Hacker nordcoreani: metà degli attacchi tech nel 2026

Il rapporto CrowdStrike: i numeri che ridefiniscono la minaccia

A giugno 2026, TechCrunch ha riportato le conclusioni di CrowdStrike su uno dei fenomeni più sottovalutati della cybersecurity globale. Gli attori nordcoreani sono responsabili di circa il 50% degli attacchi informatici registrati nel settore tech negli ultimi dodici mesi. Pertanto, si tratta di una quota straordinaria, che supera di gran lunga quella attribuita ad altri gruppi state-sponsored.

Inoltre, il perimetro geografico della minaccia si è ampliato. Le campagne non colpiscono più solo aziende statunitensi. Infatti, Europa e Asia figurano esplicitamente tra i target prioritari. Di conseguenza, il tema entra direttamente nell’agenda delle PMI italiane operanti nel tech, nel manifatturiero avanzato e nei servizi digitali.

I vettori di attacco documentati sono principalmente due. Il primo riguarda lavoratori IT remoti che si infiltrano nelle organizzazioni fingendo di essere freelance o contractor legittimi. Il secondo coinvolge falsi recruiter che contattano dipendenti di aziende target per sottrarre credenziali o installare malware. Dunque, la minaccia non è solo tecnica: è sociale e organizzativa.

Anatomia dell’infiltrazione: come operano i gruppi nordcoreani

Per comprendere la portata del rischio, è utile esaminare le tecniche operative documentate. I gruppi nordcoreani — spesso classificati sotto l’ombrello Lazarus Group e cluster affiliati — combinano ingegneria sociale avanzata con competenze tecniche elevate. In particolare, sfruttano piattaforme di lavoro remoto globali per inserirsi come dipendenti o collaboratori.

Secondo le analisi di Mandiant (Google Cloud), questi operatori utilizzano identità false costruite nel tempo, con portfolio credibili e referenze verificabili. Così, superano i controlli standard di molte aziende. Una volta all’interno, esfiltrano dati, installano backdoor o sabotano sistemi critici.

Altresì rilevante è la tattica dei falsi recruiter. Tramite LinkedIn e altre piattaforme professionali, contattano ingegneri e sviluppatori con offerte di lavoro allettanti. In seguito, inviano file infetti mascherati da test tecnici o documenti contrattuali. Nonostante ciò, molte organizzazioni non hanno ancora aggiornato i propri protocolli di onboarding e selezione per includere verifiche di sicurezza adeguate.

Perché le PMI italiane non sono immuni

Esiste una percezione diffusa nelle piccole e medie imprese italiane: «siamo troppo piccoli per essere un target». Questa convinzione è, di fatto, pericolosa. Infatti, i gruppi nordcoreani non cercano necessariamente grandi bottini finanziari immediati. Spesso puntano a costruire posizioni di accesso persistente, da monetizzare o da utilizzare come testa di ponte verso supply chain più ampie.

Pertanto, una PMI tech italiana che collabora con multinazionali europee o americane diventa automaticamente un anello potenzialmente debole. Allo stesso modo, le aziende che assumono sviluppatori tramite piattaforme internazionali — Upwork, Toptal, LinkedIn — sono esposte al rischio di infiltrazione documentato da CrowdStrike.

Tra l’altro, il contesto italiano presenta specificità aggravanti. La cultura della verifica delle identità digitali è ancora poco strutturata. I processi di onboarding remoto raramente includono controlli approfonditi. Inoltre, la formazione del personale non tecnico su tematiche di social engineering rimane insufficiente nella maggior parte delle PMI.

Per questo motivo, noi di SHM Studio riteniamo che la cybersecurity debba essere integrata nella strategia digitale complessiva delle imprese, non trattata come un tema separato e delegato esclusivamente all’IT.

La lettura strategica: oltre il perimetro tecnico

Il fenomeno descritto da CrowdStrike impone una riflessione che va oltre i firewall e gli antivirus. Secondo il Gartner Cybersecurity Framework, le organizzazioni più esposte sono quelle che non hanno allineato i processi HR e operativi con le politiche di sicurezza informatica. Dunque, il problema è sistemico.

