Un ricercatore greco in ambito sicurezza avrebbe trascorso 22 mesi all’interno dei server di hacker nordcoreani. Ne è uscito con una lista di 1.640 organizzazioni vittime in 57 paesi.
Vangelis Stykas è chief technology officer presso la società di sicurezza Kumio. Ha presentato i risultati questa settimana al Black Hat di Las Vegas.
Come i cacciatori sono diventati prede
Stykas ha invertito l’ordine consueto. È riuscito a infiltrarsi nei server di comando e controllo che le crew utilizzano per gestire i loro malware.
In alcuni casi è arrivato anche sui loro computer personali. Gli stessi hacker avevano infettato queste macchine.
Poi è semplicemente rimasto lì. Per quasi due anni li ha osservati al lavoro e ha registrato ogni nuova vittima appena compariva.
Ha raccolto circa cinque terabyte di dati. I dati includevano chiavi di sviluppo, codice sorgente privato e anche messaggi Slack e Discord delle crew.
È questo accesso che rende il conteggio attendibile. La maggior parte dei report sulle minacce stima le vittime dall’esterno.
Questa volta sono state contate direttamente dai file degli attaccanti. Delle 1.640 organizzazioni, Stykas considera da 700 a 800 come seriamente compromesse.
Seguici su X per ricevere le ultime notizie in tempo reale
In questi casi le crew avevano accesso root ai server, permessi root su Amazon Web Services (AWS), oppure chiavi di wallet crypto.
Un’offerta di lavoro era l’unica falla di cui avevano bisogno
Nessuna vulnerabilità software ha aperto quelle porte. Lo ha fatto un’offerta di lavoro.
Gli sviluppatori venivano contattati per ruoli senior e offerte economiche allettanti. Poi venivano invitati a svolgere un test di coding a casa. Il test installava il malware.
Ricercatori di Palo Alto Networks hanno chiamato questo schema “Contagious Interview” già a novembre 2023. Da allora, cinque società di sicurezza hanno seguito la stessa crew usando sei nomi diversi.
Microsoft ha spiegato in dettaglio la propria analisi nel marzo 2026, collegando la catena a pacchetti di codice fasulli su GitHub, GitLab e Bitbucket.
Aprirne uno tramite Visual Studio Code attiva una richiesta di attendibilità. Se si approva, l’editor esegue il codice degli attaccanti.
“Inserendo la consegna di malware mirati direttamente in strumenti per colloqui, esercizi di coding e processi di valutazione che gli sviluppatori considerano affidabili, gli attori malevoli sfruttano la fiducia che i candidati ripongono nel processo di assunzione”, si legge in un estratto dal blog di sicurezza Microsoft del marzo 2026.
I backdoor poi cercano una breve lista della spesa. Microsoft cita token API, credenziali cloud, chiavi di firma, wallet crypto e file di gestori di password.
L’assunzione resta un punto debole ricorrente. Consensys ha scoperto un sviluppatore nordcoreano nascosto nel proprio team, dopo un solo mese di lavoro sul codice di MetaMask.
Un contractor, trenta porte d’ingresso
L’esca è economica. Il risultato no.
Stykas ha scoperto contractor in possesso di credenziali attive per ben 30 aziende. Un solo laptop infetto si trasformava in trenta ingressi diversi.
Il Boston Children’s Hospital ricalca questo schema. Stykas ha ricondotto l’esposizione dei dati a un dispositivo personale di un ex contractor.
L’ospedale contesta questa versione. Sostiene di aver revocato le credenziali nel giro di poche ore e di non aver riscontrato alcun accesso ai propri sistemi.
Le crew inoltre erano selettive. Avrebbero potuto accedere a cartelle cliniche e database criminali, ma hanno ignorato entrambi.
Hanno cercato invece wallet e accessi alle blockchain. Coinbase e Uniswap Labs sono tra le organizzazioni che hanno agito in seguito agli avvisi ricevuti.
Questa disciplina emerge anche nei numeri. Le crew legate alla Repubblica Popolare Democratica di Corea (DPRK) hanno rubato 2,02 miliardi di dollari in asset digitali nel 2025.
CrowdStrike ha registrato un aumento del 51% in un solo anno. Segnala inoltre una crew battezzata GOLDEN CHOLLIMA per aver usato strategie di reclutamento per raggiungere cloud fintech.
È questa la catena che Stykas ha osservato dall’interno. La via umana continua a prevalere.
TRM Labs ha collegato il furto di 285 milioni di dollari su Drift Protocol di aprile a incontri di persona tra prestanome nordcoreani e dipendenti.
Due attacchi hanno provocato il 76% delle perdite del 2026 pur rappresentando solo il 3% degli incidenti. Il totale accumulato da Pyongyang ora supera i 6 miliardi di dollari dal 2017.
Stykas afferma che nuove vittime continuano ad emergere. La maggior parte delle organizzazioni avvisate non ha mai risposto, motivo per cui gruppi come Crypto ISAC oggi condividono intelligence sulle minacce della DPRK invece.
