Ferve l’attesa per il calcio d’inizio dei Mondiali di calcio 2026, già nel mirino delle frodi via e-mail.
Secondo Proofpoint, più di un terzo dei partner ufficiali ha già esposto il pubblico al rischio cyber.
“La puntualità dei criminali non dovrebbe più sorprenderci. Senza dubbio non aspettano il fischio d’inizio e hanno già preparato il campo”, commenta Alessandro Curioni, Presidente e fondatore di DI.GI Academy.
Indice degli argomenti
Mondiali di calcio 2026, bersaglio dei cyber criminali
I Mondiali di calcio 2026 si svolgeranno dall’11 giugno al 19 luglio 2026, ma, da uno studio di Proofpoint emerge che ben il 36% fra sponsor ufficiali, fornitori, partner e sostenitori associati non si avvale delle misure di sicurezza email, utili a proteggersi dall’impersonificazione del dominio, esponendo così tifosi, clienti e partner a un’escalation del rischio cyber di frodi via email in grado di sfruttare la fama e la fiducia di questi marchi.
Infatti, tra gennaio e maggio 2026, si conta la registrazione di oltre 13.000 nuovi domini a tema FIFA World Cup 2026. Circa l’8,8% di questi domini è risultato malevolo o sospetto.
FortiGuard Labs ha inoltre rilevato più di 1.700 account e canali sospetti legati alla FIFA su piattaforme social e di messaggistica e identificato oltre 4.600 URL collegati alla FIFA presenti nei log degli infostealer, connessi a famiglie malware come Vidar, LummaC2 e RedLine.
Da sempre, i cyber criminali puntano a trarre beneficio dai grandi eventi sportivi globali, per sferrare truffe di social engineering per fingersi sponsor, compagnie aeree, brand legati all’hospitality, servizi di delivery o brand consumer, sfrttando domini dall’aspetto affine ed email di spoofing.
“Biglietti, streaming, merchandising, offerte di lavoro: ogni desiderio diventa una porta socchiusa, un’opportunità per applicare tecniche di ingegneria sociale”, avverte Curioni.
Ad attirare i criminal hacker è il picco significativo di viaggi, la fame di biglietti, l’interesse per promozioni e attività di merchandising. “La Coppa del Mondo sarà una festa, ma in rete le feste attirano anche i borseggiatori”, sottolinea Curioni.
Le aziende dovrebbero potenziare la sicurezza dell’intero ecosistema contro le minacce diffuse via email, principale vettore di attacco per le frodi. Inoltre l’AI aumenta il rischio di cadere vittime, attraverso messaggi credibili.
Per esempio, stanno anche crescendo le truffe su WhatsApp, alimentate dall’aumento dell’uso dell’AI per spedire messaggi più convincenti, accompagnati perfino da deepfake e voci clonate. In appena mezz’ora le frodi via messaggio telefonico possono costare salatissime: secondo Kaspersky, le perdite ammontano in media a 770 euro per truffa.
Il rischio dell’impersonificazione dei domini
Per effettuare una verifica dello stato attuale delle difese dal rischio di impersonificazione, Proofpoint ha messo sotto la lente il livello di adozione del protocollo DMARC (Domain-based Message Authentication, Reporting and Conformance), la prima linea difensiva dalle frodi via email, su una lista di domini degli sponsor della Coppa del Mondo.
Negli ultimi anni, infatti, Proofpoint ha osservato i criminal hacker sfruttare sempre più frequentemente una gamma di tattiche per fingersi organizzazioni legittime, allo scopo di centrare i propri obiettivi, invece di compromettere ed infiltrarsi in reti e infrastrutture tecniche delle loro vittime.
Secondo l’indagine di Proofpoint, dei 25 domini esaminati, 24 (96%) hanno pubblicato un record DMARC a livello base: significa che la maggior parte delle aziende ha iniziato la fase di implementazione di protezioni dall’impersonificazione dei domini email.
Però, soltanto 16 dei 25 domini (64%) hanno implementato la protezione attiva del proprio nome con la policy DMARC più solida “reject”, per impedire la consegna di email non autenticate e spoofed.
Dunque, oltre un terzo (il 36%) non riesce ancora a bloccare in modo proattivo le email fraudolente dedicate all’impersonificazione del proprio marchio.
Come proteggersi
DMARC rappresenta un protocollo di autenticazione delle email, nato per tutelare i nomi di dominio dall’abuso da parte di attaccanti, tramite la convalida dell’identità del mittente prima di consentire a un messaggio di raggiungere la propria destinazione.
Infatti DMARC dispone ditre livelli di difesa: monitoraggio, quarantena e reject (che costituisce la modalità più sicura per impedire a messaggi sospetti di arrivare nella casella di posta).
L’adozione di DMARC permette a un’azienda di delineare l’applicazione del trattamento giusto ai messaggi email che sfruttano il suo nome di dominio, nonché della policy in caso di fallimento durante la verifica: accettare il messaggio email (p=nessuna, dove “p” sta per policy), classificarlo come spam (p=quarantena), o eliminarlo (p=reject).
Conviene comunque diffidare di richieste urgenti, non effettuare clic su link ricevuti in messaggi inattesi e verificare sempre l’autenticità delle comunicazioni mediante i canali ufficiali. Inoltre, l’uso dell’autenticazione a più fattori e di password uniche per i servizi online aiuta a ridurre il rischio di violazioni successive.
I tifosi dovrebbero dunque dimostrare particolare cautela in occasione del torneo e adottare i seguenti suggerimenti:
- Il modo più sicuro per l’acquisto dei biglietti è sul sito ufficiale della FIFA, che ha già adottato una policy DMARC completa di tipo ‘reject’.”
- Occorre essere diffidenti verso e-mail, SMS o chiamate non sollecitate, specialmente quelle che imprimono un senso di urgenza o spingono ad eseguire pagamenti immediati.
- Non bisogna mai effettuare condivisioni di informazioni finanziarie o password via email o SMS; nel dubbio, occorre contattare l’azienda tramite i canali ufficiali.
- Impostare una password unica per ogni account ed attivare l’autenticazione multi-fattore (MFA).
“Al di là dei controlli, di canali ufficiali, vale molto di più la diffidenza verso l’occasione troppo perfetta. Per restare in una metafora calcistica, nel digitale il gol più pericoloso è quello che subiamo prima ancora di essere scesi in campo”, conclude Curioni.
