Un gruppo di hacker legato al governo cinese ha condotto attacchi che hanno coinvolto centinaia di aziende nel mondo usando lo strumento di IA «ARTEX»

Microsoft, azienda statunitense, ha dichiarato il 21, ora statunitense, che un gruppo di hacker legato al governo cinese aveva lanciato attacchi informatici usando «ARTEX», uno strumento di intelligenza artificiale (IA) di origine cinese. Dopo aver esaminato, tra le altre cose, i registri dei propri servizi cloud, l’azienda ha spiegato che da settembre il gruppo chiamato «Storm-0940» aveva usato ARTEX in attacchi che hanno coinvolto centinaia di aziende e altre organizzazioni in tutto il mondo. Non è stato reso noto se il gruppo sia stato coinvolto in attacchi contro aziende giapponesi.

Non è stata l’IA ad attaccare: è stata usata per attaccare

Sentendo dire che «l’IA ha avviato un attacco informatico», qualcuno potrebbe immaginare una scena da film, con le macchine che si scatenano da sole. Ma il quadro descritto questa volta da Microsoft è un po’ diverso: un gruppo di hacker umani, ritenuto legato a un governo, ha usato uno strumento di IA come mezzo. Questo è il fatto accertato.

La distinzione può sembrare sottile, ma in realtà è molto importante. È stata l’IA stessa a essere il soggetto dell’attacco, oppure sono stati aggressori umani ad affidarle una parte del lavoro? Nel primo caso sarebbe necessario ripensare dalle fondamenta il modo di difendersi; nel secondo, è più realistico considerare che la competizione tra attacchi e difese, in corso da tempo, abbia semplicemente accelerato grazie a un nuovo strumento.

Non è possibile dire qui quali siano le funzionalità specifiche di ARTEX né in quale fase dell’attacco sia stato usato. L’unica certezza è che uno strumento di IA di origine cinese era nelle mani di un gruppo di attacco ritenuto legato al governo e che Microsoft lo ha accertato sulla base dei propri registri.

La portata di centinaia di aziende e la distinzione rispetto all’impatto sul Giappone

Secondo quanto annunciato, da settembre Storm-0940 ha usato ARTEX in attacchi che hanno coinvolto centinaia di aziende e altre organizzazioni in tutto il mondo. Il numero, nell’ordine delle centinaia, fa pensare più all’ampiezza di un’operazione protratta nel tempo che a un singolo incidente.

Non è stato invece reso noto se siano state prese di mira aziende giapponesi. È necessario distinguere tra un’attività su scala mondiale e i danni subiti in Giappone. In realtà non si può affermare né che «se sono state coinvolte centinaia di aziende nel mondo, allora anche il Giappone è stato sicuramente colpito», né che «se non è stato fatto il nome del Giappone, allora non c’è alcun legame».

È importante tenere presente che, anche quando non è stato reso noto se vi siano state vittime, il principio di base per chi si occupa di sicurezza è prepararsi partendo dal presupposto che la propria azienda possa essere presa di mira con le stesse modalità.

Il significato del nome Storm-0940

«Storm-0940» è la denominazione che Microsoft usa per classificare un gruppo di attacco. Il sistema prevede di seguire i gruppi la cui organizzazione alle spalle non è ancora stata identificata con certezza assegnando loro il nome «Storm» seguito da un numero. In questo caso, è stato indicato un legame con il governo cinese. Il carattere impersonale del nome è anche un modo per raccogliere e gestire le attività osservate senza affrettarsi a trarre conclusioni definitive.

La capacità di riconoscere come viene usata l’IA, alla prova dei difensori

Che cosa cambia nella difesa delle aziende quando anche gli attaccanti iniziano a usare l’IA? Questo è probabilmente il punto centrale della notizia. Se diminuisce il lavoro necessario per preparare un attacco, con lo stesso numero di persone diventa possibile prendere di mira più organizzazioni. È del tutto plausibile che aumenti il numero degli attacchi o che migliorino la qualità dei testi e la precisione delle procedure.

Questa vicenda è stata accertata da Microsoft esaminando i registri dei propri servizi cloud. In altre parole, è stato possibile seguire i movimenti degli aggressori analizzando i log di utilizzo accumulati nel tempo. Nell’era dell’IA, la capacità di rilevare gli attacchi dipenderà probabilmente, in primo luogo, dalla presenza di sistemi che registrino le attività e permettano di individuare le anomalie.

Per dirigenti e manager, invece di allarmarsi pensando che «arriverà un attacco dell’IA», è più realistico cogliere l’occasione per rivedere le misure fondamentali: la gestione delle password, l’autenticazione a più fattori e il controllo dei registri di accesso. Anche con l’arrivo di nuovi strumenti, non cambia il fatto che gli attacchi colpiscono per primi i punti in cui le basi della difesa sono più deboli.

Siamo entrati in un’epoca in cui l’IA è alla portata tanto degli aggressori quanto di chi si difende. Il caso ARTEX merita di essere seguito anche in futuro, perché mostra questa realtà attraverso numeri e nomi concreti.