Se ti sei perso la nostra recente chiacchierata virtuale “Dietro lo schermo: l'attenzione della Corea del Nord verso DMARC nello spionaggio via email,” o non hai potuto partecipare a causa di restrizioni geografiche, ci pensiamo noi.
Con la partecipazione di esperti di cybersicurezza del Federal Bureau of Investigation (FBI) e della Stanford University, insieme a Red Sift, la sessione ha esplorato come opera il gruppo di cyber-spionaggio nordcoreano Kimsuky. Attore di minaccia persistente avanzata (APT) attivo almeno dal 2012, Kimsuky ha sfruttato politiche mal configurate di Domain-based Message Authentication, Reporting, and Conformance (DMARC) per lanciare campagne di spear-phishing.
Il panel ha visto la partecipazione di Natalie Wilson, Special Agent presso l'FBI; Emily Tinao, Intelligence Analyst presso l'FBI; Dr. Herb Lin, Senior Research Scholar presso la Stanford University e l'Hoover Institute; e Dr. Sean Costigan, Managing Director of Resilience Strategy presso Red Sift. Insieme, hanno fornito approfondimenti cruciali su come rafforzare la sicurezza email per contrastare queste minacce.
Facciamo il punto della situazione
L'obiettivo principale di Kimsuky è utilizzare attività di cyber-spionaggio per raccogliere informazioni piuttosto che causare interruzioni o rubare dati finanziari. Come parte delle sue campagne di raccolta informazioni di lunga data, il gruppo APT ha preso di mira una serie di organizzazioni statunitensi e alleate, come università, think tank e organizzazioni non profit, per raccogliere informazioni geopolitiche sensibili a supporto del regime nordcoreano.
In un avviso congiunto emesso a maggio 2024 da FBI, NSA e Dipartimento di Stato, è stato delineato come Kimsuky abbia utilizzato configurazioni errate di DMARC per accedere a informazioni preziose. Questo spostamento dell'attenzione verso la raccolta di informazioni sensibili su politiche nucleari e sanzioni evidenzia quanto sia importante per le organizzazioni — in particolare università e think tank — proteggere i propri asset digitali.
Attraverso lo spear phishing, il gruppo APT nordcoreano utilizza email altamente personalizzate e ingannevoli progettate per imitare fonti affidabili, come funzionari governativi, giornalisti o alti dirigenti. Questo metodo attira le vittime a cliccare su link o aprire allegati infetti, contenenti malware dannoso o un indirizzo web malevolo.
Lo sfruttamento di DMARC
L'FBI ha sottolineato che il successo di Kimsuky deriva in gran parte dallo sfruttamento di DMARC mal configurato o gestito, aggirando la sicurezza email e consentendo impersonificazioni illegittime. Questo ha permesso a Kimsuky di condurre operazioni di intelligence sempre più sofisticate, allontanandosi dai tradizionali crimini informatici finanziari associati ai gruppi APT nordcoreani. L'FBI ha evidenziato la necessità di una migliore igiene informatica, poiché molte organizzazioni mancano ancora delle configurazioni adeguate necessarie per prevenire questo tipo di attacchi.
Approfondendo le tecniche di spear phishing di Kimsuky, il team dell'FBI ha spiegato che il gruppo spesso si infiltra in reti affidabili e invia email che sembrano provenire da fonti legittime. Questa tattica aiuta Kimsuky a guadagnare la fiducia di obiettivi di alto profilo prima di fornire contenuti dannosi, come link o allegati malevoli. L'FBI ha inoltre sottolineato la necessità per le organizzazioni di prestare attenzione alle proprie politiche DMARC per ridurre le vulnerabilità e impedire che queste campagne di phishing si trasformino in attacchi informatici più ampi.
Una sfida più ampia oltre DMARC
Le tattiche, tecniche e procedure di Kimsuky sollevano preoccupazioni di cybersicurezza più ampie, incluse implicazioni per la sicurezza nazionale e il rischio di operazioni cyber offensive. Il Dr. Lin ha osservato come università e think tank, che generano preziosa proprietà intellettuale e sono visti dagli avversari come strumentali per comprendere o influenzare la politica statunitense, siano obiettivi particolarmente attraenti per Kimsuky e gruppi statali simili. Lin ha sottolineato la necessità per le organizzazioni di dare priorità alla cybersicurezza come parte di una difesa completa contro le minacce informatiche statali.
