ESET Threat Report
H1 2026
Uno sguardo al panorama delle minacce informatiche del primo semestre 2026 secondo la telemetria ESET e dal punto di vista degli esperti di rilevamento e ricerca ESET.

H1 2026
Uno sguardo al panorama delle minacce informatiche del primo semestre 2026 secondo la telemetria ESET e dal punto di vista degli esperti di rilevamento e ricerca ESET.

Tra marzo e maggio 2026, ESET ha analizzato 900.000 skills di IA provenienti da repository popolari, identificando 25.000 skill sospette e oltre 3.000 dannose. Le analisi hanno evidenziato skill malevole che utilizzano strumenti di hacking come Mimikatz e Impacket, skill sospette in grado di modificarsi autonomamente e creare meccanismi di persistenza, nonché strumenti di “sicurezza” apparentemente legittimi ma inefficaci, che possono indurre un pericoloso falso senso di protezione.


Le rilevazioni di ClickFix sono aumentate del 108% tra il secondo semestre del 2025 e il primo semestre del 2026, mentre gli attaccanti hanno perfezionato la tecnica adattandola a nuovi contesti. AI-fixdimostra come i cybercriminali sfruttino la fiducia degli utenti nell'intelligenza artificiale generativa; CrashFix utilizza estensioni del browser e falsi avvisi; ConsentFix combina l'interazione tipica di ClickFix con l'abuso di OAuth per compromettere account cloud senza dover rubare le credenziali.
Il primo semestre del 2026 ha registrato livelli record di phishing tramite QR code, noto anche come quishing, alimentato dall'uso sempre più diffuso dei codici QR. La telemetria ESET ha registrato in media 100.000 rilevazioni al mese, con un picco raggiunto ad aprile. I codici QR erano presenti in circa l'11% delle e-mail di phishing rilevate, con il maggior numero di segnalazioni provenienti da Stati Uniti, Spagna e Messico.


ESET Research ha mappato l'ecosistema degli EDR killer, monitorando oltre 100 strumenti utilizzati per disattivare, bloccare o accecare i software di sicurezza durante un attacco ransomware. Più di 60 di questi sfruttano la tecnica Bring Your Own Vulnerable Driver (BYOVD), che consente agli attaccanti di operare a livello kernel. Sebbene gli attacchi ransomware abbiano continuato a crescere nel primo semestre del 2026, la percentuale di vittime che ha scelto di pagare il riscatto è scesa al 14-28%. Una fuga di dati del gruppo The Gentlemen ha inoltre rivelato il loro EDR killer proprietario, denominato GentleKiller.
Il primo semestre del 2026 ha visto la comparsa di PromptSpy, il primo malware Android osservato mentre utilizzava attivamente l'IA generativa durante l'esecuzione. Questo caso dimostra come l'IA generativa possa rendere il malware più dinamico e adattabile a diversi ambienti. Finora, i ricercatori ESET non hanno osservato altri malware Android che impiegano l'IA generativa in questo modo, probabilmente grazie alle protezioni anti-abuso integrate nei modelli linguistici di grandi dimensioni (LLM).

I report sulle minacce di ESET offrono una panoramica regolare e approfondita del panorama globale delle minacce informatiche, nonché delle principali tendenze e sviluppi che lo influenzano. Le statistiche e le tendenze presentate nel report si basano sui dati di telemetria di ESET, interpretati dagli esperti di rilevamento delle minacce, ricerca sulla sicurezza e sensibilizzazione. In quanto tali, i report forniscono insight unici per aiutare i difensori a orientarsi in un ambiente di minacce in continua evoluzione e sempre più complesso.
Il report sulle minacce di ESET viene pubblicato due volte all’anno: l’edizione del primo semestre copre il periodo da dicembre a maggio, mentre l’edizione del secondo semestre copre il periodo da giugno a novembre.
Il report ha una portata globale – le statistiche e le tendenze principali presentate si basano su dati di telemetria globali raccolti da ESET. Tuttavia, gli sviluppi regionali possono essere inclusi nelle analisi del report per fornire esempi concreti delle tendenze discusse.
Le statistiche sulle minacce presentate nei report di ESET si basano su dati raccolti dai sistemi di rilevamento proprietari di ESET, integrati nei suoi prodotti di sicurezza – endpoint, cloud e mobile – e nelle sue tecnologie stratificate. Altre fonti utilizzate nelle analisi del report possono includere honeypot, feed di sicurezza esterni e dati provenienti da altri fornitori di cybersecurity.
I rapporti sulle minacce ESET offrono analisi approfondite delle ultime tendenze nel panorama delle minacce, arricchite da commenti e raccomandazioni del variegato team di specialisti della sicurezza informatica di ESET, molti dei quali sono relatori abituali in prestigiose conferenze di settore come RSA, Black Hat e Virus Bulletin, e rinomati per la loro competenza.
Con centri di ricerca e sviluppo ESET distribuiti in Europa, Asia e Nord America, gli analisti ESET forniscono una copertura globale 24 ore su 24, sfruttando i diversi fusi orari e le diverse ubicazioni per affrontare il panorama delle minacce in continua evoluzione.
Inoltre, i rapporti contengono una sezione dedicata alla telemetria delle minacce con statistiche complete sulle categorie di minacce monitorate. Questi dati vengono elaborati con l'intento sincero di mitigare i pregiudizi, nel tentativo di massimizzare il valore delle informazioni fornite. I grafici riportano le differenze calcolate tra il periodo di riferimento attuale e quello precedente per evidenziare i cambiamenti di tendenza.
I report sulle attività APT di ESET offrono una panoramica delle attività di gruppi APT (Advanced Persistent Threat) selezionati, investigati e analizzati da ESET Research durante il periodo di riferimento. I gruppi APT sono attori di minacce altamente sofisticati, spesso sostenuti da stati nazionali, che conducono attacchi informatici mirati e operazioni di spionaggio. Al contrario, i report sulle minacce si concentrano su minacce informatiche diffuse – il cosiddetto crimeware – che generalmente non sono mirate e possono quindi colpire chiunque.