Lazarus usa IA generativa e crittografia post-quantistica in FlashHole
Il gruppo nordcoreano Lazarus ha combinato intelligenza artificiale generativa e crittografia post-quantistica all'interno di una campagna di attacco reale, battezzata Operazione FlashHole. L'analisi è stata presentata dal team GReAT della società di sicurezza Kaspersky al Security Analyst Summit di Bali.
- Kaspersky ha presentato l'Operazione FlashHole, attribuita al gruppo nordcoreano Lazarus.
- Identità professionali e fototessere false create con IA generativa su GitHub.
- Comunicazioni protette con crittografia post-quantistica; bersagli in telecomunicazioni, ingegneria e software.
Chi è Lazarus e che cosa ha fatto
Lazarus è un gruppo sponsorizzato dallo Stato nordcoreano e operante sotto il Reconnaissance General Bureau, l'intelligence militare di Pyongyang. A differenza di altre strutture di spionaggio statale, unisce il furto di segreti industriali alla criminalità economica: secondo l'analisi, le operazioni digitali sono diventate uno strumento di autofinanziamento del regime e dei suoi programmi missilistici e nucleari, in violazione delle sanzioni ONU. Nel suo curriculum ci sono l'attacco a Sony Pictures, il ransomware WannaCry, le rapine alle banche attraverso la rete SWIFT, i colpi da centinaia di milioni di dollari alla finanza decentralizzata e campagne di infiltrazione come Operation DreamJob e Cascade Hole.
FlashHole si inserisce in questa traiettoria, ma con due novità. La prima riguarda l'accesso iniziale: usando modelli di intelligenza artificiale generativa, cioè sistemi capaci di produrre testi e immagini realistiche, gli attaccanti hanno costruito su piattaforme legittime come GitHub identità professionali sintetiche senza errori evidenti, complete di fototessere generate artificialmente. In questo modo i tradizionali programmi di formazione aziendale, basati sul riconoscere incongruenze visive o linguistiche, perdono gran parte della loro efficacia.
Il salto della crittografia post-quantistica
La seconda novità riguarda le comunicazioni. La crittografia post-quantistica comprende algoritmi progettati per resistere ai futuri computer quantistici. Finora il tema era trattato come una scadenza regolatoria lontana, legata allo scenario Harvest Now, Decrypt Later, cioè intercettare oggi flussi cifrati per decifrarli domani. FlashHole ribalta la prospettiva: sono gli attaccanti ad aver adottato per primi questi algoritmi, per proteggere le proprie operazioni offensive e rendere di fatto indecifrabili le loro comunicazioni, oggi e in futuro.
Perché conta
I settori nel mirino sono telecomunicazioni, ingegneria e software, comparti in cui l'industria italiana è ben rappresentata, spesso con aziende fornitrici di gruppi più grandi. Un'infiltrazione in un fornitore può diventare la porta d'ingresso verso clienti strategici.
Secondo l'analisi, lo scenario non riguarda più soltanto i responsabili della sicurezza informatica e i consigli di amministrazione, ma chiama in causa le agenzie nazionali di cybersicurezza, le autorità di regolazione e i decisori politici. Il messaggio pratico è che le difese fondate sul buon senso di chi legge un messaggio sospetto non bastano più, e che la migrazione verso standard crittografici resistenti al quantistico non è un esercizio teorico da rinviare.
Fonti
- Agenda Digitale: Lazarus cambia la guerra cyber: i rischi per l’industria italiana
