Sono 2,5 miliardi i dati personali finiti sul dark web nel primo semestre 2026. L'Osservatorio Crif colloca l'Italia al terzo posto globale per numero di account rubati tramite malware infostealer, subito dopo Stati Uniti e Francia, e al sesto per indirizzi e-mail compromessi in circolazione.
Chi è la vittima tipo italiana
Il 32,3% degli utenti italiani protetti dai servizi Crif ha ricevuto almeno un alert nel semestre. La fotografia demografica è netta: la fascia 51-60 anni pesa per il 26,7% delle vittime, la 41-50 per il 26,6% e gli over 60 per il 20,3%. Sommate, le persone con più di 40 anni valgono il 73,6% degli allertati. Gli uomini rappresentano il 64,3% del totale. Le regioni più colpite in valore assoluto sono Lombardia (15,7%), Lazio (12,3%), Sicilia (11,3%), Emilia-Romagna (9,7%) e Piemonte (9,5%): pesa la digitalizzazione del territorio, non la qualità delle difese.
Il quadro tecnico è ancora più duro. Il 99,8% dei numeri di carta di credito trovati in circolazione arriva già completo di codici di sicurezza e data di scadenza, pronto per pagamenti fraudolenti immediati. Il 92,1% degli account compromessi è personale, solo il 7,9% aziendale: il bersaglio principale non sono le imprese, sono i singoli utenti. Le tipologie di dati più diffuse restano password, e-mail, nomi utente e numeri di telefono, mentre gli username finiscono soprattutto su account di portali di lavoro e di news (26,6%), social network (20,8%) e forum (16,3%), servizi usati quotidianamente da chi lavora in ufficio.
Il divario di competenze che nessun antivirus può colmare
Il profilo delle vittime coincide con quello degli italiani meno preparati al digitale. L'indagine Cittadini e ICT 2025 - ISTAT mostra che le competenze digitali di base scendono con l'età: le hanno il 71,7% dei ragazzi tra 20 e 24 anni, il 49,1% dei 55-59enni e appena il 27,4% delle persone tra 65 e 74 anni. In media, solo il 54,3% della popolazione tra 16 e 74 anni raggiunge il livello di base, contro il target europeo dell'80% fissato al 2030. È il divario che spiega perché siano proprio i quarantenni e cinquantenni a comparire tra i profili venduti sul dark web: chi non riconosce un dominio contraffatto, un allegato falso o un QR code manipolato apre il portone senza accorgersene, indipendentemente dall'antivirus installato sul dispositivo.
Cosa cambia per la scuola e per la formazione degli adulti
La scuola italiana sta formando alla sicurezza digitale i nativi che oggi non sono nel mirino. I 41-70enni che generano quasi tre alert su quattro non hanno mai avuto un'ora di educazione alla cybersicurezza in classe, e il PNRR ha finanziato la digitalizzazione degli istituti tenendo il perimetro su studenti e docenti in servizio: chi ha 55 anni oggi resta fuori dalla programmazione formativa dedicata. Anche la mappa geografica ribalta lo schema classico del divario. Le prime cinque regioni per alert non stanno al Sud ma coincidono con i territori più digitalizzati: Lombardia, Lazio, Emilia-Romagna e Piemonte da soli fanno il 47,2% degli allarmi. Non è un problema di chi ha meno accesso a Internet, ma di chi lo usa ogni giorno per lavoro, home banking e servizi della pubblica amministrazione senza aver mai imparato a difendersi. Il dato di genere va nella stessa direzione: gli uomini valgono il 64,3% delle vittime, coerentemente con l'uso più intenso della rete rilevato dall'ISTAT tra i 65-74enni maschi (74,8%) rispetto alle donne della stessa età (70,5%).
Il prossimo report Crif arriverà in primavera con un altro semestre di conteggi. Nell'attesa, i Centri provinciali per l'istruzione degli adulti non hanno ancora un modulo obbligatorio dedicato alla sicurezza informatica, e nessun piano nazionale prevede al momento di introdurlo: la copertura formativa per gli over 40 resta affidata a corsi comunali, biblioteche civiche e iniziative bancarie di educazione finanziaria, tutte volontarie.