Gli attacchi via email nel 2026 sono un mix di vecchio e nuovo, tra revival di tecniche come il text salting ed evoluzioni del phishing rese possibili da una combinazione di cloud, automazione e AI: a dirlo è Barracuda Networks, sulla base delle osservazioni condotte negli ultimi mesi dai propri ricercatori e analisti.
Il text salting è grande ritorno di quest’anno: originariamente sviluppato per aggirare i tradizionali filtri antispam, si tratta di un metodo che prevede di inserire grandi quantità di testo o altri elementi "estranei" all'interno di un'email, per esempio caratteri non visibili, parole spezzate, codice HTML. L’utente non vede questi elementi, che vengono nascosti con trucchi grafici, come l’uso di caratteri bianchi su sfondo bianco. I filtri antispam, invece, leggono questi elementi, che servono a ridurre la concentrazione di termini sospetti e a far passare inosservato il tentativo di frode, che quindi arriva al destinatario. L’inganno funziona anche sui sistemi antispam basati su intelligenza artificiale, che leggono l'intero contenuto delle email, compreso il testo nascosto: i loro algoritmi potrebbero essere spinti a considerare benevoli i messaggi, proprio perché contengono una certa quantità di elementi innocui.
Barracuda ha osservato numerosi casi di questo tipo, con messaggi di posta in cui sono stati nascosti testi casuali, conversazioni generiche, con abbondanza di parole dal significato positivo o neutro. Diverse le tecniche usate per occultare questi elementi, come la riduzione dell'area visibile del testo, il posizionamento del contenuto al di fuori del campo visivo del destinatario e l'inserimento del testo direttamente all'interno di parole o frasi ma con dimensione del carattere impostata su zero. Un’altra possibilità è quella di frammentare il contenuto HTML utilizzando termini non standard per impedire ai filtri basati su firme di riconoscere le espressioni tipiche del phishing.
I messaggi leggibili continuano a fare leva su esche tipiche del phishing, come premi in scadenza, punti fedeltà o offerte di gift card. I ricercatori di Barracuda hanno identificato oltre un milione di attacchi di phishing a tema retail che utilizzano la tecnica del text salting.
Piattaforme di phishing “as-a-Service”
L’altra tendenza osservata in questi mesi da Barracuda è la trasformazione dei kit di phishing in piattaforme “as-a-Service” capaci di generare truffe personalizzate in tempo reale, per colpire sia i sistemi di sicurezza sia gli utenti finali.
Un esempio è Logokit, strumentario software per il furto di credenziali: nella sua ultima evoluzione, è ora una piattaforma che genera in tempo reale pagine di accesso fraudolente, personalizzate per ogni singolo bersaglio da colpire. Invece di reindirizzare tutte le vittime alla stessa falsa pagina di accesso, Logokit utilizza servizi web commerciali legittimi per ricreare l'esperienza di login dell'organizzazione presa di mira. L'attacco scatta nel momento in cui la vittima clicca su un link malevolo che contiene il suo indirizzo email nell'URL.
Il codice incorporato nella pagina estrae l'indirizzo di poste elettronica e utilizza il nome di dominio dell'organizzazione per identificare l'azienda bersaglio. Il toolkit recupera, quindi, loghi e icone aziendali (da pagine Web esistenti) e acquisisce uno screenshot in tempo reale del sito Web legittimo: con questi elementi viene creata una falsa pagina di login, del tutto simile a quella originale. Quando la vittima inserisce le proprie credenziali, le informazioni vengono inviate direttamente agli attaccanti tramite servizi come Telegram o piattaforme cloud, dunque senza la necessità di usare i tradizionali server di comando e controllo. La vittima viene poi reindirizzata al sito Web legittimo, fatto che rende la compromissione più difficile da individuare.
Le campagne di phishing, sottolinea Barracuda, continuino in ogni caso a fare leva su tecniche di social engineering consolidate, tra cui notifiche di scadenza della password, avvisi di rinnovo dei certificati, notifiche di mancata consegna e promemoria relativi alla compilazione dei timesheet.