Il settore tech è il primo bersaglio degli attacchi cyber. L'analisi di CrowdStrike

Il settore tecnologico è oggi il comparto più esposto agli attacchi cyber. La ragione è facile da intuire: dentro le aziende tech si concentrano dati, proprietà intellettuale, infrastrutture software e, sempre di più, capacità legate all’intelligenza artificiale. Modelli, pipeline di sviluppo, strumenti di training e competenze sono diventati asset industriali da proteggere. E quindi obiettivi da colpire.

A quanto emerge dal CrowdStrike nel Technology Threat Landscape Report 2026, gli attori legati alla Cina stanno intensificando le attività di cyberspionaggio contro le aziende tecnologiche per sottrarre proprietà intellettuale e capacità di IA. Gli avversari riconducibili alla Cina sarebbero responsabili di oltre il 58% delle intrusioni sponsorizzate da Stati contro il settore.

Il rapporto si basa sull’intelligence del team Counter Adversary Operations di CrowdStrike, che monitora più di 280 gruppi avversari. Tra quelli citati ci sono MURKY PANDA, MUSTANG PANDA, OVERCAST PANDA, SUNRISE PANDA e WARP PANDA. Una sola campagna di password spraying attribuita a MURKY PANDA avrebbe colpito oltre 340 organizzazioni con sede negli Stati Uniti.

Dallo spionaggio cinese ai falsi lavoratori IT nordcoreani

La pressione sul settore tech arriva da più fronti. Da un lato ci sono gli attori cinesi, interessati soprattutto a tecnologie e capacità di IA. Dall’altro ci sono gruppi legati alla Corea del Nord, che secondo CrowdStrike stanno usando identità fittizie potenziate dall’IA e società di comodo per ottenere ruoli IT da remoto all’interno di aziende tecnologiche.

Il caso indicato nel report è FAMOUS CHOLLIMA. Le sue attività avrebbero generato il 47% delle intrusioni interattive sponsorizzate da Stati contro il settore, con proventi indirizzati ai programmi militari del regime nordcoreano.

Resta molto forte anche la componente criminale. Le operazioni di eCrime hanno rappresentato il 65% di tutte le intrusioni interattive contro il comparto tecnologico. Gli initial access broker hanno messo in vendita accessi a 277 organizzazioni tech, con una crescita di quasi il 30%, mentre i gruppi specializzati in attacchi estorsivi contro obiettivi di alto valore hanno pubblicato i nomi di 572 aziende tecnologiche su siti di leak.

Gli strumenti usati dagli sviluppatori diventano bersagli per i criminali cyber

Il report segnala inoltre l’uso crescente dell’IA da parte degli attaccanti. CrowdStrike cita script generati con l’IA per sottrarre credenziali e cancellare tracce forensi in tempi molto rapidi, riducendo la finestra di intervento dei team di sicurezza.

Ma il rischio riguarda anche gli ambienti di sviluppo. Secondo CrowdStrike, il malware Skrawl è stato distribuito attraverso false estensioni OpenClaw e siti di download contraffatti che imitavano strumenti di IA legittimi. Un altro caso riguarda STARDUST CHOLLIMA, che avrebbe compromesso il pacchetto NPM Axios, scaricato circa 100 milioni di volte a settimana. Prima dell’intervento di CrowdStrike sulle botnet Glassworm, inoltre, sarebbero stati compromessi 350 repository GitHub per inserire codice malevolo in progetti JavaScript e Python.

Per le aziende tecnologiche, la sicurezza non riguarda più soltanto reti, endpoint e cloud. Riguarda l’intera catena con cui il software viene scritto, assemblato, distribuito e usato. Nel momento in cui l’IA diventa un vantaggio competitivo, diventa anche una superficie di attacco.

"Le aziende del settore tecnologico stanno creando gli asset più preziosi e più presi di mira al mondo. Ogni innovazione nell’IA crea al tempo stesso un vantaggio competitivo e una nuova superficie di attacco", commenta Adam Meyers, Head of Counter Adversary Operations di CrowdStrike. "La Cina utilizza il cyberspionaggio come vera e propria politica industriale, per cercare di colmare il divario nell'innovazione IA. Che si tratti di sviluppare l'IA o di adottarla, la sicurezza deve essere integrata fin dall'inizio".