VBSpam Q3 2026: il phishing aggira i controlli email spostandosi nel browser

Le email di phishing non hanno più bisogno di allegati malevoli o mittenti palesemente sospetti per essere pericolose. Il test comparativo VBSpam del terzo trimestre 2026 di Virus Bulletin ha evidenziato campagne che impiegavano infrastrutture di invio apparentemente affidabili e messaggi HTML dall’aspetto innocuo, rinviando però la fase decisiva della frode a catene di reindirizzamenti e codice eseguito nel browser. I prodotti aziendali ai vertici della classifica hanno comunque ottenuto risultati molto elevati; il punto è che un gateway email, da solo, non può essere l’unico controllo contro il phishing. 2021

Il messaggio è soltanto il primo passaggio

Il test pubblico, durato 16 giorni, ha valutato 11 prodotti di sicurezza email pubblicamente testati su 103.969 messaggi, di cui 103.380 erano spam. Le fonti sul test riferiscono che i principali gateway enterprise hanno raggiunto tassi di rilevamento del phishing prossimi al 100%. Net at Work NoSpamProxy è risultato il migliore con un punteggio finale di 99,995, il 100% di rilevamento malware, il 99,990% nel phishing e nessun falso positivo. 2021

Questo dato non dimostra che il filtraggio email aziendale abbia smesso di funzionare. Mostra piuttosto che gli attaccanti stanno adattando la consegna: invece di inserire contenuti chiaramente malevoli nella mail, possono usare un messaggio senza allegati, un percorso di invio dall’apparenza legittima e un URL il cui comportamento cambia solo dopo il clic del destinatario.

VBSpam è un programma comparativo rivolto soprattutto a prodotti di sicurezza email per server e aziende. Misura la protezione contro spam, phishing e malware, tenendo conto anche dei falsi positivi. I test sono concepiti per valutare minacce email attuali e in tempo reale, non un archivio statico di campioni datati. 61213

Tre campagne che mostrano il cambiamento

Sollecito di pagamento in tedesco, con passaggio da Amazon SES

Una campagna in lingua tedesca presentata come Mahnschreiben — un sollecito per un pagamento in ritardo — avrebbe usato Amazon SES e il dominio moolaah[.]com, allineato con DKIM. L’email non includeva allegati. Il link portava prima a una pagina progettata per apparire meno sospetta alle ispezioni automatiche: markup-esca, testo nascosto, un iframe di dimensione zero e JavaScript offuscato.

Secondo quanto riportato, la pagina raccoglieva segnali sul browser e sul fuso orario, quindi usava una richiesta POST nascosta per reindirizzare il visitatore verso opensea[.]io. La valutazione indicata è quella di un percorso occultato per una frode su criptovalute o NFT, non di una distribuzione di malware confermata. È una distinzione rilevante: la logica fraudolenta può essere volutamente nascosta finché il visitatore non sembra un bersaglio reale e compatibile con il profilo ricercato. 20

Finto rinnovo antivirus in olandese, con destinazioni variabili

Un’email in olandese che impersonava McAfee e TotalAV proponeva il rinnovo tramite un messaggio solo HTML: sosteneva che il destinatario avesse “631 virus pericolosi”, minacciava la chiusura dell’account e offriva uno sconto del 90%.

Invece di basarsi su una sola pagina di phishing fissa, la campagna utilizzava percorsi distinti per tracciamento, annullamento dell’iscrizione e invito all’azione, instradati attraverso un’infrastruttura di redirect. Questi percorsi possono cambiare destinazione, scadere o restituire contenuti differenti a seconda dell’ora o della posizione. Per questo un controllo dell’URL eseguito una sola volta dal gateway può essere meno affidabile dell’analisi effettuata nel momento in cui l’utente fa clic. Lo scopo stimato era una frode legata a rinnovi o affiliazioni, con possibile sottrazione di dati di pagamento, e non un download malware confermato. 20

