Falsi colloqui LinkedIn, ACN avverte l’Italia tre anni dopo Matrice Digitale

La scorsa settimana l’Agenzia per la Cybersicurezza Nazionale ha portato all’attenzione del grande pubblico italiano il rischio dei falsi colloqui di lavoro su LinkedIn, spiegando come dietro una proposta professionale apparentemente credibile possa nascondersi una catena di compromissione informatica. Il 17 agosto il direttore del Servizio Operazioni di CSIRT Italia Gianluca Galasso è intervenuto anche su Rai 1 per illustrare il fenomeno, dopo che il tema era già entrato nella comunicazione dell’Agenzia. (Tutto corretto, tutto utile e soprattutto necessario quando una minaccia raggiunge una dimensione tale da richiedere sensibilizzazione nazionale. C’è però un dettaglio che per Matrice Digitale non è secondario e che vale la pena ricordare non per vanità editoriale, ma perché riguarda il senso stesso del giornalismo specializzato: questa storia la raccontavamo più di tre anni fa. Il 13 marzo 2023, quando il falso recruiter nordcoreano su LinkedIn non era ancora diventato un argomento da televisione generalista, veniva pubblicato “Dream Job non è terminato. Lazarus continua con le offerte di lavoro infette”. LinkedIn era già indicato come piattaforma utilizzata per avvicinare le vittime, WhatsApp come possibile passaggio successivo e le offerte professionali come esca per installare malware e ottenere un punto d’appoggio negli ambienti aziendali. Non una profezia, quindi, e nemmeno particolare chiaroveggenza: semplicemente leggere prima ciò che accade nelle nicchie tecniche permette spesso di vedere con anni di anticipo quello che successivamente diventa un problema nazionale.

Nel 2023 LinkedIn era già un’arma nordcoreana

Il precedente del marzo 2023 è particolarmente significativo perché già allora il meccanismo aveva quasi tutti gli elementi che oggi vengono descritti come un rischio emergente. Gli attaccanti attribuiti all’ecosistema nordcoreano avvicinavano specialisti di cybersecurity e professionisti attraverso LinkedIn fingendosi recruiter, spostavano in alcuni casi la conversazione su WhatsApp e utilizzavano documenti e software manipolati per distribuire malware. Dietro quella campagna Mandiant tracciava UNC2970, con sovrapposizioni rispetto alla storica Operation Dream Job e all’ecosistema Lazarus. Tre anni dopo i nomi sono aumentati, le attribuzioni si sono fatte più granulari e le tecniche sono cambiate, ma l’idea strategica non è cambiata affatto: trasformare il processo di selezione del personale in un vettore di accesso informatico. È importante anche non confondere tutte le etichette che nel frattempo sono entrate nel lessico della cybersecurity. Contagious Interview non identifica necessariamente un unico “gruppo hacker” nel senso tradizionale, ma una campagna e un insieme di attività associate all’ecosistema nordcoreano, tracciate dai diversi vendor anche attraverso denominazioni come Famous Chollima, DeceptiveDevelopment o Void Dokkaebi. Il risultato operativo però resta riconoscibile: un recruiter apparentemente legittimo contatta uno sviluppatore, propone un lavoro, sottopone un esercizio tecnico e induce la vittima a eseguire qualcosa che, in qualsiasi altro contesto, probabilmente non avrebbe mai aperto. Nell’analisi dedicata all’evoluzione di Contagious Interview era già evidente quanto il modello si fosse raffinato: repository GitHub e GitLab credibili, progetti Node.js, servizi JSON legittimi utilizzati per distribuire codice e una catena composta da BeaverTail, OtterCookie e InvisibleFerret. Non una mail sgrammaticata con un allegato .exe, ma un colloquio costruito esattamente attorno alle abitudini professionali di uno sviluppatore.

Il colloquio di lavoro è diventato un exploit umano

Il successo di queste campagne dipende proprio dalla capacità di abolire la percezione dell’anomalia. Uno sviluppatore che riceve durante una selezione un repository da clonare non sta compiendo, almeno apparentemente, un’azione insolita. Installare dipendenze, aprire un progetto con Visual Studio Code, eseguire npm install, analizzare codice JavaScript o Python e collegarsi a GitHub sono attività perfettamente coerenti con una prova tecnica. È su questa normalità che si costruisce l’exploit. Nel febbraio 2026 la campagna graphalgo mostrava falsi recruiter che conducevano sviluppatori verso repository GitHub e dipendenze malevole distribuite attraverso npm e PyPI. Ad aprile Void Dokkaebi utilizzava falsi colloqui e repository manipolati per installare BeaverTail e ottenere credenziali e accesso persistente. A luglio Contagious Interview nascondeva malware perfino negli SVG utilizzati durante falsi colloqui. La progressione è evidente: non si tratta di una singola campagna che torna periodicamente, ma di una dottrina di social engineering adattata al mercato globale del lavoro IT. E quando ACN oggi invita sviluppatori e professionisti a non eseguire progetti non verificati sui dispositivi utilizzati per il lavoro, il consiglio è corretto proprio perché dietro quel progetto possono trovarsi token GitHub, chiavi SSH, credenziali cloud, wallet, configurazioni aziendali e accessi VPN. Il computer del candidato non è necessariamente l’obiettivo finale: può essere semplicemente il ponte più economico verso l’azienda.

