Credenziali rubate, infostealer e bypass MFA nel 2026

Il mercato del cybercrime sta cambiando volto, e capirlo è fondamentale per proteggere davvero i propri dati. Negli ultimi anni si parla sempre più spesso di credenziali rubate, infostealer e tecniche sofisticate per aggirare l’autenticazione a più fattori. Ma quali di queste notizie sono confermate da fonti autorevoli e quali invece sono cifre gonfiate o poco verificabili? Analizziamo insieme lo stato dell’arte del mercato underground delle credenziali, separando i fatti documentati dalle stime da prendere con le pinze.

Il mercato delle credenziali rubate: numeri reali o esagerazioni?

Uno dei problemi principali quando si parla di sicurezza informatica è la circolazione di cifre spesso citate senza una fonte solida. È il caso del presunto dato di 2,86 miliardi di credenziali rubate disponibili nel 2025 sui mercati underground. Dopo una verifica approfondita, questa cifra specifica non risulta confermata da nessuna fonte autorevole.

Quello che invece emerge chiaramente dai report di settore è una tendenza generale all’aumento esponenziale dei dati compromessi in circolazione. Ad esempio:

• Un report di BlackFog del luglio 2025 ha documentato un leak aggregato di circa 16 miliardi di record, risultato della combinazione di dump, attività di infostealer e vecchi leak riemersi.
• Check Point ha confermato, in un’analisi dell’agosto 2025, un forte aumento delle credenziali compromesse nel corso dell’anno, senza però citare la cifra specifica di 2,86 miliardi.

La lezione da trarre è semplice: i numeri circolano velocemente online, ma non sempre sono verificabili. Prima di allarmarsi o condividere statistiche, è sempre buona pratica risalire alla fonte originale.

Perché il prezzo delle credenziali di base è crollato

Un altro fenomeno interessante riguarda il valore economico delle credenziali rubate. Si è diffusa l’idea che il prezzo delle credenziali “base” sia crollato a pochi dollari, complice l’enorme abbondanza di dati disponibili. Anche qui, la tendenza generale è confermata, ma manca un dato univoco e ufficiale che stabilisca un prezzo standard.

Secondo un’analisi di DeepStrike del dicembre 2025, il mercato mostra una netta differenziazione di prezzo:

• Le credenziali o i dump grezzi, ovvero username e password senza contesto aggiuntivo, hanno un valore molto basso, spesso pochi dollari o addirittura centesimi.
• Gli accessi aziendali verificati, invece, raggiungono cifre decisamente più alte, segno che il valore reale nel cybercrime moderno risiede nella qualità e nell’affidabilità dell’accesso, non nella quantità di dati.

Questo fenomeno è simile a quello che accade in altri mercati digitali: quando un prodotto diventa una commodity, il suo prezzo unitario crolla, ma emergono nicchie di valore più elevato per chi offre qualcosa di più raffinato e pronto all’uso.

Initial access broker: la vera minaccia dietro gli accessi “chiavi in mano”

Si è parlato di un aumento del prezzo del 4.055% per gli accessi verificati e pronti all’uso verso reti aziendali di alto valore, un fenomeno legato alla crescita degli initial access broker. Anche in questo caso, la percentuale specifica non trova riscontro diretto nelle fonti disponibili, ma la dinamica di mercato descritta è reale e ben documentata.

Gli initial access broker sono attori del cybercrime specializzati nella vendita di accessi già “pronti all’uso” a reti aziendali compromesse. Non vendono semplici credenziali, ma un vero e proprio pacchetto operativo che include:

1. Accesso verificato e funzionante alla rete target
2. Informazioni sul livello di privilegi ottenibili
3. Dettagli sulla struttura interna dell’organizzazione compromessa

Secondo DeepStrike, il prezzo medio di questi accessi aziendali si aggira intorno ai 2.700 dollari per singolo accesso, una cifra ben lontana dai pochi dollari richiesti per credenziali generiche. Questo conferma che il mercato del cybercrime si sta strutturando in modo sempre più professionale, con una netta divisione tra prodotti di massa a basso costo e servizi mirati ad alto valore.

Infostealer e session hijacking: la nuova frontiera del bypass MFA

Uno degli aspetti più preoccupanti e ben documentati riguarda l’evoluzione degli infostealer, malware progettati per sottrarre informazioni sensibili dai dispositivi infetti. Le versioni più recenti non si limitano più a rubare username e password, ma sono in grado di intercettare i cookie di sessione, aprendo la strada a tecniche note come pass-the-cookie.

Come funziona questo attacco? Quando un utente effettua il login su un servizio, il browser salva un cookie di sessione che attesta l’avvenuta autenticazione. Se un attaccante riesce a rubare questo cookie, può:

• Riprodurre la sessione autenticata su un proprio dispositivo
• Bypassare completamente l’autenticazione a più fattori (MFA)
• Accedere ai servizi come se fosse l’utente legittimo, senza dover inserire nuovamente password o codici OTP

Questa tecnica è stata documentata in dettaglio da diverse fonti specializzate, che descrivono come gli infostealer moderni raccolgano sistematicamente cookie e token di sessione, rendendo vulnerabili anche account protetti da MFA tradizionale. È un chiaro segnale che le difese basate solo sulla password non bastano più.

Come difendersi: dalla password alla protezione della sessione

Di fronte a queste minacce, le raccomandazioni degli esperti di sicurezza stanno cambiando approccio. Non basta più proteggere la fase di login: bisogna monitorare e proteggere l’intera sessione post-autenticazione. Ecco le strategie più efficaci raccomandate dalle fonti tecniche più recenti:

• MFA resistente al phishing: adottare standard come FIDO2 e le passkey, molto più sicuri rispetto a OTP via SMS o app authenticator tradizionali.
• Verifica continua dell’accesso: implementare il conditional access, valutando in tempo reale fattori come la posizione geografica, il dispositivo utilizzato e i pattern comportamentali dell’utente.
• Riduzione della durata delle sessioni: limitare il lifetime di token e sessioni attive, richiedendo una nuova autenticazione per operazioni sensibili.
• Monitoraggio del session replay: individuare anomalie nell’uso dei cookie di sessione, come accessi simultanei da posizioni geografiche incompatibili.

Queste misure, se applicate insieme, creano un sistema di difesa a più livelli che rende molto più difficile per un attaccante sfruttare credenziali o cookie rubati, anche quando riesce a superare la prima barriera dell’autenticazione.

Conclusione

Il panorama della sicurezza informatica nel 2025 e 2026 mostra un mercato del cybercrime sempre più sofisticato e stratificato. Se da un lato le credenziali generiche stanno diventando una vera e propria commodity a basso costo, dall’altro cresce il valore degli accessi verificati e “pronti all’uso” venduti dagli initial access broker. Parallelamente, gli infostealer si evolvono per colpire non solo le password, ma anche le sessioni autenticate, rendendo insufficienti le tradizionali misure di MFA.

Per le organizzazioni e i professionisti della sicurezza, il messaggio è chiaro: bisogna spostare l’attenzione dalla semplice protezione delle credenziali alla difesa dell’intero ciclo di vita della sessione utente. Solo un approccio integrato, che combini MFA resistente al phishing, verifica continua e monitoraggio attivo delle sessioni, può offrire una protezione realmente efficace contro le minacce moderne.