Il cybercrime nel 2026 è sempre più rapido, automatizzato e difficile da attribuire. Secondo Europol, la crescente accessibilità degli strumenti di intelligenza artificiale permette ai criminali di ridurre le barriere di ingresso, ampliare la scala delle operazioni e aumentare velocità e personalizzazione degli attacchi.
È uno degli aspetti centrali dell’Internet Organised Crime Threat Assessment (IOCTA) 2026, pubblicato da Europol. Il rapporto analizza l’evoluzione delle principali minacce informatiche nell’Unione europea e dedica particolare attenzione all’uso di intelligenza artificiale, crittografia, proxy e infrastrutture digitali da parte delle reti criminali.
Dalla quantità alla velocità delle frodi
Uno dei cambiamenti più rilevanti riguarda le frodi online.
Secondo Europol, queste attività rappresentano l’area della criminalità organizzata con la crescita più rapida. Tra gli schemi più comuni figurano le frodi sugli investimenti, in particolare quelle legate alle criptovalute, il business email compromise, le romance scam, le frodi di assistenza tecnica e quelle contro i sistemi di pagamento.
Il cambiamento non riguarda però soltanto il numero degli attacchi. Il rapporto evidenzia una crescente importanza della velocità, dell’automazione e dell’anonimizzazione.
L’intelligenza artificiale generativa consente ai criminali di personalizzare le tecniche di social engineering. Le comunicazioni possono diventare più convincenti e adattarsi con maggiore facilità alle caratteristiche della vittima. Europol segnala inoltre che l’automazione può aumentare sensibilmente la velocità e la scala della vittimizzazione.
L’intelligenza artificiale come moltiplicatore
L’IA sta diventando uno strumento capace di aumentare l’efficienza delle attività criminali già presenti nell’ecosistema digitale.
Europol osserva che reti coinvolte in frodi, ransomware e altre attività informatiche utilizzano strumenti di IA generativa e bot automatizzati per aumentare velocità, portata e capacità operative.
Il rapporto segnala inoltre la presenza, nel dark web, di modelli linguistici modificati o adattati per rimuovere o ridurre i vincoli presenti nelle soluzioni commerciali. I modelli possono anche essere specializzati attraverso materiale relativo a malware, frodi online o tecniche finalizzate a ridurre la possibilità di individuazione.
Nelle frodi online, l’intelligenza artificiale viene utilizzata anche per assistere gli operatori dei call center criminali attraverso la generazione di script.
Europol segnala inoltre un crescente utilizzo di voice chatbot per effettuare una prima selezione delle vittime su larga scala. In questo modo i sistemi automatizzati possono funzionare come filtro prima dell’intervento di un operatore umano, aumentando l’efficienza dei centri dedicati alle frodi.
Il possibile sviluppo dell’agentic AI
Un ulteriore elemento riguarda la cosiddetta agentic AI, cioè sistemi capaci di pianificare ed eseguire autonomamente diverse attività.
Europol considera ancora in evoluzione il suo impiego criminale. Tuttavia, nel rapporto si osserva che sistemi di questo tipo hanno già iniziato a essere utilizzati per svolgere interi flussi operativi con un coinvolgimento umano limitato.
Secondo la valutazione prospettica di Europol, una maggiore diffusione potrebbe consentire agli autori di allontanarsi ulteriormente dall’esecuzione materiale delle operazioni criminali, rendendo il cybercrime ancora più difficile da individuare e contrastare.
Nascondere l’origine delle attività
Parallelamente all’automazione cresce la complessità delle infrastrutture utilizzate per rendere più difficile l’individuazione degli autori.
Europol descrive un ecosistema nel quale dark web, servizi di messaggistica con crittografia end-to-end, infrastrutture distribuite su più giurisdizioni e tecniche di anonimizzazione vengono utilizzati in maniera sempre più integrata.
Il rapporto segnala inoltre l’impiego di infrastrutture articolate su più livelli e di residential proxy, che contribuiscono a rendere più difficile ricostruire l’origine del traffico e smantellare le infrastrutture criminali.