La Corea del Nord non ha scoperto Internet ieri

C’è poi un problema culturale che accompagna da anni la narrazione occidentale sulla Corea del Nord. Pyongyang continua a essere raccontata nell’immaginario popolare come un Paese tecnologicamente primitivo, isolato e sostanzialmente incapace di confrontarsi con le grandi potenze digitali. È un’immagine rassicurante e sbagliata. La DPRK ha costruito nel tempo un ecosistema cyber nel quale spionaggio, furto di criptovalute, operazioni finanziarie, infiltrazione nel mercato del lavoro e interessi dello Stato tendono a sovrapporsi. Il punto non è attribuire automaticamente ogni campagna a Kim Jong-un, operazione sempre delicata nel cyberspazio, bensì osservare una continuità strategica documentata ormai da anni. La crescita delle operazioni nordcoreane tra furti crypto e infiltrazioni aziendali ha mostrato come il mercato del lavoro sia diventato una componente dello stesso sistema di generazione di valuta e intelligence. Google Threat Intelligence ha descritto il ricorso degli attori DPRK a false interviste di lavoro come uno dei vettori ricorrenti di social engineering, mentre FBI e Dipartimento di Giustizia statunitense hanno documentato la dimensione industriale del fenomeno dei lavoratori IT nordcoreani. Il Dipartimento di Giustizia statunitense ha comunicato nel giugno 2025 operazioni contro una rete che aveva consentito a lavoratori nordcoreani di ottenere impieghi remoti utilizzando identità false o rubate, con oltre cento aziende statunitensi coinvolte secondo gli atti giudiziari. (FBI) Questo è il passaggio che rende riduttivo parlare semplicemente di “truffa LinkedIn”.

Il trucco funziona anche al contrario: il candidato è l’attaccante

Esistono infatti due movimenti speculari. Nel primo il falso recruiter cerca un vero sviluppatore e tenta di infettarlo. Nel secondo un falso sviluppatore cerca un vero datore di lavoro e tenta di farsi assumere. Sono due facce dello stesso problema. Nel settembre 2025 l’analisi su DeceptiveDevelopment e WageMole descriveva proprio questa convergenza: da una parte candidati attaccati con malware, dall’altra operatori nordcoreani che utilizzavano CV falsi, identità sottratte, interviste proxy e manipolazioni dell’immagine per superare i processi di assunzione. Una volta entrati nell’azienda non occorre più violare il perimetro: il perimetro consegna volontariamente account, computer, repository e stipendio all’attaccante. Nel marzo 2026 il caso dei falsi dipendenti in smart working utilizzati per generare fondi per Pyongyang mostrava come identità costruite, conti esteri e strutture di facilitazione permettessero di trasformare il mercato globale del lavoro remoto in un’infrastruttura finanziaria. Un mese dopo le condanne legate alle laptop farm nordcoreane offrivano l’immagine quasi perfetta del sistema: computer aziendali fisicamente presenti negli Stati Uniti e controllati a distanza da lavoratori situati altrove, così da far apparire normale anche la geolocalizzazione della connessione. Ad agosto Matrice Digitale ha documentato persino un esperimento nel quale i ricercatori hanno creato una falsa startup DeFi per osservare dall’interno operatori riconducibili all’ecosistema Famous Chollima, mostrando il ricorso a identità, documenti e strumenti di intelligenza artificiale durante il processo lavorativo.

Dallo stipendio al furto dei segreti industriali

Ridurre tutto alla possibilità che un’azienda paghi per errore lo stipendio a un programmatore nordcoreano significa inoltre perdere il problema più importante. L’assunzione garantisce un accesso legittimo. Un dipendente può vedere documentazione interna, codice sorgente, roadmap di prodotto, infrastrutture cloud, ticket, sistemi CI/CD e proprietà intellettuale. Può lavorare realmente e contemporaneamente raccogliere informazioni. Può creare persistenza, sottrarre dati oppure utilizzare quanto ottenuto per una successiva estorsione. L’FBI ha avvertito esplicitamente che i lavoratori IT nordcoreani hanno ampliato le proprie attività fino alla data extortion e all’esfiltrazione di dati proprietari, mentre le indagini federali hanno documentato casi nei quali gli operatori hanno ottenuto accesso a informazioni sensibili e criptovalute dopo essere stati regolarmente assunti. (FBI) Questo elemento spiega perché la questione appartenga contemporaneamente alla sicurezza informatica, al cybercrime e alla guerra cibernetica. Lo stipendio genera valuta. L’accesso genera intelligence. Il codice può diventare supply chain. I wallet possono essere svuotati. Il materiale sottratto può trasformarsi in ricatto. E il tutto può iniziare da qualcosa di apparentemente innocuo come un messaggio su LinkedIn. L’ultima evoluzione di Operation Dream Job documentata nell’agosto 2026 rende evidente quanto sia diventata profonda la catena: la falsa opportunità professionale può condurre a software trojanizzato, backdoor, exploit Windows e strumenti capaci di ridurre la telemetria degli EDR. Il colloquio è soltanto la porta d’ingresso. Dietro può esserci un’operazione di intelligence completa.

