La Corea del Nord non usa più solo email di phishing e attacchi a forza bruta per colpire i suoi obiettivi. Diverse società di sicurezza informatica e agenzie governative hanno documentato una svolta preoccupante: i gruppi hacker legati a Pyongyang stanno costruendo strumenti offensivi con l’aiuto dell’intelligenza artificiale generativa, dando vita a una nuova generazione di cyberattacchi AI della Corea del Nord che uniscono velocità automatizzata e capacità di ingegneria sociale sempre più sofisticate. I gruppi Kimsuky, APT45 e Famous Chollima sono stati sorpresi a usare modelli come ChatGPT di OpenAI e Gemini di Google non come semplici assistenti, ma come componenti operative dei loro attacchi.
Summary
Punti chiave
- Kimsuky ha sviluppato con l’AI il malware HelloDoor, riconoscibile da commenti nel codice pieni di emoji, secondo un report di Kaspersky di maggio 2026.
- APT45 usa il “recursive prompting”, migliaia di richieste ripetute ai modelli linguistici per analizzare vulnerabilità software, documentato da Google Threat Intelligence.
- Famous Chollima ha generato deepfake e profili professionali falsi per infiltrarsi nelle aziende tech, risultando responsabile del 47% degli attacchi hacker statali al settore tecnologico tra aprile 2025 e maggio 2026 secondo CrowdStrike.
- Nel giugno 2026 il Centro Nazionale per la Cybersicurezza della Corea del Sud ha lanciato un allarme sull’AI agentica, capace di eseguire attacchi in autonomia.
- Kimsuky ha colpito le infrastrutture di certificazione del governo sudcoreano ancora a metà del 2026.
Gli hacker nordcoreani passano all’AI generativa
I gruppi legati a Pyongyang trattano oggi i modelli linguistici come infrastrutture operative, non come strumenti sperimentali. Kaspersky, Google Threat Intelligence e CrowdStrike hanno raccolto negli ultimi mesi prove concrete di come l’intelligenza artificiale generativa venga integrata in ogni fase degli attacchi: dalla scrittura del codice malevolo alla creazione di identità false per infiltrarsi nelle aziende target.
Malware su misura costruito con i modelli linguistici
Kimsuky ha usato un modello linguistico per assemblare parte del codice di un nuovo malware, mentre APT45 ha automatizzato l’analisi delle vulnerabilità con richieste massicce e ripetute agli stessi sistemi AI. In entrambi i casi, l’obiettivo è ridurre il lavoro umano necessario per produrre strumenti offensivi funzionanti, comprimendo tempi che prima richiedevano team di sviluppatori specializzati.
Phishing e ingegneria sociale potenziati dall’AI
Non si tratta solo di codice. L’AI viene sfruttata anche per costruire l’inganno che precede l’intrusione: documenti falsi, identità fittizie, messaggi credibili. È qui che il confine tra malware AI Kimsuky e phishing AI Corea del Nord diventa sottile, perché le due tattiche vengono spesso combinate nella stessa campagna.
Le firme AI nei principali gruppi hacker
Ogni gruppo ha sviluppato un proprio uso distintivo dell’intelligenza artificiale, lasciando tracce riconoscibili che i ricercatori hanno potuto analizzare nel dettaglio.
HelloDoor, il malware di Kimsuky con le emoji
Kaspersky ha riportato a maggio 2026 che Kimsuky ha utilizzato un modello linguistico per contribuire alla costruzione di un malware chiamato HelloDoor. Il codice presenta due tratti distintivi tipici dell’assistenza AI: commenti disseminati di emoji e alcuni errori grammaticali coerenti con un testo generato da una macchina piuttosto che scritto da uno sviluppatore madrelingua. Sempre Kimsuky, già a settembre 2025, aveva usato ChatGPT per falsificare documenti d’identità militare sudcoreani, impiegati poi in attacchi di phishing che imitavano istituzioni della difesa per rubare credenziali.
