Avviso FBI sul quishing avverte di una campagna di spear-phishing nordcoreana

Come le sofisticate tattiche di phishing tramite codici QR minacciano le organizzazioni e gli individui mirati

Conclusioni

• L'FBI ha emesso un avviso riguardo a campagne avanzate di spear phishing nordcoreane che utilizzano tattiche di phishing tramite codici QR (quishing).
• Kimsuky, un gruppo di cyber criminali sponsorizzato dallo stato, è passato dalla distribuzione casuale di codici QR a prendere di mira individui e organizzazioni specifiche tramite e-mail personalizzate.
• Gli attacchi di quishing sfruttano codici QR dannosi che collegano a siti web falsi, consentendo il download di malware o la raccolta di dati mentre eludono le misure di sicurezza tradizionali.
• Il quishing è difficile da rilevare perché i codici QR incorporati nelle e-mail possono eludere l'ispezione degli URL e i sandbox di sicurezza.

Il Federal Bureau of Investigation (FBI) ha emesso un flash alert che avverte che un gruppo di minacce informatiche sponsorizzato dallo stato nordcoreano noto come Kimsuky ha evoluto le sue tattiche e tecniche di QR code phishing, noto anche come quishing, per creare campagne di spear-phishing mirate a individui specifici.

Gli attacchi di quishing si basano su codici QR dannosi che contengono link a siti web fraudolenti dove malware viene poi scaricato o dati sensibili vengono raccolti tramite un sito web progettato per sembrare legittimo.

Piuttosto che distribuire semplicemente codici QR a caso, l'FBI sta avvisando i professionisti della sicurezza informatica che il gruppo Kimsuky sta ora cercando di prendere di mira individui specifici. Ad esempio, a maggio dello scorso anno un attore malevolo fingendosi un consigliere straniero ha inviato un'e-mail chiedendo un parere a un leader di un think tank riguardo agli sviluppi recenti nella penisola coreana. L'e-mail forniva un codice QR da scansionare per accedere a un questionario. Successivamente, quello stesso mese, attori di Kimsuky che impersonavano un impiegato dell'ambasciata hanno inviato un'e-mail richiedendo il contributo di un ricercatore senior di un think tank su questioni relative ai diritti umani in Corea del Nord. L'e-mail conteneva un codice QR che presumibilmente forniva l'accesso a un drive sicuro.

Lo scorso maggio, gli attori informatici Kimsuky, fingendosi un dipendente di un think tank, hanno inviato un'e-mail con un codice QR che, una volta scansionato, portava l'individuo preso di mira all'infrastruttura Kimsuky progettata per condurre attività dannose. A giugno 2025, hanno inviato a una società di consulenza strategica un'e-mail di spear-phishing invitando i destinatari a una conferenza inesistente. L'e-mail conteneva un codice QR che indirizzava l'utente a una pagina di destinazione per la registrazione con un pulsante per registrarsi. Il pulsante di registrazione portava i visitatori a una falsa pagina di accesso di Google, dove gli utenti potevano inserire le loro credenziali di accesso per il furto.

Perché gli attacchi di quishing sono così pericolosi

Gli attacchi di quishing sono estremamente difficili da rilevare e, man mano che diventano più mirati, potenzialmente più letali. Comunemente consegnano immagini QR come allegati e-mail o grafica incorporata, eludendo l'ispezione, la riscrittura e il sandboxing degli URL. Dopo la scansione, le vittime vengono indirizzate attraverso reindirizzamenti controllati dagli attaccanti che raccolgono attributi del dispositivo e dell'identità, come il sistema operativo e l'indirizzo IP, per indirizzare gli utenti a una pagina web falsa che appare credibile.

Una volta che l'utente effettua l'accesso, gli attaccanti aggiungeranno ulteriore danno rubando anche i token che possono essere successivamente utilizzati per bypassare i protocolli di autenticazione multifattoriale (MFA) su cui molti provider di applicazioni e servizi cloud fanno affidamento per proteggere i loro ambienti.

Come proteggersi dagli attacchi di quishing

Oltre a implementare la gestione dei dispositivi mobili (MDM) o soluzioni di sicurezza degli endpoint in grado di analizzare gli URL che i codici QR dannosi tentano di reindirizzare un utente finale a un sito web falso, l'FBI sta consigliando ai team di sicurezza informatica di assicurarsi che gli utenti finali siano consapevoli dei rischi associati ai codici QR.

Inoltre, le organizzazioni dovrebbero implementare l'MFA resistente al phishing per tutti gli accessi remoti e i sistemi sensibili, monitorare tutte le immissioni di credenziali e l'attività della rete che coinvolgono i codici QR, e applicare politiche di password forti su tutti i servizi, con particolare attenzione alla lunghezza, all'unicità e all'archiviazione sicura.

Infine, l'FBI suggerisce alle organizzazioni di rivedere i privilegi di accesso in conformità con il principio del minimo privilegio, eseguire regolarmente audit per i permessi di account non utilizzati o eccessivi e aggiornare gli strumenti antivirus e anti-malware e, quando possibile, correggere eventuali vulnerabilità note sui dispositivi utilizzati per scansionare i codici QR.

Quishing, naturalmente, è solo una delle tecniche che la Corea del Nord ha utilizzato per aumentare le sue riserve di denaro al fine di finanziare il suo programma di armamenti, che include consentire ai cittadini nordcoreani di far parte di una forza lavoro IT da remoto che poi sfrutta il loro accesso interno per rubare dati. La sfida, come sempre, è che con il passare dei giorni le tattiche e le tecniche utilizzate per raggiungere tale obiettivo stanno diventando sempre più perniciose.