Lo studio di CrowdStrike evidenzia come gli attori statali, in particolare quelli riconducibili alla Cina, stiano intensificando gli attacchi contro le aziende tecnologiche per acquisire proprietà intellettuale, modelli di AI e strumenti di sviluppo
L’intelligenza artificiale non rappresenta più soltanto una tecnologia da proteggere, ma uno degli obiettivi strategici del cyberspionaggio internazionale. Le aziende che sviluppano modelli, infrastrutture e piattaforme AI sono sempre più nel mirino di gruppi sponsorizzati dagli Stati, interessati ad accelerare il proprio sviluppo tecnologico attraverso il furto di proprietà intellettuale.
È quanto emerge dal Technology Threat Landscape Report 2026, il nuovo rapporto pubblicato da CrowdStrike, che analizza l’evoluzione delle minacce rivolte al settore tecnologico sulla base dell’attività di oltre 280 gruppi di attacco monitorati dal team Counter Adversary Operations.
Il report è disponibile al link:
https://www.crowdstrike.com/en-us/resources/reports/technology-threat-landscape-report/
Il settore tecnologico è il principale bersaglio
Secondo il report, il comparto tecnologico è oggi quello maggiormente preso di mira dagli attori statali.
Oltre il 58% delle intrusioni sponsorizzate da governi osservate da CrowdStrike ha avuto come obiettivo aziende tecnologiche. A spingere gli attacchi è soprattutto la crescente importanza strategica dell’intelligenza artificiale: modelli, dataset, algoritmi e strumenti di sviluppo rappresentano asset fondamentali sia sul piano economico sia su quello geopolitico.
In particolare, il rapporto evidenzia come gruppi riconducibili alla Cina stiano utilizzando il cyberspionaggio per acquisire competenze e tecnologie AI che il Paese non riesce ancora a sviluppare autonomamente con la stessa rapidità dei principali competitor internazionali.
La Cina punta su proprietà intellettuale e AI
Tra gli attori più attivi figurano gruppi identificati come MURKY PANDA, MUSTANG PANDA, OVERCAST PANDA, SUNRISE PANDA e WARP PANDA, tutti impegnati in campagne di spionaggio contro aziende del settore tecnologico.
Tra le attività osservate spiccano operazioni di password spraying, tecnica che consiste nel tentare l’accesso a numerosi account utilizzando password comuni o già compromesse. Una sola campagna attribuita a MURKY PANDA avrebbe coinvolto oltre 340 organizzazioni statunitensi.
L’obiettivo principale non è la monetizzazione immediata, ma l’acquisizione di know-how tecnologico, software proprietario e capacità legate allo sviluppo dell’intelligenza artificiale.
La Corea del Nord usa identità false generate con l’AI
Il report dedica ampio spazio anche alle attività riconducibili alla Corea del Nord, che avrebbe ulteriormente affinato le proprie tecniche di infiltrazione.
Secondo CrowdStrike, il gruppo FAMOUS CHOLLIMA avrebbe utilizzato identità sintetiche generate con strumenti di AI e società di copertura statunitensi per ottenere incarichi da remoto come professionisti IT presso aziende tecnologiche.
Questa strategia avrebbe rappresentato il 47% delle intrusioni interattive sponsorizzate da Stati osservate nel settore, con l’obiettivo di finanziare direttamente i programmi del regime attraverso stipendi e attività fraudolente.
L’AI diventa anche uno strumento degli attaccanti
Non solo gli asset di intelligenza artificiale sono diventati bersagli: anche gli stessi strumenti AI vengono ormai utilizzati per rendere gli attacchi più rapidi ed efficaci.
Il report descrive l’impiego di script generati automaticamente dall’AI per sottrarre credenziali, eliminare tracce forensi e accelerare le fasi iniziali della compromissione.
Tra le minacce individuate figura anche Skrawl, un malware destinato ai sistemi macOS distribuito attraverso false estensioni e siti che imitano piattaforme di intelligenza artificiale legittime, sfruttando l’interesse crescente verso questi strumenti.
Crescono ransomware e Initial Access Broker
Accanto alle attività di cyberspionaggio continuano ad aumentare anche gli attacchi con finalità economiche.
Secondo il rapporto, il 65% delle operazioni interattive contro il settore tecnologico è riconducibile a gruppi orientati all’estorsione.
Particolarmente significativa la crescita degli Initial Access Broker, cybercriminali specializzati nell’ottenere un primo accesso alle reti aziendali per poi rivenderlo ad altri gruppi. Nel corso dell’ultimo anno sono stati messi in vendita accessi relativi a 277 organizzazioni tecnologiche, con un incremento di circa il 30%.
Parallelamente, i gruppi ransomware specializzati negli attacchi contro grandi organizzazioni hanno pubblicato i dati di 572 aziende tecnologiche sui propri siti di leak.
La supply chain software resta un punto debole
Il report richiama infine l’attenzione sui rischi che interessano la supply chain dello sviluppo software.
Tra gli episodi analizzati figura la compromissione del popolare pacchetto NPM Axios, utilizzato milioni di volte ogni settimana nei progetti JavaScript, oltre a una campagna che ha interessato 350 repository GitHub, nei quali è stato inserito codice malevolo destinato a compromettere applicazioni sviluppate in JavaScript e Python.
Questi episodi confermano come gli attaccanti stiano cercando di colpire gli ecosistemi di sviluppo per propagare il malware lungo l’intera catena di fornitura del software.
La sicurezza deve accompagnare lo sviluppo dell’AI
Il quadro delineato dal Technology Threat Landscape Report 2026 evidenzia come l’intelligenza artificiale stia modificando profondamente il panorama delle minacce.
Da un lato rappresenta uno dei principali motori dell’innovazione digitale; dall’altro amplia la superficie di attacco e aumenta il valore strategico delle aziende che sviluppano modelli, piattaforme e servizi AI.
Per questo motivo, secondo il report, la protezione degli ambienti di sviluppo, delle identità digitali, della supply chain software e della proprietà intellettuale dovrà diventare parte integrante delle strategie di sicurezza fin dalle prime fasi di progettazione delle soluzioni basate sull’intelligenza artificiale.
