North Korean hackers: half of tech attacks in 2026

The CrowdStrike Report: The Numbers Redefining the Threat

In June 2026, TechCrunch reported on CrowdStrike's findings su uno dei fenomeni più sottovalutati della cybersecurity globale. Gli attori nordcoreani sono responsabili di circa il 50% degli attacchi informatici registrati nel settore tech negli ultimi dodici mesi. Pertanto, si tratta di una quota straordinaria, che supera di gran lunga quella attribuita ad altri gruppi state-sponsored.

Inoltre, il perimetro geografico della minaccia si è ampliato. Le campagne non colpiscono più solo aziende statunitensi. Infatti, Europa e Asia figurano esplicitamente tra i target prioritari. Di conseguenza, il tema entra direttamente nell’agenda delle PMI italiane operanti nel tech, nel manifatturiero avanzato e nei servizi digitali.

I vettori di attacco documentati sono principalmente due. Il primo riguarda lavoratori IT remoti che si infiltrano nelle organizzazioni fingendo di essere freelance o contractor legittimi. Il secondo coinvolge falsi recruiter che contattano dipendenti di aziende target per sottrarre credenziali o installare malware. Dunque, la minaccia non è solo tecnica: è sociale e organizzativa.

Anatomia dell’infiltrazione: come operano i gruppi nordcoreani

Per comprendere la portata del rischio, è utile esaminare le tecniche operative documentate. I gruppi nordcoreani — spesso classificati sotto l’ombrello Lazarus Group e cluster affiliati — combinano ingegneria sociale avanzata con competenze tecniche elevate. In particolare, sfruttano piattaforme di lavoro remoto globali per inserirsi come dipendenti o collaboratori.

According to the analysis of Mandiant (Google Cloud), questi operatori utilizzano identità false costruite nel tempo, con portfolio credibili e referenze verificabili. Così, superano i controlli standard di molte aziende. Una volta all’interno, esfiltrano dati, installano backdoor o sabotano sistemi critici.

Altresì rilevante è la tattica dei falsi recruiter. Tramite LinkedIn e altre piattaforme professionali, contattano ingegneri e sviluppatori con offerte di lavoro allettanti. In seguito, inviano file infetti mascherati da test tecnici o documenti contrattuali. Nonostante ciò, molte organizzazioni non hanno ancora aggiornato i propri protocolli di onboarding e selezione per includere verifiche di sicurezza adeguate.

Perché le PMI italiane non sono immuni

Esiste una percezione diffusa nelle piccole e medie imprese italiane: «siamo troppo piccoli per essere un target». Questa convinzione è, di fatto, pericolosa. Infatti, i gruppi nordcoreani non cercano necessariamente grandi bottini finanziari immediati. Spesso puntano a costruire posizioni di accesso persistente, da monetizzare o da utilizzare come testa di ponte verso supply chain più ampie.

Pertanto, una PMI tech italiana che collabora con multinazionali europee o americane diventa automaticamente un anello potenzialmente debole. Allo stesso modo, le aziende che assumono sviluppatori tramite piattaforme internazionali — Upwork, Toptal, LinkedIn — sono esposte al rischio di infiltrazione documentato da CrowdStrike.

Tra l’altro, il contesto italiano presenta specificità aggravanti. La cultura della verifica delle identità digitali è ancora poco strutturata. I processi di onboarding remoto raramente includono controlli approfonditi. Inoltre, la formazione del personale non tecnico su tematiche di social engineering rimane insufficiente nella maggior parte delle PMI.

For this reason, we at SHM Studio riteniamo che la cybersecurity debba essere integrata nella strategia digitale complessiva delle imprese, non trattata come un tema separato e delegato esclusivamente all’IT.

Strategic Reading: Beyond the Technical Perimeter

The phenomenon described by CrowdStrike requires reflection that goes beyond firewalls and antivirus software. According to the Gartner Cybersecurity Framework, le organizzazioni più esposte sono quelle che non hanno allineato i processi HR e operativi con le politiche di sicurezza informatica. Dunque, il problema è sistemico.

