Il falso invito Zoom che svuota wallet crypto:

Il lunedì mattina che è costato 2 milioni di euro

Marco lavora nel settore crypto da cinque anni. Gestisce un fondo di investimento alternativo che opera principalmente in Bitcoin e Ethereum. È lunedì 14 luglio, ore 9:32, quando la sua casella di posta mostra un invito apparentemente legittimo: "Marco, la riunione sul budget Q3 inizia tra 15 minuti. Clicca qui per partecipare."

Il logo Zoom è perfetto. Il dominio nell'URL sembra corretto — meeting.zoom-us.com invece di zoom-us.com, una differenza quasi impercettibile a prima vista. Marco ha una chiamata in programma con il suo team e senza pensarci due volte clicca.

Quello che non sa è che in quel momento, dall'altra parte del mondo, un gruppo di hacker nordcoreani sta osservando ogni sua mossa. Non stanno solo rubando la sua password. Stanno profilando i suoi wallet crypto, mapping la sua rete finanziaria, preparando il terreno per qualcosa di molto più grande.

Dodici ore dopo, il fondo di Marco ha perso l'accesso a tre wallet contenenti oltre 2 milioni di euro in criptovalute. Il malware distribuito attraverso quel falso invito Zoom aveva registrato ogni tasto premuto, catturato ogni sessione del browser, esfiltato ogni chiave privata.

Questa non è una storia inventata. È esattamente quello che sta accadendo in questo momento, grazie a un phishing kit scoperto dai ricercatori di sicurezza e attribuito a BlueNoroff, il gruppo APT nordcoreano specializzato nel furto di criptovalute.

Il boom silenzioso del cybercrime finanziario

BlueNoroff non è un nome nuovo nel panorama delle minacce informatiche. È il braccio finanziario del regime di Pyongyang, un gruppo che negli ultimi anni ha rubato centinaia di milioni di dollari in criptovalute attraverso attacchi sempre più sofisticati. Secondo le stime di Chainalysis, i gruppi affiliati alla Corea del Nord hanno sottratto oltre 1,7 miliardi di dollari in crypto solo nel 2022, un record storico che ha spinto l'FBI a emettere avvisi pubblici senza precedenti.

Quello che rende questa campagna diversa dal phishing tradizionale è l'approccio "a due stadi". Invece di sparare nel mucchio con email generiche, BlueNoroff ha creato un ecosistema di phishing-kit specializzati che prima studiano la vittima, poi colpiscono. Il loro obiettivo? Le aziende che gestiscono fondi in criptovalute, le piattaforme di exchange, i trader professionisti.

La campagna scoperta utilizza domini typosquattati — ovvero URL che imitano quelli legali con piccoli errori ortografici — per Zoom e Microsoft Teams. I criminali hanno registrato decine di varianti: z0om.com, zoom-meetings.com, microsoftteams-videocall.com. Ogni dominio è progettato per superare un controllo superficiale, ma c'è di più.

Il phishing kit non si limita a catturare credenziali. Analizza il browser della vittima, rileva eventuali wallet crypto installati come estensioni, verifica la presenza di account su exchange specifici. È una fase di riconoscimento che trasforma un semplice furto di password in un'operazione chirurgica.

Come funziona l'attacco: il making of di una truffa perfetta

La meccanica dell'attacco è elegante nella sua crudeltà. Tutto inizia con un'email che sembra provenire da un collega, un partner commerciale o addirittura un cliente. L'oggetto è sempre qualcosa che crea urgenza: una fattura in sospeso, una riunione imminente, un documento da rivedere.

Il link nell'email porta a una pagina di login identica a quella di Zoom o Microsoft Teams. Il design è pixel-perfect, completo di certificato SSL (registrato sul dominio fasullo), menu di navigazione funzionanti e persino FAQ per "aiutare" l'utente in caso di problemi.

Quando la vittima inserisce le proprie credenziali, il phishing kit entra in azione. Prima di tutto, registra l'indirizzo IP e le informazioni sul dispositivo. Poi, in silenzio, esegue una serie di controlli: quale browser sta usando la vittima? Ha estensioni come MetaMask, Trust Wallet, Coinbase Wallet? È loggata su exchange come Binance o Kraken?

