Falsi colloqui su LinkedIn, l’intelligence occidentale: dietro c’è la Corea del Nord

L’allarme era stato lanciato a metà agosto dall’Agenzia per la cybersicurezza nazionale. Ora le informative di intelligence puntano sul mandante: Pyongyang. Il Dipartimento di Stato Usa: «I lavoratori informatici nordcoreani si spacciano per cittadini di altri paesi per ottenere lavoro e reddito attraverso piattaforme online gestite da aziende private per l’assunzione»

Un colloquio di lavoro può diventare una porta d’ingresso. Non in un’azienda, ma nei suoi sistemi informatici. È questa la tecnica finita sotto la lente dell’intelligence occidentale: falsi recruiter contattano professionisti attraverso LinkedIn, costruiscono un rapporto di fiducia e cercano di aprire un varco nelle reti di imprese e Pubbliche amministrazioni, anche italiane. Dietro l’operazione, secondo le informative, ci sarebbe la Corea del Nord.

Il rischio non si ferma al singolo computer. Un accesso può consentire di sottrarre informazioni, alimentare attività di spionaggio industriale o penetrare più in profondità nella filiera, fino a raggiungere soggetti pubblici e infrastrutture.

L’Agenzia per la cybersicurezza nazionale lo aveva già reso noto pubblicamente a metà agosto. Adesso emerge il livello successivo: l’attribuzione dell’attività a Pyongyang. Un passaggio che inserisce i falsi colloqui su LinkedIn dentro un quadro molto più ampio, quello della pressione cyber esercitata sull’Occidente da gruppi collegati ad apparati statali.

Il 17 agosto l’Acn aveva definito i falsi colloqui un «fenomeno sempre più insidioso» attraverso LinkedIn. L’allarme era stato rilanciato anche su Rai 1 dall’ammiraglio Gianluca Galasso, direttore del Servizio operazioni Csirt Italia (l’organismo con il compito di prevenire, gestire e rispondere agli incidenti di sicurezza informatica) dell’Agenzia.

Il punto non è la piattaforma in sé, ma l’uso che ne viene fatto. Secondo Acn, questi contatti «possono essere utilizzati da cybercriminali per entrare in contatto con le vittime e avviare attacchi informatici contro amministrazioni e infrastrutture».

La prima barriera resta quindi il comportamento dell’utente. Da qui il sollecito dell’Agenzia all’importanza di «richiamare l’importanza fondamentale di verificare sempre offerte, interlocutori e richieste online, soprattutto nel caso di dati personali, documenti, credenziali o installazione di software».

È proprio l’installazione di software il passaggio più delicato: il falso colloquio può trasformarsi nello strumento per introdurre codice malevolo nei sistemi della vittima e tentare di muoversi successivamente all’interno della rete.

Le informative occidentali avrebbero ora individuato nella Corea del Nord il mandante di queste attività. E il modello descritto coincide con una strategia già ricostruita dalle autorità statunitensi.

Secondo il Dipartimento di Stato americano, «la Corea del Nord si affida a una rete di esperti informatici, dislocati sia all’interno che all’esterno del Paese, per ottenere false identità e guadagnare a distanza, finanziando così i suoi illegali programmi nucleari e missilistici».

Il sistema non passa soltanto attraverso attacchi informatici tradizionali. Pyongyang utilizza anche personale IT che cerca di entrare nelle aziende straniere sotto falsa identità.

«I lavoratori informatici nordcoreani si spacciano per cittadini di altri paesi per ottenere lavoro e reddito attraverso piattaforme online gestite da aziende private per l’assunzione, gli appalti e la stipula di contratti di servizi. Questi lavoratori cercano contratti con l’intento di trasferire i propri stipendi alle agenzie nordcoreane per cui lavorano. Rappresentano inoltre una minaccia interna per le aziende e sono coinvolti nell’esfiltrazione di dati, nel furto di criptovalute e nel furto di informazioni sensibili. I lavoratori informatici nordcoreani impiegano metodi sempre più sofisticati, tra cui l’integrazione dell’intelligenza artificiale, per occultare la propria identità ed espandere le proprie attività a livello globale».

Il vantaggio per il regime è doppio: ottenere risorse economiche e, nello stesso tempo, creare possibili punti di accesso dentro organizzazioni straniere.

La pista nordcoreana si inserisce in un fenomeno ormai strutturale. Nei rapporti occidentali sulla cybersicurezza ricorrono gruppi hacker descritti come collegati ad “attori statuali”: dietro questa formula compaiono soprattutto Russia, Cina e Corea del Nord.

Nel luglio 2026 Stati Uniti e altri Paesi alleati hanno attribuito al gruppo russo Laundry Bear una campagna di cyberspionaggio nata contro obiettivi ucraini e poi allargata a Stati della Nato. Gli hacker hanno sfruttato vulnerabilità nei sistemi di posta elettronica per sottrarre email e informazioni sensibili.

Sul fronte cinese, ad agosto le autorità americane hanno collegato a soggetti ritenuti vicini ai servizi di intelligence e alle strutture militari di Pechino una vasta attività contro amministrazioni pubbliche, laboratori energetici, aziende della difesa, istituzioni finanziarie e università. La Cina ha respinto le accuse.

La Corea del Nord presenta invece una peculiarità: il cyber non serve soltanto a raccogliere intelligence, ma anche a produrre denaro. Microsoft segnala attività legate alle criptovalute e all’inserimento di lavoratori IT sotto falsa identità nelle aziende straniere.

Il dato italiano è rilevante. Nel Digital Defense Report 2025 di Microsoft, l’Italia risulta il secondo Paese per notifiche relative ad attività attribuite ad attori nordcoreani, con il 13%, dietro agli Stati Uniti.

Il confine tra criminalità informatica, spionaggio e strategia statale diventa così sempre più sottile. E la minaccia può partire da un’infrastruttura critica, da una casella di posta vulnerabile oppure, molto più semplicemente, da una proposta di lavoro ricevuta su LinkedIn.