Il Dr. Costigan ha offerto consigli pratici per le istituzioni, evidenziando che attori di minaccia come Kimsuky cercano attivamente politiche DMARC mal configurate o incomplete da sfruttare. Ha incoraggiato le organizzazioni a rivedere e aggiornare prontamente le proprie impostazioni DMARC, notando che esistono modi efficienti ed efficaci per migliorare la sicurezza email.
Garantire che DMARC sia configurato correttamente non solo aiuta a prevenire gli attacchi di phishing, ma rafforza anche la resilienza complessiva dell'organizzazione. C'è ancora molto margine per migliorare ulteriormente la cybersicurezza. Il recente sondaggio Global Digital Trust Insights 2025 di PwC rivela che solo il 2% ha implementato una resilienza informatica a livello aziendale, nonostante il 77% si aspetti un aumento del budget per la gestione della cybersicurezza. Sul lato positivo, l'adozione di DMARC sta migliorando anche grazie al recente requisito email di Google e Yahoo! per i mittenti di massa e ai mandati globali per la conformità DMARC.
Considerazioni finali e come proteggersi
Sono state trattate numerose informazioni durante la sessione e gli spunti preziosi condivisi da tutti i relatori saranno cruciali per garantire una protezione informatica più forte, in particolare contro attori sofisticati come il gruppo APT. Il Dr. Costigan riassume di seguito i tre punti chiave della sessione:
- Università e think tank creano informazioni sensibili e una notevole proprietà intellettuale. Come tali, sono obiettivi primari per lo sfruttamento informatico da parte di gruppi APT come Kimsuky.
- Gli attori delle minacce sono a caccia di debolezze e opportunità. Approfittare di configurazioni DMARC incomplete o mal configurate rientra pienamente nelle loro competenze, e possiamo aspettarci che sempre più gruppi cybercriminali e APT seguano l'esempio di Kimsuky.
- Se fai parte del team di rischio o cyber della tua istituzione, o anche se sei semplicemente interessato a migliorare la resilienza informatica della tua organizzazione, controlla la tua politica DMARC. Se è inesistente, incompleta o configurata in modo improprio, sappi che esistono mezzi rapidi ed economici per raggiungere la sicurezza.
La chiacchierata ha evidenziato l'urgente necessità di partnership pubblico-private affidabili per aiutare le organizzazioni ad agire contro le minacce APT. L'FBI ha chiesto a università, think tank e organizzazioni non profit di segnalare quando avvertono pressioni da parte di gruppi statali e di migliorare anche le proprie configurazioni DMARC e le pratiche di igiene informatica.
Sebbene le tattiche di Kimsuky si evolvano, spesso si basano su debolezze che possono essere facilmente rafforzate. Misure proattive per proteggere i sistemi email come DMARC possono ridurre significativamente i rischi posti da questi gruppi di minaccia persistente avanzata, rendendo chiaro che protocolli di cybersicurezza robusti non sono opzionali ma essenziali nel panorama digitale odierno.
_________
Conosci i relatori
Natalie Wilson è Special Agent presso una National Security Cyber Squad. Indaga su questioni di intrusione informatica relative a gruppi APT cinesi (PRC) e nordcoreani. Prima di occuparsi di questioni informatiche, Natalie ha avuto una lunga carriera lavorando su indagini di controspionaggio e ha oltre 10 anni di esperienza in indagini su furto di segreti commerciali e spionaggio economico.
Emily Tinao è Intelligence Analyst (IA) presso l'ufficio di New York del Federal Bureau of Investigation. Tinao è entrata nell'FBI nel 2015 e ha lavorato su varie indagini penali e questioni di sicurezza nazionale informatica.
Il Dr. Herb Lin è senior research scholar per la politica e la sicurezza informatica presso il Center for International Security and Cooperation ed è Hank J. Holland Fellow in Cyber Policy and Security presso l'Hoover Institution, entrambi alla Stanford University. I suoi interessi di ricerca riguardano ampiamente le dimensioni politiche della cybersicurezza e del cyberspazio, ed è particolarmente interessato all'uso di operazioni offensive nel cyberspazio come strumenti di politica nazionale e alle dimensioni di sicurezza della guerra dell'informazione e delle operazioni di influenza sulla sicurezza nazionale.
Il Dr. Sean Costigan è Managing Director of Resilience Strategy presso Red Sift, dove supervisiona e fornisce consulenza sulle politiche e strategie globali dell'azienda. Professionista del settore della cybersicurezza, nel 2023 Sean ha ricevuto il Serge Lazareff Prize per i suoi contributi alla NATO.
