Hacker nordcoreani sempre più pericolosi: otto gruppi usano l’IA per accelerare gli attacchi, l’allarme di Microsoft
Gli hacker nordcoreani non hanno bisogno di affidare completamente gli attacchi alle macchine per diventare più pericolosi. Basta usare l’intelligenza artificiale per preparare messaggi credibili, inventare identità professionali, analizzare le vittime e sviluppare strumenti malevoli in meno tempo. È quanto emerge da un rapporto di Microsoft Threat Intelligence pubblicato il 29 ottobre 2026, che identifica otto gruppi collegati alla Corea del Nord impegnati a integrare l’IA nelle proprie operazioni.
La scoperta riguarda direttamente anche aziende, sviluppatori e professionisti che lavorano con criptovalute, intelligenza artificiale e software. False offerte di lavoro, colloqui manipolati, documenti PDF costruiti su misura e repository GitHub compromessi sono alcune delle tecniche descritte. Il rischio non è quello di fantomatici robot hacker completamente autonomi: gli attacchi restano diretti da persone, ma l’IA ne aumenta velocità, volume e capacità di adattamento.
Gli otto gruppi nordcoreani individuati da Microsoft
Microsoft ha suddiviso gli attori monitorati in diverse fasi di adozione dell’intelligenza artificiale. Jade Sleet, Coral Sleet e Jasper Sleet sono considerati nella fase più avanzata: hanno già integrato l’IA nelle normali attività operative. Diamond Sleet, Onyx Sleet, Pearl Sleet e Sapphire Sleet stanno accelerando l’impiego di queste tecnologie, mentre Emerald Sleet le utilizza in modo più circoscritto.
Nessuno degli otto gruppi esaminati viene collocato nella fase iniziale o puramente sperimentale. Questo non significa che tutti possiedano le stesse capacità: il rapporto distingue chiaramente tra chi usa l’IA per preparare contenuti e chi l’ha incorporata in processi ripetibili di ricerca, sviluppo e gestione delle operazioni.
Gli obiettivi rimangono sostanzialmente quelli già osservati: ottenere denaro, raccogliere informazioni strategiche e, in alcuni casi, condurre operazioni di disturbo. Tra i bersagli figurano società finanziarie, piattaforme di criptovalute, imprese tecnologiche, catene di fornitura del software, istituzioni pubbliche e organizzazioni educative.
Tre false aziende in una settimana: la trappola delle offerte di lavoro
Tra gli episodi più significativi c’è quello attribuito a Jade Sleet. Tra l’8 e il 12 giugno 2026, il gruppo ha impersonato i selezionatori di una presunta società specializzata nell’analisi della blockchain. Ha contattato professionisti della sicurezza informatica, dell’intelligenza artificiale e della selezione del personale, proponendo opportunità di lavoro apparentemente credibili.
Nello stesso intervallo, gli operatori hanno ripetuto lo schema con altre due aziende fittizie, corredate da infrastrutture e identità digitali coerenti. Microsoft ritiene che l’IA generativa abbia contribuito ad accelerare la preparazione dei profili, la raccolta di informazioni sui bersagli e la personalizzazione dei contatti.
È un metodo particolarmente pericoloso perché sfrutta una situazione ordinaria: ricevere un messaggio da un recruiter non sembra di per sé un attacco informatico. Il problema emerge quando la conversazione conduce a un sito creato appositamente, a una prova tecnica manipolata oppure all’esecuzione di codice sconosciuto.
Oltre 100 PDF ingannevoli: l’IA rende il phishing industriale
Il gruppo Onyx Sleet ha utilizzato un’altra strategia: la produzione rapida di documenti PDF progettati per attirare specifici destinatari. Tra agosto e settembre 2026 Microsoft ha identificato più di 100 file-esca rivolti a utenti sudcoreani.
L’analisi dei metadati ha mostrato che decine di documenti venivano creati in pochi minuti. Per Microsoft, è altamente probabile che il processo fosse supportato da una piattaforma di IA. La velocità consente di preparare numerose varianti e modificarle rapidamente quando una campagna viene individuata o bloccata.
Non significa che ogni PDF ricevuto via email contenga malware. Significa piuttosto che i criminali possono confezionare messaggi e allegati molto più convincenti, adattati al settore professionale e agli interessi di chi li riceve. Il vecchio consiglio di riconoscere il phishing soltanto dagli errori grammaticali è ormai insufficiente.
GitHub e sviluppatori nel mirino: il codice diventa un’esca
Un altro caso riguarda Coral Sleet, che da aprile 2026 avrebbe sviluppato una procedura per inserire componenti malevoli in repository GitHub privati, integrandoli nelle proprie catene di attacco. Microsoft valuta come altamente probabile che la capacità sia stata realizzata con l’aiuto di una piattaforma di programmazione basata sull’IA.
Anche Sapphire Sleet avrebbe impiegato strumenti di sviluppo assistito durante un’operazione dell’agosto 2026 rivolta a sviluppatori dell’ecosistema Rust. Secondo l’analisi, il malware osservato mostrava miglioramenti rispetto alle campagne precedenti, compreso l’uso di compilazione dinamica .NET nelle fasi successive alla compromissione.