Il prompting ricorsivo di APT45
Google Threat Intelligence ha documentato un approccio diverso da parte di APT45: l’invio di migliaia di richieste ripetitive ai modelli linguistici in quello che i ricercatori chiamano “recursive prompting”. L’obiettivo è sistematico: analizzare vulnerabilità note nei software e verificare se gli exploit esistenti funzionino davvero contro quelle falle, un processo che l’automazione rende scalabile come mai prima.
Deepfake e identità false di Famous Chollima
Famous Chollima ha portato l’ingegneria sociale assistita dall’AI in una direzione diversa. Secondo un report di CrowdStrike, il gruppo genera deepfake e fabbrica profili professionali falsi per candidarsi a posizioni lavorative legittime nel settore tech, sfruttando poi l’accesso ottenuto per spionaggio o furto di dati. I numeri raccontano la portata del fenomeno: le operazioni di Famous Chollima sono state responsabili del 47% di tutti gli attacchi hacker sponsorizzati da uno stato contro il settore tecnologico tra aprile 2025 e maggio 2026.
L’allarme di Seul e la minaccia dell’AI agentica
A giugno 2026 il Centro Nazionale per la Cybersicurezza della Corea del Sud ha avvertito che i gruppi hacker nordcoreani stanno progredendo verso la cosiddetta AI agentica: sistemi capaci di eseguire attacchi in modo autonomo, senza una direzione umana continua. Secondo l’agenzia, questi sistemi potrebbero teoricamente compiere decine di migliaia di azioni malevole ogni secondo, un salto di scala che cambia radicalmente la natura della minaccia.
I ricercatori descrivono l’AI come un vero moltiplicatore di forza per le operazioni nordcoreane: consente campagne più ampie con uno sforzo umano nettamente inferiore. Questo è il punto in cui gli attacchi hacker generativi smettono di essere un semplice aggiornamento tecnico e diventano un cambiamento strutturale nelle capacità offensive di un attore statale.
La Corea del Sud resta l’obiettivo primario per ragioni geopolitiche evidenti, e Kimsuky ha colpito attivamente le infrastrutture di certificazione del governo sudcoreano ancora a metà del 2026. Ma le operazioni cyber nordcoreane non sono mai state guidate soltanto da finalità di intelligence: storicamente sono anche profondamente legate al cybercrimine finanziario, con il Lazarus Group collegato ad alcuni dei più grandi furti di criptovalute della storia. Aggiungere capacità AI a gruppi già specializzati nella criminalità finanziaria alza l’asticella di ciò che possono sottrarre e di quanto velocemente riescono a farlo, un dettaglio che riguarda direttamente anche il settore crypto ed exchange presi di mira in passato.
FAQ
Come usano l’AI i gruppi hacker nordcoreani nei loro attacchi?
Gruppi come Kimsuky, APT45 e Famous Chollima usano l’intelligenza artificiale generativa per sviluppare malware, analizzare vulnerabilità software, falsificare documenti d’identità, creare deepfake e automatizzare interi passaggi degli attacchi.
Cos’è l’AI agentica e perché preoccupa gli esperti?
L’AI agentica indica sistemi capaci di eseguire attacchi informatici in autonomia, ad altissima velocità, senza bisogno di un controllo umano continuo. Questo aumenta il rischio di campagne rapide e su scala molto ampia.
Quale gruppo hacker nordcoreano è stato più attivo contro il settore tecnologico?
Famous Chollima è responsabile del 47% degli attacchi hacker sponsorizzati da uno stato contro il settore tecnologico tra aprile 2025 e maggio 2026, secondo i dati di CrowdStrike.
Quali attività recenti ha condotto Kimsuky usando strumenti AI?
Kimsuky ha sviluppato il malware HelloDoor a maggio 2026, ha falsificato documenti d’identità militare sudcoreani con ChatGPT per campagne di phishing a settembre 2025, e ha colpito infrastrutture di certificazione governative sudcoreane ancora a metà del 2026.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
