Il QR code che ruba la sessione, non la password

L'origine

Kimsuky opera dal 2012 per conto della Corea del Nord, e il suo mestiere non è cambiato: capire cosa pensa l'Occidente della Corea del Nord. Non ruba brevetti né cifra dischi. Legge la posta di chi scrive i paper che finiscono sulle scrivanie dei ministri.

L'8 gennaio 2026 l'FBI ha pubblicato il FLASH AC-000001-MW, unico advisory dedicato al gruppo quest'anno, descrivendo episodi risalenti a maggio-giugno 2025. Il documento non usa formule prudenti: parla direttamente di "North Korean state-sponsored cyber threat group Kimsuky" — anche se, va detto, non allega un livello di confidenza percentuale esplicito. Kaspersky ha corroborato attività più ampia il 14 maggio 2026, su campioni raccolti tra agosto 2025 e febbraio 2026.

I bersagli sono coerenti da un decennio: think tank, ONG, accademici, esperti di politica estera sulla Corea del Nord, enti governativi. Bersaglio primario dichiarato nel FLASH: gli Stati Uniti.

1. 2012
   L'inizio

   Kimsuky opera per conto della Corea del Nord.

2. Maggio-giugno 2025
   Gli episodi

   Gli incidenti che il FLASH descrive.

3. 8 gennaio 2026
   Il FLASH FBI

   AC-000001-MW, unico advisory sul gruppo quest'anno.

4. 14 maggio 2026
   La corroborazione

   Kaspersky documenta attività più ampia, su campioni di agosto 2025-febbraio 2026.

La novità non è chi colpiscono. È come.

La catena d'attacco

Non c'è una CVE in questa storia. Non c'è un exploit. C'è un'immagine.

L'email di spearphishing impersona un advisor su temi coreani, un dipendente di ambasciata, un organizzatore di conferenze. Dentro, un QR code.

Quello che segue è il punto che rende questa tecnica difficile da fermare, e conviene fermarsi a considerarlo:

1. La vittima inquadra il QR con il telefono personale
2. Un redirector raccoglie il fingerprint del dispositivo — user-agent, sistema operativo, IP, lingua, risoluzione dello schermo
3. Compare una pagina di raccolta credenziali ottimizzata per mobile, che impersona Microsoft 365, Okta, una VPN aziendale o Google
4. L'utente inserisce le credenziali
5. L'attaccante ruba e rigioca il token di sessione
6. L'MFA viene bypassata senza generare alcun alert "MFA failed"
7. Persistenza nell'account, e da lì phishing laterale verso i contatti — questa volta da un mittente autentico

Perché il canale conta più del contenuto

Un'azienda può avere il miglior gateway email del mercato. Sandboxing degli allegati, riscrittura degli URL, detonazione dei link, machine learning sul testo. Tutto quel castello difende il laptop aziendale.

Ma un QR code non si clicca: si inquadra. E si inquadra con il telefono che sta in tasca — un dispositivo che quasi mai è dentro il perimetro IT, non ha il proxy aziendale, non passa dal gateway, non ha l'EDR. Kimsuky non ha bucato la email security. Ha cambiato canale di input, e il resto della catena si svolge in un posto dove la difesa aziendale semplicemente non guarda.

È social engineering che aggira dieci anni di investimenti spostando il problema di dieci centimetri.

Detection

Qui c'è il dettaglio operativo più prezioso del FLASH, e va capito bene perché ribalta un'assunzione comune.

Molti SOC costruiscono detection sui fallimenti: tentativi MFA falliti, password sbagliate ripetute, login negati. È una logica ragionevole — l'attaccante che forza sbaglia, e gli errori si vedono.

Il furto di token di sessione non sbaglia mai. L'attaccante non tenta l'MFA: la scavalca presentando un token già validato. Nei log, il risultato è un login riuscito al primo colpo, da un utente legittimo, con una sessione valida. Non c'è alcun evento negativo da correlare.

Su cosa lavorare, allora:

• L'assenza di alert "MFA failed" nonostante il bypass sia avvenuto — è un indicatore comportamentale, non statico: se avete evidenza di accesso anomalo senza fallimenti MFA a monte, il replay di token è l'ipotesi principale
• Credential entry immediatamente successiva a una scansione QR da mobile
• Regole di inoltro o filtri sospetti creati su mailbox compromesse — è il segnale che la fase 8 è già iniziata

Rimedi

Dal FLASH FBI, in ordine di efficacia reale contro questa catena:

La misura che chiude il problema:

• MFA phishing-resistant obbligatoria. Non "MFA". Phishing-resistant — FIDO2, passkey, certificati. Un OTP via SMS o app viene rigiocato senza problemi da un proxy AitM; una passkey è legata crittograficamente all'origine e non si lascia rigiocare su un dominio fasullo. Contro il replay di token questa non è una misura tra le tante: è la misura.

Contro il vettore:

• Formazione su QR code non richiesti, con un messaggio letterale: un QR ricevuto via email non è mai un metodo di autenticazione legittimo
• Verifica del QR tramite canale secondario — se l'ambasciata vi manda un QR, chiamate l'ambasciata
• Soluzioni MDM/endpoint capaci di analizzare l'URL dietro un QR prima dell'accesso

Contenimento:

• Monitoraggio di credential entry post-scansione
• Privilegio minimo con audit periodico
• Segnalazione al FBI Field Office locale

Nota di trasparenza: durante la verifica delle fonti abbiamo riscontrato una discrepanza di cache sulla pagina MITRE G0094 — due letture ravvicinate hanno restituito 7 e 9 alias con date di ultima modifica diverse. Non incide sulla sostanza tecnica, ma lo segnaliamo.

Cosa insegna

Kimsuky dimostra che la superficie d'attacco di un'organizzazione non finisce dove finisce la sua rete. Finisce dove finisce l'attenzione delle sue persone — e quella si porta in tasca, si accende in metropolitana, e non ha un EDR installato.

Ma la lezione più scomoda è sull'MFA. Per anni l'abbiamo venduta come la casella da spuntare, il punto fermo, la cosa che se fai quella hai fatto il grosso. Kimsuky non la sconfigge: la aggira, rubando la prova che l'MFA è già stata superata. Il token non sa di essere stato rubato. Il server non sa di parlare con un impostore.

Se la vostra strategia di identità si ferma a "abbiamo l'MFA", contro questo attacco avete esattamente zero.