In particular, three areas are critical for Italian SMEs:

• Gestione delle identità digitali: chi entra nell’organizzazione, con quali credenziali e con quale livello di accesso.
• Remote hiring processes: verifica dell’identità fisica, video-onboarding strutturato, controllo delle referenze su canali indipendenti.
• Safety culture Continuing education for all employees, not just technical teams.

Inoltre, la dimensione della reputazione digitale è spesso trascurata. Un’azienda compromessa da un attore state-sponsored subisce danni che vanno ben oltre la perdita di dati: credibilità verso clienti, partner e investitori viene erosa in modo difficilmente reversibile.

Operational implications: what to do concretely

Tradurre la consapevolezza del rischio in azioni concrete è il passaggio più difficile per molte PMI. Tuttavia, esistono misure accessibili anche senza budget enterprise.

Prima di tutto, è necessario rivedere i processi di verifica dell’identità per collaboratori remoti. Questo include video-call obbligatorie con documento d’identità, verifica delle referenze tramite canali diretti e utilizzo di strumenti di background check certificati.

Subsequently, the principle must be implemented least privilege: ogni collaboratore accede solo alle risorse strettamente necessarie al proprio ruolo. Di conseguenza, un’eventuale compromissione rimane circoscritta e non si propaga all’intera infrastruttura.

Inoltre, la formazione sul phishing e sul social engineering deve diventare periodica e obbligatoria. Le simulazioni di attacco — phishing simulation — sono strumenti efficaci e relativamente economici. Infine, l’adozione di soluzioni di Multi-Factor Authentication (MFA) On all critical systems, the measure with the best cost-benefit ratio available today remains.

On the digital presence front, integrated AI solutions che SHM Studio develops for SMEs also include monitoring and anomaly detection components applicable to digital workflows. Similarly, a Secure and up-to-date web architecture reduces the exposed attack surface.

The still-open construction site: what's missing in the Italian debate

Nel dibattito pubblico italiano sulla cybersecurity manca ancora un elemento fondamentale: la connessione esplicita tra sicurezza informatica e competitività digitale. Spesso le due conversazioni avvengono in silos separati. Tuttavia, un’impresa che subisce una violazione significativa non perde solo dati: perde posizionamento competitivo, contratti e fiducia.

Perciò, la cybersecurity dovrebbe entrare nelle conversazioni sul digital marketing, on, on the SEO e sulla trasformazione digitale complessiva. Non è un tema separato. È una condizione abilitante per qualsiasi strategia di crescita digitale sostenibile.

Tra l’altro, le piattaforme su cui le PMI costruiscono la propria visibilità — da LinkedIn to the systems Google Ads — sono anche vettori di attacco documentati. Quindi, chi gestisce queste piattaforme deve essere consapevole dei rischi associati.

Finally, the Strategic copywriting and institutional communication can play an active role in building a safety culture: clear messages, understandable policies, effective internal communication. These tools are part of a healthy digital ecosystem.

Outlook 2027-2028: The Threat Evolves

Le proiezioni per i prossimi due anni non sono rassicuranti. Infatti, i gruppi nordcoreani stanno integrando strumenti di intelligenza artificiale generativa per rendere le identità false ancora più credibili. Deepfake video, profili sintetici e conversazioni automatizzate abbasseranno ulteriormente le barriere di rilevamento.

According to the analyses of MIT Technology Review, il modello del “IT worker infiltrato” è destinato a scalare significativamente. Di conseguenza, le PMI che non strutturano oggi i propri processi di verifica si troveranno in una posizione sempre più difficile nel biennio 2027-2028.

Per questo motivo, investire ora in processi, formazione e architetture sicure non è un costo: è una forma di protezione del capitale digitale costruito nel tempo. Chi desidera approfondire questi temi o valutare la propria esposizione può Contact the SHM Studio team for a consultative comparison. Further resources and insights are available in the SHM Studio Blog.