Sintesi esecutiva: L'IC3 dell'FBI ha registrato oltre un milione di denunce e 20,8 miliardi di dollari di perdite nel 2025. Considerando tre categorie di reato che sfruttano la fiducia riposta nell'email (BEC, phishing e impersonificazione governativa), le perdite hanno superato i 4 miliardi di dollari, con un aumento del 46% rispetto al 2024. L'IA sta rendendo ogni attacco più difficile da rilevare, e la ricerca regionale condotta da Red Sift dimostra che la maggior parte delle organizzazioni statunitensi non è ancora protetta.
Punti chiave:
- Le perdite da BEC hanno raggiunto 3,04 miliardi di dollari, le perdite da phishing sono cresciute del 208% su base annua, e l'impersonificazione governativa è raddoppiata a 797,9 milioni di dollari
- Complessivamente, le frodi con origine email rappresentano circa il 19% di tutte le perdite da cybercrimine segnalate
- Le denunce legate all'IA hanno superato le 22.000, con 893 milioni di dollari di perdite associate
- La ricerca di Red Sift sulla conformità DMARC ha rilevato che solo il 35-44% delle principali organizzazioni nel Nordest, nel Mid-Atlantic e nel Sudovest degli Stati Uniti ha raggiunto la piena applicazione
L'Internet Crime Complaint Center dell'FBI ha pubblicato la scorsa settimana il suo rapporto annuale 2025, segnando 25 anni di raccolta dati sul cybercrimine. Il dato principale: oltre un milione di denunce, 20,8 miliardi di dollari di perdite e un aumento del 26% su base annua.
La maggior parte della copertura mediatica si concentrerà sulla frode negli investimenti (8,6 miliardi di dollari) o sulle criptovalute (11,3 miliardi di dollari). Questi numeri sono reali. Ma possono distrarre da uno schema che si riconduce direttamente all'infrastruttura email.
4 miliardi di dollari di frodi con origine email
Sommando BEC (3,04 miliardi di dollari), phishing e spoofing (215,8 milioni di dollari) e impersonificazione governativa (797,9 milioni di dollari) si ottengono oltre 4 miliardi di dollari di perdite legate a reati che sfruttano la fiducia riposta nell'email. Si tratta di circa il 19% di tutte le perdite segnalate all'IC3, provenienti da tipologie di attacco che i protocolli di autenticazione email come DMARC (Domain-based Message Authentication, Reporting and Conformance) sono progettati per prevenire.
Il BEC ha superato di nuovo i 3 miliardi di dollari. Il trend degli ultimi tre anni racconta la storia: 2,94 miliardi (2023), 2,77 miliardi (2024), 3,04 miliardi (2025). Il calo del 2024 è stato di breve durata. Le perdite medie per denuncia superano i 122.000 dollari, e l'86% dei fondi BEC viene trasferito tramite bonifico bancario o ACH, il che significa che questi attacchi si stanno insinuando in flussi finanziari reali.
Le perdite da phishing sono cresciute del 208% mentre il volume è rimasto invariato. Il numero di denunce si è mosso di poco (da 193K a 191K), ma le perdite sono passate da 70 milioni a 215,8 milioni di dollari. Allargando lo sguardo agli ultimi due anni, si tratta di un aumento di 11 volte rispetto ai 18,7 milioni di dollari. Ogni attacco di phishing sta causando più danni. L'ipotesi che il phishing sia ad alto volume e basso valore non regge più.
L'impersonificazione governativa è quasi raddoppiata. Le denunce sono cresciute da 17.367 a 32.424 e le perdite sono passate da 405,6 milioni a 797,9 milioni di dollari. Queste truffe falsificano domini di agenzie governative e identità dei mittenti. Quando un dominio manca dell'applicazione DMARC a p=reject, gli aggressori possono inviare email che appaiono legittime al destinatario.
L'IA sta rendendo ogni attacco più efficace
L'IC3 ha tracciato l'IA come descrittore delle denunce per la prima volta in modo significativo. Il risultato: 22.364 denunce e 893 milioni di dollari di perdite. Nelle categorie specifiche legate all'email, la componente IA è in crescita:
- BEC con coinvolgimento dell'IA: 30,2 milioni di dollari
- Truffe sentimentali e di fiducia: 19 milioni di dollari
- Phishing: 10,2 milioni di dollari
- Impersonificazione governativa: 7 milioni di dollari
Il rapporto descrive tecniche specifiche: generatori di chat IA che redigono email che imitano lo stile di scrittura di un CEO, clonazione vocale che fornisce una conferma telefonica corrispondente a un mittente falsificato. Quando l'email sembra corretta e la voce al telefono corrisponde, il rilevamento umano fallisce.
Questo è il punto cruciale. Formare i dipendenti a individuare formulazioni goffe non è mai stata una difesa completa. Quando l'IA elimina questi indizi, i controlli tecnici diventano l'ultima linea di difesa affidabile. DMARC, SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) verificano se un mittente è autorizzato a utilizzare un dominio. Non importa quanto sia convincente l'email.
La ricerca di Red Sift rivela che la maggior parte delle organizzazioni statunitensi non è ancora protetta
I dati dell'IC3 mostrano la portata del problema. La ricerca di Red Sift mostra il divario nelle difese.
Negli ultimi due mesi, Red Sift ha analizzato quasi 2.000 domini appartenenti a organizzazioni di primo piano in tre regioni statunitensi. I risultati:
- Solo il 35% delle organizzazioni del Nordest ha raggiunto la piena applicazione DMARC in sette stati
- Solo il 44% delle organizzazioni del Mid-Atlantic blocca le email falsificate a livello di dominio
- Solo il 40% delle organizzazioni del Sudovest ha implementato p=reject
Questo significa che la maggior parte delle grandi organizzazioni statunitensi è ancora esposta esattamente alle tipologie di attacco che causano 4 miliardi di dollari di perdite segnalate all'IC3.
Cosa fare al riguardo
Il Recovery Asset Team dell'IC3 ha congelato 679 milioni di dollari in 3.900 incidenti nel 2025, con un tasso di successo del 58%. Un risultato significativo, ma si tratta di un recupero dopo il fatto. L'intervento più economico avviene prima che l'email fraudolenta arrivi a destinazione.
Verifica gratuitamente lo stato di autenticazione email del tuo dominio con Red Sift Investigate per capire a che punto sei. Se non hai ancora raggiunto l'applicazione DMARC, Red Sift OnDMARC porta le organizzazioni a p=reject in 6-8 settimane con configurazione automatizzata di SPF e DKIM, individuazione dinamica dei mittenti e monitoraggio continuo.
Un problema da 4 miliardi di dollari che cresce del 46% all'anno e viene accelerato dall'IA non è un problema che si riduce aspettando.
Jack leads content, PR, GEO, and email security research at Red Sift.