ACN arriva quando il rischio deve parlare a milioni di persone

A questo punto occorre evitare una caricatura altrettanto facile: ACN non ha “scoperto” oggi il fenomeno e non è compito di un’Agenzia nazionale competere con una testata giornalistica sulla data di pubblicazione di una notizia. Le istituzioni hanno tempi, responsabilità e soglie di intervento differenti. Un giornale specializzato può raccontare una campagna osservata su poche decine di bersagli internazionali perché il suo compito è informare, mettere insieme segnali e costruire contesto. Un’Agenzia nazionale deve invece valutare quando quella minaccia meriti un’attività di sensibilizzazione rivolta a una popolazione molto più ampia, coordinando informazione, prevenzione e capacità operativa. La stessa ACN, nel primo semestre 2026, ha inviato 43.675 comunicazioni preventive e CSIRT Italia ha gestito 2.171 eventi cyber, numeri che descrivono un compito enormemente diverso da quello di una redazione. Ed è proprio questa differenza che rende interessante la vicenda. Se oggi il falso colloquio LinkedIn è abbastanza rilevante da meritare televisione nazionale e campagne di informazione, significa che ciò che tre anni fa appariva come una tecnica di nicchia degli operatori nordcoreani ha superato la soglia che separa l’intelligence tecnica dal rischio sociale diffuso. Il giornalismo arriva prima non perché sia più bravo delle istituzioni a difendere un Paese, ma perché non deve aspettare che un fenomeno diventi un problema del Paese per poterlo raccontare.

Il giornalismo di nicchia serve proprio quando sembra che non serva a nessuno

Ed è qui che Matrice Digitale può tranquillamente rivendicare il proprio lavoro. Non perché un articolo del 2023 abbia fermato Lazarus, ovviamente, ma perché dimostra quale sia la funzione di una testata che per scelta segue quotidianamente malware, APT, vulnerabilità, intelligence e geopolitica digitale anche quando questi argomenti non producono milioni di visualizzazioni. La notizia realmente utile spesso è quella che al momento della pubblicazione interessa pochissime persone. Diventa interessante per tutti quando è già diventata un problema. Un falso recruiter nordcoreano che nel 2023 cerca specialisti occidentali su LinkedIn può sembrare materiale per addetti ai lavori; tre anni dopo l’autorità nazionale spiega in televisione agli italiani che un falso colloquio può compromettere il loro computer. È esattamente lo stesso percorso che il giornalismo specializzato osserva continuamente: prima c’è un indicatore tecnico, poi una campagna, poi una tendenza, infine l’emergenza. Il fatto che motori di ricerca, aggregatori e algoritmi di distribuzione privilegino spesso contenuti più generalisti o testate con maggiore massa editoriale è un problema differente, che Matrice Digitale ha più volte contestato dal proprio punto di vista. Ma la visibilità algoritmica non modifica la cronologia. Il 13 marzo 2023 quella notizia era pubblicata e consultabile. Nell’agosto 2026 è diventata un allarme nazionale.

Arrivare prima non significa avere sempre ragione, significa dare tempo a chi legge

La rivendicazione più importante, quindi, non è “ve l’avevamo detto” come esercizio autoreferenziale. È qualcosa di molto più concreto. Chi nel 2023 aveva letto quella storia sapeva già che LinkedIn poteva essere utilizzato da attori nordcoreani per distribuire malware attraverso finte opportunità professionali. Chi negli anni successivi ha seguito l’evoluzione di Contagious Interview, BeaverTail, OtterCookie, WageMole, Famous Chollima, graphalgo e Dream Job ha potuto vedere il quadro comporsi molto prima che diventasse un servizio televisivo. Questo è il motivo per cui il giornalismo tecnico, investigativo e di nicchia deve essere letto anche quando parla di qualcosa che sembra lontano. Le istituzioni intervengono necessariamente quando il rischio deve essere gestito, regolato o comunicato su scala nazionale. Il giornalismo può intervenire quando il rischio è ancora un segnale. Sono funzioni differenti e complementari, ma confonderne i tempi significa non capire perché servano entrambe. E nel caso dei falsi colloqui LinkedIn il tempo racconta una storia molto semplice: nel 2023 il problema era già davanti agli occhi di chi voleva guardarlo. Tre anni dopo è arrivato nelle televisioni italiane.

Non è una vittoria di Matrice Digitale contro ACN. È la dimostrazione che l’informazione vale soprattutto quando arriva prima che una minaccia diventi abbastanza grande da obbligare tutti a parlarne.