Milano, 15 settembre 2026 – I cybercriminali si avvalgono sempre più della collaborazione di insider all’interno delle organizzazioni che mirano a colpire. È questa l’ultima pericolosa tendenza che emerge da “The Market for Trust: How Cybercriminals Recruit Corporate Insiders”, l’ultimo studio di TrendAI™, leader globale di AI security e business unit di Trend Micro™.

L'intelligenza artificiale trasforma ogni settore, ma il fattore umano continua a rappresentare una delle risorse più preziose per gli attaccanti. La ricerca afferma che il fenomeno degli insider non è più il risultato di episodi isolati o del comportamento di singoli dipendenti sleali. Al contrario, si è evoluto in un vero e proprio mercato criminale organizzato, con broker, reclutatori, bonus per le segnalazioni, servizi di garanzia, accordi di revenue sharing e collaborazioni continuative che consentono ai cybercriminali di reclutare dipendenti all'interno delle aziende tramite forum underground e canali Telegram dedicati.

L'aspetto più interessante riguarda il profilo degli insider più ricercati. Non sono necessariamente gli utenti con i privilegi tecnici più elevati, bensì coloro che dispongono di autorità operativa: dipendenti in grado di approvare pagamenti, ripristinare account, aggirare controlli antifrode, autorizzare operazioni o accedere a dati sensibili. In altre parole, per i cybercriminali il valore non risiede solo nell'accesso ai sistemi, ma anche nella fiducia e nel ruolo che una persona ricopre all'interno dei processi aziendali, poiché è proprio questa autorità operativa a consentire di svolgere attività che un attaccante esterno difficilmente riuscirebbe a eseguire con la stessa credibilità.

Per questo motivo, i servizi degli insider sono ricompensati molto bene: da qualche centinaio di dollari per le recensioni pilotate a centinaia di migliaia per garantire l’accesso a database esclusivi o ad aziende dal fatturato miliardario.

"L'idea di violare un firewall è sorpassata: oggi i cybercriminali cercano chi può premere il pulsante di approvazione. Il bersaglio di maggior valore non è il dipendente con i privilegi tecnici più elevati, ma quello in grado di autorizzare un pagamento, ripristinare un account, aggirare un controllo antifrode o accedere a dati sensibili. Oggi i criminali prendono di mira i processi di business, non soltanto il perimetro tecnologico". Commenta Marco Fanuli, Technical Director di TrendAI™ Italia, una Business Unit di Trend Micro.

La ricerca evidenzia che i servizi degli insider stanno rapidamente diventando prodotti standardizzati nei mercati underground, con listini, tempi di esecuzione e programmi di rivendita, a conferma di un mercato ormai pienamente strutturato. Tra questi, figurano lo sblocco di account sospesi, le frodi sui rimborsi, gli attacchi SIM swap, la manipolazione delle informazioni di tracking delle spedizioni e il recupero di account compromessi.

Comprendere come evolvono domanda e offerta di questi servizi consente alle organizzazioni di anticipare dove potrebbero emergere nuovi rischi e quali funzioni aziendali risultano maggiormente esposte.

Lo studio evidenzia come il fenomeno interessi trasversalmente numerosi comparti.

