsoft

Introduzione

L’analisi Microsoft sulle minacce email del Q1 2026 evidenzia quanto rapidamente stiano cambiando le tattiche di phishing. Per gli amministratori IT e della sicurezza, il report offre una panoramica utile su dove gli attaccanti stanno concentrando i propri sforzi e su quali difese dovrebbero avere priorità negli ambienti Microsoft 365 e Defender.

Cosa c’è di nuovo nel Q1 2026

Microsoft Threat Intelligence ha rilevato circa 8,3 miliardi di minacce di phishing via email tra gennaio e marzo 2026. Sebbene il volume mensile complessivo sia leggermente diminuito, diverse tecniche di attacco sono diventate più sofisticate e più efficaci.

Tendenze principali

• Il phishing con QR code è aumentato da 7,6 milioni di attacchi a gennaio a 18,7 milioni a marzo, con un incremento del 146%.
• Il phishing basato su link ha dominato, rappresentando il 78% delle minacce email durante il trimestre.
• I payload dannosi hanno rappresentato il 19% degli attacchi a gennaio, per poi scendere al 13% a febbraio e marzo, suggerendo che gli attaccanti abbiano preferito sempre più pagine di phishing ospitate online rispetto alla distribuzione basata su file.
• Il business email compromise (BEC) è rimasto un problema importante, con 10,7 milioni di attacchi osservati nel Q1.
• Il phishing protetto da CAPTCHA ha continuato a evolversi, mentre gli attaccanti usavano falsi passaggi di verifica per rallentare l’analisi automatizzata e aumentare la fiducia degli utenti.

Impatto della disruption di Tycoon2FA

Microsoft ha inoltre evidenziato l’effetto della disruption di marzo 2026 della piattaforma di phishing-as-a-service Tycoon2FA. Dopo un’azione coordinata con Europol e altri partner, il volume di email collegato a Tycoon2FA è diminuito del 15% nel resto di marzo e l’accesso alle pagine di phishing attive è stato ridotto in modo significativo.

Sebbene la piattaforma si sia adattata cambiando provider di hosting e modelli di registrazione dei domini, Microsoft afferma che il recupero appare parziale piuttosto che un pieno ritorno alle capacità precedenti.

Perché è importante per gli amministratori

Queste tendenze confermano che il phishing resta ancora incentrato sul furto di credenziali, anche se cambiano i metodi di distribuzione. Il phishing con QR code è particolarmente preoccupante perché può indirizzare gli utenti verso dispositivi mobili non gestiti, aggirando alcune protezioni tradizionali focalizzate sul desktop.

Per gli amministratori di Microsoft 365 e Defender, il report ricorda anche che le operazioni di disruption sono importanti, ma non eliminano la minaccia. Gli attaccanti sono resilienti e spesso spostano rapidamente la propria infrastruttura dopo i takedown.

Prossimi passi consigliati

• Rivedere le protezioni contro il phishing con QR code in email, allegati e immagini incorporate.
• Rafforzare le difese contro il phishing AiTM con MFA resistente al phishing dove possibile.
• Monitorare i modelli BEC, soprattutto l’impersonificazione a basso sforzo e i messaggi generici di outreach.
• Usare le funzionalità di rilevamento e gli strumenti di hunting di Microsoft Defender per investigare il phishing basato su link e le attività sospette legate ai payload.
• Formare gli utenti a prestare attenzione a QR code, schermate CAPTCHA e prompt di autenticazione inattesi.

Conclusioni

I dati Microsoft del Q1 2026 mostrano che gli attaccanti continuano a orientarsi verso un phishing di credenziali scalabile e basato su link, sperimentando al contempo QR code, evasione tramite CAPTCHA e metodi più recenti come il device code phishing. I team di sicurezza dovrebbero considerare questi risultati come un segnale per rafforzare il rilevamento, potenziare le protezioni dell’identità e aggiornare i programmi di awareness degli utenti.