Attacchi a banche sudcoreane coinvolgono strumenti IA sviluppati in Cina, l'attribuzione nel rapporto CrowdStrike resta sospesa

Un rapporto pubblicato mercoledì dalla società di cybersecurity CrowdStrike ha messo sotto i riflettori un attacco informatico contro banche sudcoreane. Secondo quanto riportato dal New York Times, la principale conclusione del rapporto è che durante l'attacco sono emerse prove dell'uso di tecnologie di intelligenza artificiale, e gli strumenti coinvolti si ritiene siano stati sviluppati da sviluppatori cinesi.

Tuttavia, la catena di attribuzione si interrompe qui. CrowdStrike ha dichiarato che gli aggressori sono "molto probabilmente madrelingua cinesi", con una motivazione che punta a interessi economici — una combinazione che di solito indica criminalità finanziaria, piuttosto che una tipica operazione di cyber spionaggio a livello statale. Ma il rapporto riconosce altresì chiaramente di non essere riuscito ad attribuire l'attacco ad alcun individuo o organizzazione specificamente identificata.

Questa distinzione è cruciale. "Madrelingua cinese" è un'inferenza basata su caratteristiche linguistiche, non una conclusione di attribuzione; "strumenti sviluppati in Cina" descrive la provenienza tecnologica, non la nazionalità o l'organizzazione di appartenenza degli aggressori. Da "strumenti sviluppati in Cina" a "attori cinesi hanno effettuato l'attacco" si attraversano molteplici passaggi non verificati.

CrowdStrike, in quanto fornitore occidentale di riferimento nel campo dell'intelligence sulle minacce cybernetiche, ha rapporti di attribuzione che esercitano un'influenza concreta sull'opinione pubblica internazionale. In assenza di un'adeguata disclosure, le inferenze basate su caratteristiche linguistiche e le indicazioni sulla provenienza tecnologica possono facilmente essere lette, nella diffusione, come vere e proprie attribuzioni politiche. Un rapporto pubblicato da un'istituzione occidentale, che punta a strumenti cinesi e riguarda obiettivi dell'Asia orientale — questa stessa struttura narrativa merita di essere esaminata.

La funzione specifica degli strumenti di IA in questo attacco — raccolta di intelligence, generazione di contenuti di phishing, o individuazione di vulnerabilità — è al momento altrettanto poco chiara. CrowdStrike ha rivelato solo "l'esistenza di prove dell'uso di tecnologie IA", un'espressione generica che lascia ampio spazio all'interpretazione.

Il rapporto non fornisce informazioni identificative specifiche sugli aggressori. Ciò significa che la narruzione attorno agli "hacker cinesi che utilizzano l'IA per attaccare banche sudcoreane" si basa in realtà su una catena di attribuzione incompleta. Per i lettori, esiste una differenza sostanziale tra "la valutazione di CrowdStrike" e "conclusioni di attribuzione confermate". In assenza di attori identificati, la natura dell'evento resta nell'ambito della criminalità informatica finanziaria, e il collegamento con attori statali non è stato ancora stabilito.