• Pubblica amministrazione: gli insider vendono accessi "ready-made" come servizio (access-as-a-service), consentendo agli acquirenti di saltare completamente la fase di intrusione, anche nel caso di sistemi collegati alle amministrazioni pubbliche. In pratica, non pagano per violare un sistema, ma per evitare del tutto la fase di compromissione, rendendo questo tipo di accesso uno dei prodotti più efficienti e pericolosi
• Enti governativi: gli insider governativi rappresentano la categoria più rara nel mercato underground. Sono emersi solo occasionalmente nel corso della ricerca, probabilmente per ragioni di credibilità, di domanda limitata o perché il reclutamento avviene attraverso canali privati. Tuttavia, i pochi annunci individuati raggiungono prezzi molto elevati e riguardano accessi sensibili e attività di intelligence legate agli Stati
• Sanità: il rischio deriva da due fronti distinti. Da un lato, dipendenti che sottraggono o alterano cartelle cliniche, dall'altro, professionisti della cybersecurity che collaborano segretamente con gruppi criminali
• Social media: gli insider vengono reclutati per approvare annunci fraudolenti, riattivare account sospesi e manipolare i processi di verifica e rimozione dei contenuti, trasformando la fiducia nella piattaforma in un vero e proprio mercato
• Telecomunicazioni: qui gli insider sono tra i più richiesti e meglio pagati, perché un solo dipendente corrotto può effettuare un attacco SIM swap, aggirando l'autenticazione a due fattori (2FA) basata su SMS e consentendo ai criminali di ottenere l'accesso ad account e-mail, a conti bancari e ai portafogli di criptovalute delle vittime
• Finance: gli insider rappresentano l'anello indispensabile delle frodi finanziarie su larga scala. Vengono reclutati per approvare pagamenti, estrarre dati dei clienti e disattivare i controlli antifrode, mentre altri collaborano alle attività di monetizzazione attraverso operazioni di skimming su ATM, POS e finanziamenti fraudolenti
• Industria ed energia: è il settore apparentemente meno preso di mira dagli insider. Quando il reclutamento avviene, si concentra principalmente su schemi di payment skimming "chiavi in mano": i cybercriminali dispongono già dell'hardware e delle competenze necessarie, ma hanno bisogno di dipendenti di stazioni di servizio o punti vendita che forniscano l'unica risorsa che non possono procurarsi autonomamente, ovvero l'accesso fisico e non supervisionato ai terminali di pagamento
• Logistica e spedizioni: nelle frodi legate alle spedizioni, il valore dell'insider risiede nel controllo dello stato di tracking. Pubblicare un falso stato "Consegnato" consente di sbloccare un pagamento fraudolento, mentre un falso "Reso al mittente" permette di annullare una vendita legittima. È per questo che gli insider tra i corrieri sono oggetto di una domanda costante e ricorrente
• Retail: le frodi sui rimborsi si sono evolute da semplici truffe occasionali a servizi criminali organizzati. Gli insider vengono reclutati per autorizzare rimborsi fraudolenti mentre il cliente trattiene la merce. Broker, relazioni continuative, listini di prezzo e operatori identificabili hanno trasformato questa pratica in un'attività professionale, senza limiti di valore degli ordini
• Piattaforme di recensioni: in questo caso il prodotto è la reputazione stessa della piattaforma. Un insider che elimina una recensione negativa, riattiva un host sospeso o altera un punteggio compromette la credibilità del servizio, minando l’elemento di fiducia su cui gli utenti fanno affidamento. Per questo il mercato underground commercializza servizi di riattivazione degli account e rimozione delle recensioni negative, ad esempio su piattaforme come Airbnb

"Per molto tempo abbiamo considerato le minacce interne come il risultato di dipendenti scontenti o di errori involontari. Oggi osserviamo qualcosa di molto diverso. I criminali reclutano attivamente dipendenti fidati attraverso marketplace criminali strutturati, trasformando l'accesso privilegiato in un servizio che può essere acquistato e venduto", conclude Marco Fanuli, Technical Director di TrendAI™ Italia, una Business Unit di Trend Micro.

Questa tendenza è destinata ad accelerare ulteriormente con la diffusione dell'intelligenza artificiale. Man mano che le aziende accumulano modelli di AI, dati proprietari per l’addestramento e accessi privilegiati ai sistemi, aumenterà anche il valore degli insider in grado di accedere a tali risorse o di abusarne senza destare sospetti.

Lo studio dimostra che oggi ciò che i cybercriminali ricercano non è soltanto l'accesso ai sistemi, ma anche autorità e fiducia. Per questo un attacco non passa necessariamente attraverso vulnerabilità o sofisticate tecniche di intrusione. Sempre più spesso, il punto di ingresso più efficace coincide con una persona che beneficia della fiducia dell'organizzazione e dispone dell'autorità necessaria per intervenire sui processi aziendali.

Ulteriori informazioni sono disponibili a questo link

Il report integrale è disponibile a questo link