Il 47% degli attacchi statali al tech viene da Pyongyang

Un candidato perfetto per una posizione remota di sviluppatore software: curriculum solido, colloquio video convincente, documenti in regola. Dietro lo schermo, però, non c'è né il volto né il nome reali. È Famous Chollima, il gruppo hacker nordcoreano che — secondo quanto riportato da TechCrunch che cita il Technology Threat Landscape Report 2026 di CrowdStrike — ha eseguito il 47% di tutti gli attacchi sponsorizzati da stati contro il settore tecnologico tra aprile 2025 e maggio 2026. La tecnica: deepfake generati in tempo reale e identità false per infiltrare lavoratori IT nelle aziende.

Il metodo: colloqui falsi, stipendi veri

Secondo TechCrunch, che cita il report CrowdStrike, Famous Chollima utilizza l'intelligenza artificiale generativa per produrre deepfake in tempo reale che sostituiscono i volti di persone reali durante le videoconferenze di colloquio. A queste immagini sintetiche associa documenti d'identità contraffatti — passaporti e patenti rubate — per fingersi cittadini americani o di altre nazionalità.

Una volta assunti, i falsi lavoratori IT percepiscono stipendi che vengono inviati al regime nordcoreano, mentre contemporaneamente sottraggono proprietà intellettuale e, se scoperti, minacciano estorsioni. L'operazione converte il recruiting da remoto in un vettore di infiltrazione diretta: l'attaccante entra con credenziali valide e accesso autorizzato ai sistemi interni.

Quasi la metà degli attacchi statali: il dato e i suoi limiti

Il 47% è una quota maggioritaria nel panorama degli attacchi sponsorizzati da stati contro il settore tecnologico nel periodo considerato. A confronto, attori cinesi sono responsabili di oltre il 58% delle intrusioni statali contro il comparto, secondo la stessa analisi CrowdStrike riportata da Hardware Upgrade. I due dati non sono mutualmente esclusivi: coprono periodi parzialmente diversi e categorie di attacco che possono sovrapporsi.

Va dichiarato esplicitamente il limite della catena di provenienza: il Technology Threat Landscape Report 2026 di CrowdStrike non è stato consultato direttamente da questo articolo. Tutte le citazioni passano attraverso fonti editoriali — TechCrunch in primo luogo, Cryptonomist e Hardware Upgrade come ripresa — che ne filtrano contenuto e contesto. Non è chiaro se il 47% si riferisca al settore tech globalmente o specificamente a quello statunitense: TechCrunch parla di "U.S. tech companies", mentre altre fonti generalizzano.

"Famous Chollima accounted for 47% of all state-backed activity targeting the tech sector" — CrowdStrike, riportato da TechCrunch il 10 giugno 2026

Cosa fare adesso

Le implicazioni del caso Famous Chollima puntano a misure specifiche di verifica dell'identità nel recruiting remoto. Le aziende tech che assumono posizioni IT da remoto — il profilo esatto bersagliato dal gruppo — devono trattare il processo di autenticazione candidato come controllo di sicurezza, non solo amministrativo.

La verifica biometrica in tempo reale, con sfide che un deepfake non può risolvere (movimenti casuali, risposte a domande improvvise), rappresenta una contromisura documentata nel contesto. La validazione incrociata dei documenti d'identità con database governativi, dove disponibile, riduce il rischio di passaporti e patenti rubate. La segmentazione dell'accesso per i nuovi assunti remoti, con permessi minimi nelle prime settimane, limita l'esposizione se un infiltrato supera i controlli iniziali.

Non è documentato nel brief se queste tecniche siano in uso operativo continuo o in fase sperimentale da parte di Famous Chollima. La fonte non specifica la scala dell'operazione in termini di numero di infiltrati o aziende compromesse.

Il contesto: un solo gruppo, una quota straordinaria

Famous Chollima non è l'unico attore nordcoreano attivo nel cyberspazio, ma è quello che concentra la quota più alta di attacchi statali contro il settore tech nel periodo analizzato. La distinzione con altri gruppi documentati — Kimsuky, APT45 — non è chiarita nelle fonti disponibili: possibili sovrapposizioni di nomenclature non sono verificate.

Il caso rimarca una transizione qualitativa nelle tecniche di infiltrazione. Non è più necessario compromettere un endpoint esterno: l'attaccante diventa l'endpoint, con credenziali valide. La superficie di attacco si sposta dal perimetro tecnologico al processo di verifica dell'identità.

Adam Meyers, Head of Counter Adversary Operations di CrowdStrike, ha sintetizzato il contesto in una dichiarazione riportata da Hardware Upgrade: "Le aziende del settore tecnologico stanno creando gli asset più preziosi e più presi di mira al mondo. Ogni innovazione nell'IA crea al tempo stesso un vantaggio competitivo e una nuova superficie di attacco". La citazione — generica sul settore tech, non specifica su Famous Chollima — descrive il quadro in cui il 47% si colloca.

Chiusura

Il dato del 47% non indica che la Corea del Nord "conquisti" il settore tech. Indica che un gruppo specifico, con tecniche specifiche, ha raggiunto una quota maggioritaria in una categoria specifica di attacchi in un periodo specifico. La precisione conta: il brief non supporta narrazioni di conquista o di dominio assoluto. Supporta un'operazione sofisticata, documentata, che sfrutta l'AI generativa per creare identità false convincenti e infiltrare le aziende dal loro punto più vulnerabile: l'assunzione.