Lo spionaggio internazionale non si basa sempre su malware sofisticati e vulnerabilità zero-day. A volte basta semplicemente fingersi qualcun altro e chiedere un favore.
Per quattro anni, un ingegnere aerospaziale cinese ha fatto proprio questo. Decine di ricercatori della NASA, delle forze armate statunitensi e delle principali università gli hanno fornito esattamente ciò che aveva chiesto, violando forse le leggi statunitensi nel farlo.
Si chiama Song Wu. È ricercato dall'FBI dal settembre 2024, con l'accusa di 14 capi d'imputazione per frode telematica e 14 capi d'imputazione per furto aggravato di identità, ed è ancora latitante.
Di giorno, Wu lavorava come ingegnere presso l’Aviation Industry Corporation of China (AVIC), un conglomerato statale del settore aerospaziale e della difesa con sede a Pechino e oltre 400.000 dipendenti. Gli Stati Uniti hanno inserito l’AVIC e diverse sue controllate in una lista di sanzioni.
La sua attività secondaria era più semplice. Da gennaio 2017 a dicembre 2021, Wu ha creato account e-mail spacciandosi per veri ricercatori e ingegneri statunitensi, per poi inviare e-mail ai loro colleghi chiedendo loro il codice sorgente e software proprietario. Ha preso di mira dipendenti della NASA, dell’Aeronautica Militare, della Marina, dell’Esercito e della FAA, nonché docenti di università di tutto il territorio statunitense.
Quando il software diventa un'arma
Le applicazioni a cui Wu era interessato riguardano l'ingegneria aerospaziale e la fluidodinamica computazionale. Si tratta del tipo di proprietà intellettuale che contribuisce allo sviluppo di missili tattici avanzati e alla valutazione delle prestazioni delle armi e, secondo l' Ufficio dell'ispettore generale della NASA, rientra pienamente nei controlli sulle esportazioni degli Stati Uniti. Condividerla con la persona sbagliata, anche solo per sbaglio, costituisce un reato federale.
Alcune vittime hanno effettivamente trasmesso il codice richiesto. Secondo l’accurata formulazione dell’OIG, esse stavano violando «inconsapevolmente» la normativa sul controllo delle esportazioni.
Come una campagna durata quattro anni è finalmente fallita
Non è stato un firewall a smascherare Wu. È stata una soffiata.
La Divisione Crimini Informatici della NASA ha ricevuto una segnalazione secondo cui qualcuno aveva creato un account Gmail spacciandosi per un rinomato professore di ingegneria aerospaziale che collaborava spesso con la NASA. Partendo da quell’unico indizio, gli investigatori hanno smantellato una campagna che aveva preso di mira, in modo discreto, decine di ricercatori all’interno dell’amministrazione federale e del mondo accademico.
L'OIG ha inoltre rilevato alcuni indizi rivelatori: Wu ha richiesto più volte lo stesso software senza mai spiegare perché ne avesse bisogno. Si tratta di segnali che chiunque avrebbe potuto cogliere in un pomeriggio tranquillo, se solo avesse prestato attenzione.
Cosa ci aspetta
La campagna di Wu ha funzionato per quattro anni ricorrendo solo a strumenti semplici come account e-mail falsi e un'accurata analisi del pubblico di riferimento. Lui è solo un ingegnere, ma il problema va ben oltre la sua persona.
Nel 2024, l'allora direttore dell'FBI Christopher Wray dichiarò alla Commissione Select della Camera dei Rappresentanti che:
«La Repubblica Popolare Cinese dispone di un programma di hacking più esteso di quello di tutte le altre grandi potenze messe insieme.»
cinese hackers Secondo lui, il personale informatico dell'FBI sarebbe comunque 50 volte più numeroso anche se ogni agente informatico statunitense non si occupasse di altro.
L'ingegneria sociale continua a essere un problema e gli impostori diventano sempre più convincenti grazie all'uso di deepfake tecnologia. I criminali online stanno usando la clonazione vocale e persino deepfake video per infiltrarsi nei loro obiettivi fingendosi candidati a un colloquio di lavoro. E altri stanno ribaltando la situazione, pubblicando come reclutatori su LinkedIn Ingannare i potenziali candidati a un posto di lavoro inducendoli a scaricare malware .
Lo spear-phishing era già un problema quando si trattava di un singolo individuo a Pechino con un account Gmail. Diventerà un problema ben più grave quando il prossimo Wu utilizzerà l'IA generativa per redigere le e-mail, imiterà lo stile di scrittura di un vero ricercatore e applicherà la strategia a velocità automatizzata a migliaia di caselle di posta.
Naviga come se nessuno ti guardasse.
Malwarebytes Privacy VPN Crittografa la tua connessione e non registra mai le tue attività, così la prossima storia che leggerai non ti sembrerà personale. Provalo gratis →