In particolare, tre aree risultano critiche per le PMI italiane:

• Gestione delle identità digitali: chi entra nell’organizzazione, con quali credenziali e con quale livello di accesso.
• Processi di hiring remoto: verifica dell’identità fisica, video-onboarding strutturato, controllo delle referenze su canali indipendenti.
• Cultura della sicurezza: formazione continua per tutti i dipendenti, non solo per i team tecnici.

Inoltre, la dimensione della reputazione digitale è spesso trascurata. Un’azienda compromessa da un attore state-sponsored subisce danni che vanno ben oltre la perdita di dati: credibilità verso clienti, partner e investitori viene erosa in modo difficilmente reversibile.

Implicazioni operative: cosa fare concretamente

Tradurre la consapevolezza del rischio in azioni concrete è il passaggio più difficile per molte PMI. Tuttavia, esistono misure accessibili anche senza budget enterprise.

Prima di tutto, è necessario rivedere i processi di verifica dell’identità per collaboratori remoti. Questo include video-call obbligatorie con documento d’identità, verifica delle referenze tramite canali diretti e utilizzo di strumenti di background check certificati.

In seguito, occorre implementare il principio del least privilege: ogni collaboratore accede solo alle risorse strettamente necessarie al proprio ruolo. Di conseguenza, un’eventuale compromissione rimane circoscritta e non si propaga all’intera infrastruttura.

Inoltre, la formazione sul phishing e sul social engineering deve diventare periodica e obbligatoria. Le simulazioni di attacco — phishing simulation — sono strumenti efficaci e relativamente economici. Infine, l’adozione di soluzioni di Multi-Factor Authentication (MFA) su tutti i sistemi critici rimane la misura con il miglior rapporto costo-beneficio disponibile oggi.

Sul fronte della presenza digitale, le soluzioni AI integrate che SHM Studio sviluppa per le PMI includono anche componenti di monitoraggio e anomaly detection applicabili ai flussi di lavoro digitali. Analogamente, una architettura web sicura e aggiornata riduce la superficie di attacco esposta.

Il cantiere ancora aperto: cosa manca nel dibattito italiano

Nel dibattito pubblico italiano sulla cybersecurity manca ancora un elemento fondamentale: la connessione esplicita tra sicurezza informatica e competitività digitale. Spesso le due conversazioni avvengono in silos separati. Tuttavia, un’impresa che subisce una violazione significativa non perde solo dati: perde posizionamento competitivo, contratti e fiducia.

Perciò, la cybersecurity dovrebbe entrare nelle conversazioni sul digital marketing, sulla SEO e sulla trasformazione digitale complessiva. Non è un tema separato. È una condizione abilitante per qualsiasi strategia di crescita digitale sostenibile.

Tra l’altro, le piattaforme su cui le PMI costruiscono la propria visibilità — da LinkedIn ai sistemi di Google Ads — sono anche vettori di attacco documentati. Quindi, chi gestisce queste piattaforme deve essere consapevole dei rischi associati.

Infine, il copywriting strategico e la comunicazione istituzionale possono svolgere un ruolo attivo nella costruzione di una cultura della sicurezza: messaggi chiari, policy comprensibili, comunicazione interna efficace. Questi strumenti fanno parte di un ecosistema digitale sano.

Prospettive 2027-2028: la minaccia si evolve

Le proiezioni per i prossimi due anni non sono rassicuranti. Infatti, i gruppi nordcoreani stanno integrando strumenti di intelligenza artificiale generativa per rendere le identità false ancora più credibili. Deepfake video, profili sintetici e conversazioni automatizzate abbasseranno ulteriormente le barriere di rilevamento.

Secondo le analisi del MIT Technology Review, il modello del “IT worker infiltrato” è destinato a scalare significativamente. Di conseguenza, le PMI che non strutturano oggi i propri processi di verifica si troveranno in una posizione sempre più difficile nel biennio 2027-2028.

Per questo motivo, investire ora in processi, formazione e architetture sicure non è un costo: è una forma di protezione del capitale digitale costruito nel tempo. Chi desidera approfondire questi temi o valutare la propria esposizione può contattare il team di SHM Studio per un confronto consulenziale. Ulteriori risorse e approfondimenti sono disponibili nel blog di SHM Studio.