Pretesto sul consenso PSD2 che impersona BCR in Romania

Un’altra campagna impersonava BCR S.A. e sfruttava il tema del consenso PSD2 per creare urgenza. PSD2 è la normativa europea sui servizi di pagamento, spesso richiamata nelle comunicazioni bancarie. Secondo le segnalazioni, la destinazione veniva codificata tramite una rappresentazione di indirizzo IPv6 mappato: una tecnica di offuscamento che può eludere l’analisi semplificata degli URL o i controlli reputazionali. La campagna è stata valutata come probabile furto di credenziali, ma la documentazione disponibile non conferma una pagina di arrivo finale né consente un’attribuzione più precisa. 20

Cosa dicono — e non dicono — i risultati

Le informazioni sul terzo trimestre indicano un divario significativo tra i migliori gateway enterprise e l’installazione open source di Rspamd sottoposta al test pubblico. Una fonte attribuisce a Rspamd un tasso di intercettazione del phishing del 62,550%, ben al di sotto dei risultati dei prodotti aziendali leader. 21

Quel valore non va esteso a ogni installazione di Rspamd né al software open source in generale: configurazione, feed di minacce, ottimizzazione e controlli complementari incidono sui risultati nel mondo reale. Rafforza tuttavia un punto pratico: infrastrutture di redirect che cambiano rapidamente e flussi di phishing consapevoli del browser possono essere difficili da classificare per un livello email configurato in modo predefinito o ristretto.

Per confronto, nella distinta analisi VBSpam del secondo trimestre 2026 Rspamd aveva rilevato il 54,810% del phishing, rimanendo indietro rispetto ai prodotti di punta. Si tratta di periodi di test diversi: le due percentuali non vanno quindi considerate un unico benchmark intercambiabile. 5

Le priorità difensive oltre il gateway

La lezione operativa più utile del test è estendere l’analisi dal momento della consegna al momento del clic.

• Considerare l’autenticazione un segnale di identità, non una garanzia di sicurezza. L’allineamento SPF o DKIM e un servizio di invio noto possono aiutare a stabilire come sia stata spedita un’email, ma non provano che la sua promessa commerciale o la destinazione siano legittime.
• Seguire ricorsivamente la catena dei redirect. Occorre ispezionare ogni passaggio e rivalutare gli URL quando l’utente fa clic, perché destinazione e reputazione possono cambiare dopo la consegna iniziale.
• Usare sandbox capaci di operare nel browser. Un’analisi efficace deve eseguire JavaScript e identificare moduli nascosti, attività degli iframe, fingerprinting e reindirizzamenti condizionali; non basta analizzare il corpo della mail o l’URL visibile.
• Normalizzare le forme URL insolite. I controlli devono interpretare in modo sicuro indirizzi codificati e rappresentazioni IPv6 mappate prima di applicare regole reputazionali o di blocco.
• Monitorare i cambiamenti dell’infrastruttura. DNS, domini nuovi, redirect HTTP e reputazione della destinazione vanno osservati nel tempo.
• Limitare i danni di un clic riuscito. Autenticazione resistente al phishing e protezioni endpoint possono ridurre il rischio di compromissione dell’account anche se una pagina di raccolta credenziali raggiunge l’utente.

Anche gli utenti restano un controllo fondamentale. Richieste di pagamento, avvisi sul consenso bancario e rinnovi di abbonamenti dovrebbero essere verificati dal sito, dall’app o dai canali di assistenza conosciuti dell’organizzazione, non attraverso il link presente nel messaggio.

In sintesi

VBSpam Q3 2026 non mostra un fallimento generalizzato della sicurezza email tradizionale: i migliori prodotti enterprise hanno continuato a registrare risultati eccezionalmente alti. 2021 Evidenzia invece un’evoluzione precisa: gli operatori di phishing trasferiscono gli elementi più ingannevoli in fasi personalizzate e mediate dal browser, che un gateway convenzionale potrebbe non osservare completamente al momento della consegna.

La risposta più solida è una difesa stratificata: filtraggio email robusto, analisi dei redirect, ispezione consapevole del browser e protezioni degli account che rendano una password sottratta molto meno utile.