L’evoluzione verso l’agentic commerce e l’adozione di strumenti autonomi basati sull’intelligenza artificiale hanno reso il settore del commercio il principale bersaglio dei criminali informatici a livello globale, secondo l’ultimo State of the Internet Report di Akamai “Securing the agentic storefront: attacks on commerce“.
Il report evidenzia che, a dicembre 2025, quasi la metà di tutto il traffico del settore del commercio osservato sulla rete globale di Akamai sia costituito dai bot basati sull’AI. Inoltre, il settore continua a subire un aumentodi attacchi DDoS (Distributed Denial-of-Service) a livello delle applicazioni, un aumento degli attacchi alle applicazioni web e una pericolosa riduzione del divario tra gli attacchi alle applicazioni tradizionali e gli exploit mirati alle API.
“Stiamo proteggendo una frontiera digitale in cui il “cliente” è sempre più un agente AI che opera per conto dell’utente umano”, ha affermato Patrick Sullivan, Chief Technology Officer del reparto Security Strategy di Akamai. “Questo report rivela come e perché i responsabili della sicurezza devono adottare una “prontezza agentica” per progettare siti in grado di accogliere l’intelligenza artificiale legittima, bloccando, al contempo, in modo aggressivo i bot dannosi”.
Secondo Pam Lindemoen, Chief Security Officer e vicepresidente del reparto Strategy di RH-ISAC, gli agenti di shopping autonomi basati sull’intelligenza artificiale stanno creando problemi di isolamento dei segnali perché imitano perfettamente i micro-comportamenti umani. Ora, i criminali informatici utilizzano tattiche di hijacking degli agenti per compromettere gli assistenti AI legittimi e violare le credenziali memorizzate per i pagamenti. Inoltre, i criminali informatici stanno implementando Large Language Models per creare frodi di identità sintetiche sotto forma di account “Frankenstein” in grado di bypassare facilmente i sistemi di difesa statici.
Guidati dallo sviluppo dei modelli LLM, i crawler di addestramento dell’AI rappresentano oltre il 70% dei fattori scatenanti dei bot basati sull’AI nel settore del commercio. OpenAI, ByteDance e Anthropic si classificano come i primi tre bot basati sull’AI che sono stati osservati. Le aziende che operano nel settore del commercio hanno inserito più del 90% delle loro attività dei bot basati sull’AI nella categoria da monitorare, ma hanno consentito ai tre quarti delle attività rimanenti di passare senza restrizioni, esponendosi così ai rischi correlati.
Gli attacchi web sferrati contro le API sono aumentati del 9% su base annua. Infatti, lo studio sull’impatto della sicurezza delle API nel 2026 di Akamai ha rivelato che l’85% degli intervistati che operano nel settore del commercio ha subito almeno un incidente relativo alle API nell’ultimo anno, ma solo il 22% di essi sa quali delle loro API rendono visibili dati sensibili.
Il settore del commercio è stato preso di mira dagli attacchi DDoS Level 7 quasi 3 trilioni di volte nel 2025 e l’84% di questo volume è stato registrato nel segmento verticale del retail. I criminali informatici utilizzano le botnet HTTP per inondare le API durante i picchi di traffico nelle festività, per esaurire le risorse dei server delle app e per bloccare le vendite.
Tra novembre 2025 e aprile 2026, il malware ha rappresentato il 56,5% degli attacchi osservati contro gli endpoint, seguiti dal phishing. Il volume medio giornaliero di attacchi di phishing tra i clienti del settore del commercio è salito vertiginosamente dai 56.600 registrati a febbraio alla cifra di 134.600 osservata ad aprile in quanto questa tecnica viene utilizzata come “materia prima” principale per sferrare attacchi per il controllo degli account e il furto di punti fedeltà.
Nord America e area EMEA hanno registrato un modesto aumento dei bot, ma un volume significativo di attacchi web nel periodo delle festività, con un numero di attacchi bot basati sull’AI in Nord America pari a 33 miliardi.
In APAC e America Latina l’attività dei bot è aumentata del 63% in APAC e del 48% in America Latina. La frammentazione del settore dei viaggi e dei programmi fedeltà ha reso l’APAC un obiettivo primario per gli attacchi bot e DDoS Level 7.
