Nota editoriale: Questo articolo si basa su report di vendor di sicurezza riportati da fonti editoriali di secondo livello. L'accesso diretto ai report primari non è disponibile.
Famous Chollima ha generato il 47% degli attacchi hacker sponsorizzati da stati contro il settore tecnologico tra aprile 2025 e maggio 2026. Lo riporta CrowdStrike, citato da TechCrunch. Il dato emerge in un quadro più ampio: tre gruppi nordcoreani — Famous Chollima, Kimsuky e APT45 — usano l'intelligenza artificiale generativa con tattiche distinte ma convergenti sul medesimo ecosistema target.
Le rilevazioni, documentate nelle settimane precedenti al 10 agosto 2026, non indicano coordinamento operativo tra i gruppi. Il brief disponibile descrive "competenze complementari", non pipeline unificata o obiettivo identico. Famous Chollima si concentra sul vettore reclutamento remoto; Kimsuky e APT45 operano su fronti tecnici separati.
- Famous Chollima ha generato il 47% degli attacchi statali contro il settore tecnologico tra aprile 2025 e maggio 2026, secondo CrowdStrike riportato da TechCrunch.
- Kimsuky ha sviluppato il malware HelloDoor con assistenza di modello linguistico, con commenti al codice contenenti emoji e errori grammaticali machine-style, documentato da Kaspersky nel maggio 2026.
- APT45 utilizza il "recursive prompting" — migliaia di richieste ripetute a LLM — per analizzare vulnerabilità software, secondo Google Threat Intelligence.
- Famous Chollima genera deepfake in tempo reale e documenti identità fraudolenti per infiltrarsi come lavoratori remoti in aziende tech, secondo CrowdStrike.
- Il Centro Nazionale per la Cybersicurezza della Corea del Sud ha lanciato allarme prospettico su AI "agentica" a giugno 2026.
Il 47% di Famous Chollima: ambiguità geografica non risolta
CrowdStrike traccia gli attacchi "hands-on-keyboard" — intrusioni con operatori umani attivi, non malware automatizzato. TechCrunch riporta la dichiarazione di CrowdStrike: "Famous Chollima accounted for 47% of all state-backed activity targeting the tech sector" nel periodo "April 2025 to May 2026".
TechCrunch titola "US tech industry" ma nel corpo usa "tech sector" senza qualificare l'ambito geografico. La fonte non specifica se il dato sia globale o limitato agli Stati Uniti. Questa ambiguità resta non risolta nel materiale disponibile.
La metodologia CrowdStrike, spiegata da TechCrunch, distingue gli attacchi con interazione umana perché rappresentano "real human hackers conducting malicious and evasive cyber activity, rather than automated malware that traditional security tools can catch". Famous Chollima opera in questa categoria, ma con identità sintetiche: deepfake in tempo reale e documenti fraudolenti sostituiscono l'operatore fisico nelle interazioni con le vittime.
"The cost to create credible identities, automate reconnaissance activities, and accelerate credential theft is now approaching zero" — Adam Meyers, Head of Counter Adversary Operations, CrowdStrike
HelloDoor e le impronte dell'AI nel codice di Kimsuky
Kaspersky ha documentato a maggio 2026 il malware HelloDoor, attribuito a Kimsuky. I commenti al codice contengono emoji e errori grammaticali "machine-style" — pattern riconducibili a output di modelli linguistici. La fonte non specifica quale modello sia stato utilizzato.
Kimsuky ha falsificato documenti identità militari sudcoreani con ChatGPT per phishing a settembre 2025. Ha inoltre colpito infrastrutture di certificazione del governo sudcoreano nella prima metà del 2026; la datazione precisa non è disponibile nel brief.
APT45 e il recursive prompting per analisi vulnerabilità
Google Threat Intelligence documenta che APT45 impiega "recursive prompting": migliaia di richieste ripetute a LLM per testare exploit contro vulnerabilità note. La tecnica scala l'analisi manuale, permettendo a un singolo operatore di coprire più target. È distinta dalla generazione di codice: è un ciclo di verifica automatizzato per affinare output attraverso iterazioni.