Queste tecniche colpiscono un punto delicato della sicurezza: la fiducia nel codice ricevuto da altri. Una prova di assunzione, una dipendenza software o un progetto condiviso possono diventare il veicolo dell’infezione quando vengono eseguiti senza verifiche adeguate.
Leggi anche:
ARTEX: l’intelligenza artificiale entra anche nei test di intrusione
Microsoft ha inoltre osservato Onyx Sleet e Pearl Sleet utilizzare ARTEX, un framework open source che impiega agenti di intelligenza artificiale per attività di penetration testing. Il fatto che uno strumento sia nato per finalità di sicurezza non impedisce che venga impiegato impropriamente da attori ostili.
L’adozione di strumenti agentici indica l’interesse dei gruppi nordcoreani verso sistemi capaci di supportare sequenze operative più articolate. Ma è essenziale non esagerare la portata della scoperta: Microsoft non sostiene che questi otto gruppi abbiano affidato interi attacchi a sistemi autonomi. Le decisioni e gli obiettivi continuano a dipendere da operatori umani.
Il precedente delle criptovalute: migliaia di wallet esposti
L’allarme arriva in un contesto nel quale le attività informatiche attribuite alla Corea del Nord hanno già provocato danni ingenti. Un’indagine della società di sicurezza Expel, citata da Infobae, ha descritto un gruppo denominato HexagonalRodent che avrebbe raccolto informazioni relative a 26.584 portafogli di criptovalute presenti su 2.726 computer di sviluppatori.
I portafogli interessati avrebbero avuto un valore complessivo potenziale fino a 12 milioni di dollari nel periodo esaminato, tra gennaio e marzo 2026. È fondamentale distinguere però tra dati compromessi e denaro effettivamente sottratto: Expel non ha confermato che l’intero importo sia stato rubato.
Il meccanismo descritto coinvolgeva anche false opportunità professionali e prove tecniche infette. Secondo l’indagine, i criminali avrebbero utilizzato strumenti di IA per assistere la preparazione del codice malevolo. Il caso mostra come una campagna possa combinare ingegneria sociale, software dannoso e automazione.
Oltre due miliardi di dollari in criptovalute rubati nel 2025
L’interesse dei gruppi nordcoreani per il settore delle criptovalute non è casuale. Secondo le stime di Chainalysis riportate dalla stampa specializzata, nel 2025 gli hacker attribuiti alla Corea del Nord avrebbero sottratto circa 2,02 miliardi di dollari in criptovalute, compresi circa 1,5 miliardi collegati all’attacco contro Bybit.
Queste cifre riguardano il 2025 e non rappresentano un bilancio dei furti del 2026. Servono a comprendere la posta in gioco: le operazioni informatiche possono generare enormi risorse economiche, e gli strumenti di IA possono rendere più efficiente la preparazione di nuove campagne.
Come difenderti dalle truffe e dagli attacchi potenziati dall’IA
Se lavori nello sviluppo software o nella sicurezza informatica, tratta con particolare attenzione le offerte di lavoro non richieste. Verifica l’esistenza dell’azienda attraverso canali indipendenti, controlla i domini utilizzati e non eseguire progetti o test tecnici sconosciuti sul computer che usi per lavoro o per gestire criptovalute.
Per le aziende è importante applicare il principio del minimo privilegio, proteggere gli account con autenticazione multifattore resistente al phishing, monitorare gli accessi anomali e controllare le modifiche alle dipendenze e ai repository. Gli allegati ricevuti via email devono essere verificati anche quando sembrano personalizzati e perfettamente scritti.
Se possiedi criptovalute, non condividere mai le frasi di recupero e non inserire le chiavi private in siti o strumenti proposti da sconosciuti. Per patrimoni rilevanti, valuta soluzioni di custodia che mantengano le chiavi isolate dal computer utilizzato quotidianamente. Nessuna promessa di impiego o assistenza tecnica giustifica l’accesso ai tuoi wallet.
Infine, ricorda che un videochiamata credibile, una fotografia professionale o un profilo LinkedIn curato non dimostrano l’identità di una persona. L’intelligenza artificiale rende più semplice creare personaggi fittizi coerenti e mantenerli attivi per settimane.
L’IA non ha inventato il cybercrimine: ne sta cambiando la velocità
Il rapporto di Microsoft non descrive un’improvvisa rivoluzione nella quale i computer attaccano da soli. Racconta qualcosa di più concreto: otto gruppi nordcoreani hanno già trovato il modo di utilizzare l’intelligenza artificiale per rendere più rapidi processi che prima richiedevano molto lavoro manuale.
Preparare tre aziende fittizie in pochi giorni, generare decine di documenti mirati in pochi minuti o adattare rapidamente un programma malevolo significa aumentare il numero di tentativi e ridurre il tempo a disposizione delle difese. Per chi riceve un’offerta di lavoro, gestisce un repository o protegge un portafoglio digitale, la conseguenza è chiara: non basta riconoscere gli attacchi di ieri, bisogna verificare con attenzione anche quelli che sembrano perfettamente autentici.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.