nostro commento da The Record – North Korean hackers infect thousands of devices across 100 countries as part of ‘WaterPlum’ campaign
La campagna WaterPlum mostra come la Corea del Nord abbia trasformato il crimine informatico in uno strumento strutturale della propria politica di potenza. L’operazione descritta non appare come una semplice sequenza di furti di criptovalute, ma come un sistema integrato nel quale acquisizione di valuta, spionaggio, furto d’identità e infiltrazione delle imprese tecnologiche convergono verso un obiettivo comune: ridurre l’efficacia dell’isolamento internazionale e finanziare lo Stato senza passare attraverso i circuiti economici tradizionali.
La scala attribuita alla campagna – almeno 30.000 dispositivi compromessi in circa cento Paesi e migliaia di portafogli digitali colpiti – segnala una capacità industriale. Pyongyang non sembra più affidarsi esclusivamente a operazioni selettive contro grandi istituzioni finanziarie o piattaforme di scambio. WaterPlum adotta invece una logica distribuita: molte vittime, importi frammentati, infrastrutture diffuse e una pluralità di strumenti malevoli. Questo modello riduce la dipendenza dal successo di singoli attacchi e rende più complessa l’attribuzione tempestiva, mentre la somma dei proventi può produrre risultati strategicamente rilevanti.
Il ricorso a false offerte di lavoro rivolte a sviluppatori, ingegneri, progettisti web e specialisti delle criptovalute è particolarmente significativo. Il processo di selezione del personale viene convertito in un vettore d’accesso ai dispositivi privati, alle credenziali e, potenzialmente, alle reti aziendali. L’attacco sfrutta un momento nel quale la vittima considera normale scaricare file, eseguire codice o partecipare a test tecnici. La vulnerabilità decisiva non è quindi soltanto informatica: risiede nella fiducia che sostiene il mercato globale del lavoro digitale.
L’operazione riflette inoltre l’adattamento nordcoreano alla geografia economica contemporanea. Lavoro a distanza, piattaforme per professionisti indipendenti, reclutamento internazionale e pagamenti in criptovalute hanno indebolito il rapporto tra identità, territorio e occupazione. Per un Paese sottoposto a sanzioni, questa deterritorializzazione costituisce un’opportunità. Operatori nordcoreani possono presentarsi come reclutatori, candidati o lavoratori informatici stranieri, acquisendo contemporaneamente reddito, accesso e informazioni. Il confine tra attività lavorativa apparentemente legittima e operazione clandestina diventa così deliberatamente ambiguo.
Il furto di documenti d’identità aggiunge una dimensione ulteriore. Le identità sottratte non servono soltanto a monetizzare immediatamente la compromissione, ma possono essere riutilizzate per ottenere impieghi, aprire account, superare verifiche e costruire nuove coperture. Ogni vittima può dunque diventare involontariamente l’infrastruttura di un’operazione successiva. Ne deriva un ciclo cumulativo nel quale il crimine finanzia l’infiltrazione e l’infiltrazione genera nuove occasioni di furto, spionaggio e accesso alle catene tecnologiche.
Sul piano geostrategico, WaterPlum conferma che il cyberspazio consente alla Corea del Nord di compensare alcune delle proprie debolezze convenzionali. Pyongyang non possiede la forza economica né la rete finanziaria delle grandi potenze, ma può proiettare capacità offensive su scala globale con costi relativamente contenuti e senza esporre direttamente il proprio territorio. I proventi ottenuti possono contribuire al sostegno dell’apparato statale e dei programmi militari, mentre le informazioni raccolte accrescono la conoscenza di imprese e settori tecnologicamente sensibili. Redditività finanziaria e valore d’intelligence non sono quindi obiettivi alternativi, ma risultati complementari della stessa architettura operativa.
L’ampia distribuzione geografica delle vittime mostra anche che la minaccia non segue rigidamente le alleanze politiche. Le operazioni nordcoreane attraversano giurisdizioni, piattaforme commerciali e infrastrutture private, colpendo individui che spesso non si percepiscono come parte di una competizione tra Stati. È proprio questa dispersione a offrire copertura strategica: ciascun incidente può apparire come una frode comune, mentre l’effetto aggregato sostiene gli interessi di un attore statale.
La risposta congiunta di Stati Uniti, Giappone, Australia e Germania indica una crescente internazionalizzazione del contrasto. Nessun Paese dispone da solo di visibilità sufficiente su identità digitali, flussi finanziari, infrastrutture compromesse e piattaforme utilizzate. Tuttavia, la cooperazione investigativa resta prevalentemente reattiva: consente di attribuire campagne, pubblicare indicatori tecnici e ostacolare alcune reti, ma difficilmente elimina gli incentivi che alimentano il modello nordcoreano. Finché le criptovalute manterranno elevata trasferibilità transnazionale e il reclutamento remoto privilegerà velocità e flessibilità, Pyongyang conserverà un ambiente operativo favorevole.
Per le democrazie industriali, la conseguenza principale è che la sicurezza economica non può più essere separata dalla sicurezza informatica. Le procedure di assunzione, i test tecnici, la verifica delle identità e l’accesso dei collaboratori esterni devono essere considerati componenti della superficie d’attacco. Le imprese attive nella blockchain, nell’intelligenza artificiale e nello sviluppo software rappresentano obiettivi particolarmente appetibili perché combinano capitale digitale, competenze avanzate e accesso a infrastrutture riutilizzabili.
WaterPlum rivela infine un’asimmetria persistente. Gli Stati aperti dipendono dalla circolazione di persone, competenze, codice e capitali; la Corea del Nord può sfruttare questa apertura senza offrirne una equivalente. La competizione non si svolge soltanto tra apparati governativi, ma all’interno delle normali attività di aziende e professionisti. Il falso colloquio di lavoro diventa così un punto di contatto tra l’economia quotidiana e la strategia internazionale.
La lezione più ampia è che Pyongyang sta costruendo una forma di potenza fondata sull’ibridazione: operatori statali, attività criminali, identità rubate, lavoro remoto e strumenti commerciali vengono combinati in reti difficili da classificare e quindi da contrastare. WaterPlum non è soltanto una campagna malevola, ma l’espressione di un modello geoeconomico clandestino attraverso il quale la Corea del Nord cerca di convertire l’interconnessione globale in risorse finanziarie, accesso tecnologico e resilienza strategica.
The Global Eye è in partnership con SIOI – Società Italiana per l’Organizzazione Internazionale
