CrowdStrike, azienda globale di sicurezza informatica basata sul cloud, ha pubblicato il suo 2025 Threat Hunting Report. Il documento conferma una tendenza già rilevata da molti osservatori: i criminali sfruttano l'AI generativa per realizzare attacchi più insidiosi e, sopratutto, per abbattere i costi.
Tra i protagonisti di questa nuova era cyber, spicca il collettivo nordcoreano Famous Chollima, che ha dimostrato come l'automazione alimentata dall'AI possa moltiplicare exponenzialmente l'efficacia degli attacchi. Il gruppo ha perfezionato un sistema di infiltrazione che sfrutta curriculum vitae generati artificialmente, interviste condotte con deepfake e identità completamente falsificate per superare i processi di selezione aziendale. Diventa così possibile infiltrare l'azienda con un collaboratore che in realtà è un membro della gang criminale. I numeri parlano chiaro: nel corso dell'ultimo anno, questi operatori sono riusciti a penetrare in oltre 320 organizzazioni, registrando un incremento del 220% rispetto al periodo precedente.
La metodologia adottata da Famous Chollima rappresenta l'evoluzione naturale delle minacce insider, dove la tecnologia AI permette di automatizzare l'intero processo di infiltrazione. Dalla creazione di profili professionali convincenti fino all'esecuzione di compiti tecnici durante i colloqui, ogni fase viene orchestrata attraverso strumenti di intelligenza artificiale che rendono praticamente indistinguibili i candidati fraudolenti da quelli autentici.
L'IA come obiettivo degli attacchi
ìParallelamente all'uso offensivo dell'AI, i ricercatori di CrowdStrike hanno identificato un trend preoccupante: gli agenti AI autonomi stanno emergendo come obiettivi prioritari per i cybercriminali. Questi sistemi, progettati per rivoluzionare i flussi di lavoro aziendali, offrono agli attaccanti nuove superfici di attacco particolarmente appetibili. L'accesso non autorizzato agli strumenti di sviluppo di questi agenti consente ai malintenzionati di ottenere credenziali privilegiate, mantenere la persistenza nei sistemi compromessi e distribuire malware o ransomware.
La vulnerabilità di questi sistemi risiede nella loro natura ibrida: mentre automatizzano processi complessi, creano anche nuovi vettori di attacco che i tradizionali sistemi di sicurezza faticano a monitorare efficacemente. Gli attaccanti hanno rapidamente compreso che compromettere un agente AI può fornire accesso a risorse e dati che altrimenti richiederebbero multiple fasi di escalation.
L'analisi di CrowdStrike rivela anche altri usi criminali dell'AI. Per esempio, il gruppo russo Ember Bear ha intensificato le proprie campagne di disinformazione utilizzando contenuti generati artificialmente per amplificare messaggi filo-russi, mentre l'iraniano Charming Kitten ha perfezionato tecniche di phishing basate su modelli linguistici avanzati per colpire organizzazioni statunitensi ed europee.
Particolarmente significativo è l'incremento del 136% negli attacchi cloud registrato nell'ultimo periodo, con il 40% di questi episodi attribuibile a gruppi cinesi. Collettivi come Genesis Panda e Murky Panda hanno dimostrato una particolare abilità nello sfruttare configurazioni cloud errate e privilegi di accesso fidati per eludere i sistemi di rilevamento tradizionali.
Velocità e aggressività: la nuova frontiera
Un elemento che caratterizza questa nuova generazione di attacchi è la compressione temporale delle offensive. Il gruppo Scattered Spider, noto per le sue tecniche di social engineering, è riuscito a ridurre drasticamente i tempi necessari per completare un attacco completo. In alcuni casi documentati, il periodo tra la penetrazione iniziale e il deployment di ransomware si è ridotto a meno di 24 ore, grazie all'utilizzo di tecniche automatizzate di reset delle credenziali e bypass dell'autenticazione multi-fattore.
Questa accelerazione è resa possibile dall'integrazione di strumenti AI che assistono i criminali nella risoluzione rapida di problemi tecnici, nella scrittura di script personalizzati e nello sviluppo di malware. Esempi concreti di questa evoluzione sono rappresentati da minacce come Funklocker e SparkCat, che incorporano elementi di intelligenza artificiale nella loro architettura.
Adam Meyers, responsabile delle operazioni di risposta agli attacchi di CrowdStrike, sottolinea come gli attaccanti stiano applicando agli agenti AI le stesse metodologie utilizzate per compromettere piattaforme SaaS, console cloud e account privilegiati. "Il futuro della cybersecurity aziendale dipenderà fondamentalmente da come le organizzazioni riusciranno a proteggere i propri sistemi di intelligenza artificiale", avverte l'esperto, evidenziando come la protezione dell'AI rappresenti ormai una priorità strategica al pari della sicurezza dei dati tradizionali.