Questi dati vengono inviati a un server di comando e controllo gestito dagli hacker. In base alle informazioni raccolte, la campagna decide第二步: che tipo di malware distribuire. Se la vittima ha wallet crypto, il kit instrada il download verso un malware specializzato nel furto di chiavi private. Se la vittima è un semplice impiegato, potrebbe ricevere un trojan generico per spiare l'organizzazione.

Il malware distribuito in queste campagne — identificato come varianti della famiglia BeaverTail e PineFlower — è progettato per essere invisibile. Non viene rilevato dagli antivirus tradizionali perché utilizza tecniche di offuscamento avanzate e si connette a server C2 che cambiano constantemente indirizzo.

Il risultato? Gli hacker nordcoreani hanno accesso completo al sistema della vittima, possono movimentare fondi crypto in tempo reale, e soprattutto possono mantenere l'accesso per mesi, aspettando il momento giusto per colpire.

Il conto economico di un attacco riuscito

Le conseguenze per un'azienda colpita vanno ben oltre il furto immediato. Il danno economico diretto — le criptovalute sottratte — è solo la punta dell'iceberg.

Il danno reputazionale è devastante. Un fondo crypto violato perde la fiducia dei propri investitori in poche ore. Le notizie di sicurezza compromessa si diffondono rapidamente nel settore, e il recupero della credibilità può richiedere anni.

Ma c'è di più. Le indagini forensi, la bonifica dei sistemi, il ripristino delle infrastrutture, le cause legali dei clienti danneggiati: i costi indiretti di un attacco possono superare di dieci volte il valore dei fondi rubati. Secondo IBM, il costo medio di un data breach nel settore finanziario ha raggiunto i 5,9 milioni di dollari nel 2024.

E poi c'è la compliance. Le aziende fintech e crypto sono soggette a normative stringenti sulla sicurezza dei dati e sulla protezione degli asset dei clienti. Un attacco come questo può attirare l'attenzione di regulator come Consob e Banca d'Italia, con sanzioni che possono arrivare a milioni di euro.

Lezione apprese: difendere l'anello più debole

La domanda che ogni responsabile IT dovrebbe farsi è semplice: come possiamo impedire che un falso invito Zoom svuoti i nostri account?

La prima difesa è la consapevolezza. I dipendenti devono sapere che anche le email che sembrano provenire da strumenti fidati come Zoom possono essere contraffatte. Un secondo di distrazione può costare milioni.

Ma la formazione non basta. Serve tecnologia. Servono filtri che analizzino non solo il contenuto dell'email, ma anche il comportamento dei link, la reputazione dei domini, i pattern di attacco noti. Servono sistemi che sandboxino gli allegati prima dell'apertura e che verifichino l'autenticità delle email attraverso protocolli come SPF, DKIM e DMARC.

MailSniper, ad esempio, utilizza intelligenza artificiale semantica per rilevare tentativi di phishing anche quando il dominio sembra legittimo, analizzando il contesto dell'email e il comportamento tipico delle campagne APT. È una delle soluzioni che possono fare la differenza.

Detto questo, nessuna tecnologia è infallibile. La difesa migliore è un approccio multilivello che combini formazione, tecnologia e procedure di verifica. Ogni transazione critica dovrebbe richiedere più livelli di approvazione. Ogni accesso a sistemi sensibili dovrebbe essere monitorato in tempo reale.

La prossima vittima potrebbe essere la tua azienda

Quello che sta facendo BlueNoroff non è fantascienza. È la nuova normalità del cybercrime finanziario. Gli hacker nordcoreani hanno trovato il modo di trasformare strumenti quotidiani come Zoom in armi letali contro le aziende.

E non puntano solo alle grandi corporation. Anche le PMI italiane che lavorano con clienti nel settore crypto sono nel mirino. Il furto di credenziali Microsoft 365 può aprire la porta a attacchi ben più sofisticati, inclusi tentativi di estorsione e spionaggio industriale.

La domanda non è se la tua organizzazione verrà attaccata. La domanda è se sarai pronto quando succederà.

Il falso invito che ha svuotato il fondo di Marco è arrivato in una mattina di luglio, come tanti altri lunedì. Quella che sembrava una email normale ha cambiato la vita di molte persone. Non lasciare che la stessa storia si ripeta nella tua azienda.