Il brief non documenta APT45 o Kimsuky come attivi nel vettore reclutamento remoto. Le tattiche dei tre gruppi rimangono separate nel medesimo ecosistema.
Deepfake e lavoro remoto: il vettore Famous Chollima
CrowdStrike, riportato da TechCrunch, descrive l'uso di "AI to generate real-time deepfake images to spoof the faces of real people, and pair those with fraudulent identity documents like stolen passports and driver licenses to pose as Americans or other foreign nationals".
Il vettore è il reclutamento remoto. I profili professionali costruiti ad arte superano i colloqui video con volti generati in tempo reale. L'accesso come lavoratore legittimo apre porte a codice, infrastrutture e capitali — con motivazioni finanziarie oltre a quelle di intelligence.
Contesto motivazionale: crypto e finanziamento del regime
Gruppi nordcoreani hanno rubato $643 milioni in criptovalute nel primo semestre 2026, pari al 66% delle perdite globali, secondo TRM Labs riportato da The Crypto Gateway. Il dato CrowdStrike Financial Services Threat Landscape Report 2026 cita $2.02 miliardi in asset digitali rubati da attori DPRK-nexus nel 2025, con aumento del 51% anno su anno. Questi dati forniscono contesto motivazionale; il brief non li collega direttamente alle tattiche AI dei tre gruppi.
Cosa cambia
Le seguenti osservazioni sono inferenze redazionali basate sui pattern documentati, non direttamente suggerite dalle fonti.
Genians ha rilevato uso di Ollama, GPT4All, Msty e Cursor AI nelle infrastrutture offensive nordcoreane. La fonte riporta il rilevamento, non ne deriva conseguenze operative. L'adozione di strumenti open source è documentata; la fonte non specifica come questi riducano tracciabilità o automatizzino cicli d'attacco.
Il Centro Nazionale per la Cybersicurezza della Corea del Sud ha lanciato allarme su AI "agentica" a giugno 2026. L'allarme è prospettico: la fonte non conferma attacchi autonomi già avvenuti, ma segnala il rischio di sistemi capaci di "tens of thousands of malicious actions per second".
La convergenza dei tre filoni — malware con assistenza AI, analisi vulnerabilità automatizzata, deepfake per infiltrazione lavorativa — mostra un ecosistema diversificato, non un'operazione coordinata. Il brief non documenta pipeline unificata tra Kimsuky, APT45 e Famous Chollima.
Chiusura
Il dato del 47% posiziona Famous Chollima come attore dominante nel campionario CrowdStrike, ma su un campo ristretto: attacchi statali al settore tecnologico con interazione umana rilevabile. La trasformazione strutturale è nel moltiplicatore AI, non nella sostituzione completa dell'operatore. Deepfake, recursive prompting e assistenza generativa nel codice sono tattiche parallele che allargano la superficie d'attacco più di quanto le procedure di verifica tradizionali siano attrezzate a coprire.
La fonte non specifica se le difese basate su riconoscimento di pattern statici perdano efficacia in questo scenario. L'urgenza operativa rimane un'inferenza non direttamente documentata nel brief disponibile.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://cryptonomist.ch/2026/08/10/cyberattacchi-ai-corea-nord/
- https://en.cryptonomist.ch/2026/08/10/north-korean-ai-cyberattacks/
- https://techcrunch.com/2026/06/10/north-koreans-behind-nearly-half-of-us-tech-industry-hacks-says-crowdstrike/
- https://thecryptogateway.it/ai-hacking-attacchi-crypto-corea-del-nord/
- https://www.bitmat.it/sicurezza/cybercrime-finanziario-hacker-della-corea-del-nord-rubano-2-miliardi-in-criptovalute/
- https://this.weekinsecurity.com/
- https://www.securityweek.com/mandiant-shines-spotlight-on-apt45-behind-north-koreas-digital-military-machine/
- https://www.crowdstrike.com/en-us/blog/why-you-need-ai-and-machine-learning-to-combat-hands-on-keyboard-attacks/
- https://cryptonomist.ch/2026/08/08/hack-bybit-da-1-5-miliardi-di-dollari/