Il confine tra surface web e dark web diventa così meno netto. Le piattaforme con crittografia end-to-end e i servizi di anonimizzazione collegano ambienti differenti, mentre alcune reti criminali stanno sviluppando infrastrutture proprie per ridurre la dipendenza dai fornitori esterni.
Criptovalute e tracciamento dei flussi finanziari
Un altro elemento centrale riguarda le criptovalute.
Secondo Europol, continuano a rappresentare il metodo di pagamento preferito per gli attacchi ransomware. Il rapporto segnala inoltre una crescente attenzione verso criptovalute caratterizzate da maggiore opacità e verso servizi che rendono più difficile seguire le transazioni.
Tra le tecniche analizzate figurano il chain-hopping, cioè il passaggio dei fondi tra blockchain differenti, i blockchain bridge, i servizi di mixing e gli exchange decentralizzati.
Si tratta in diversi casi di tecnologie che hanno anche utilizzi legittimi. Il problema investigativo nasce dal loro impiego per aumentare l’opacità dei trasferimenti e ostacolare la ricostruzione dei flussi finanziari illeciti.
Il fattore umano resta centrale
Il progresso tecnologico non elimina però uno degli elementi tradizionalmente più sfruttati nelle frodi: il comportamento della vittima.
Europol osserva che, nonostante la diffusione dell’autenticazione a due fattori e di strumenti biometrici come riconoscimento del volto, impronte digitali e scansione dell’iride, i criminali continuano a cercare sistemi per aggirare tali protezioni.
Il rapporto evidenzia inoltre che social engineering ed errore umano continueranno a rappresentare punti deboli sfruttabili dai truffatori.
Una frode digitale, quindi, può combinare infrastrutture tecnologiche sofisticate con tecniche di manipolazione della persona.
La sfida investigativa: il “velocity gap”
L’evoluzione descritta da Europol produce conseguenze dirette anche sulle attività investigative.
Il rapporto parla di un crescente “velocity gap”, cioè di una differenza di velocità tra l’evoluzione delle attività criminali e la capacità delle autorità di individuarle e contrastarle.
A questo si aggiungono difficoltà tecniche e giurisdizionali. L’utilizzo criminale di piattaforme con crittografia end-to-end può creare zone di scarsa visibilità investigativa, ostacolando l’identificazione dei sospetti e la corroborazione delle prove.
Anche la conservazione dei dati rappresenta un problema. Quando gli investigatori richiedono informazioni a un fornitore di servizi, alcuni dati possono non essere più disponibili.
Europol indica quindi la necessità di investire nelle capacità tecnologiche delle autorità, rafforzare la cooperazione internazionale e sviluppare una collaborazione più stretta con il settore privato, nel rispetto dei diritti fondamentali e della protezione dei dati.
La lettura investigativa di Lumen
A partire dai fenomeni descritti da Europol, è possibile formulare alcune considerazioni sul metodo investigativo. Le osservazioni che seguono rappresentano una lettura di Lumen e non conclusioni testuali del rapporto IOCTA 2026.
La crescente possibilità di mascherare identità, posizione e infrastrutture rende ancora più importante distinguere tra informazione disponibile e attribuzione verificata.
Un indirizzo IP, un nickname, un wallet, un numero telefonico o un profilo digitale possono costituire elementi utili per orientare un’indagine. Tuttavia, la presenza di proxy, infrastrutture intermedie, account falsi o strumenti di anonimizzazione impone particolare cautela prima di collegare un dato digitale a una persona determinata.
Per questo motivo, nell’attività investigativa assume rilievo la possibilità di confrontare più fonti indipendenti, ricostruire collegamenti e verificare la coerenza degli elementi raccolti.
La tecnologia può ampliare enormemente la quantità di informazioni disponibili. Il valore investigativo di quelle informazioni dipende però dal metodo con cui vengono verificate, correlate e documentate.
È questa, nella prospettiva di Lumen, una delle conseguenze più significative dell’evoluzione descritta dall’IOCTA 2026: quanto più sofisticati diventano gli strumenti utilizzati per nascondere un’attività, tanto maggiore deve essere la cautela nell’attribuire quella stessa attività a un soggetto determinato.