L’ombra lunga di APT36. Phishing nel 2025? Funziona ancora. Eccome

A volte sembra che il mondo della cybersecurity corra troppo veloce per i criminali comuni. Eppure, poi leggi notizie come quella di APT36 – un gruppo hacker pakistano legato a operazioni di spionaggio militare – che prende di mira ufficiali della Difesa indiana con una semplice email di phishing... e capisci che la vera arma non è il malware, ma la psicologia. 

Pakistan vs India: una rivalità lunga quanto il dopoguerra

Per capire il contesto serve un minimo di geopolitica. India e Pakistan non si sopportano praticamente dalla nascita. Dal 1947 ad oggi, si sono fronteggiati in guerre aperte, crisi nucleari, scontri di confine in Kashmir e battaglie diplomatiche all’ONU. La cybersecurity è solo il nuovo fronte di un conflitto eterno.

Nel grande risiko globale:

• India è allineata con Stati Uniti, Israele e Francia in ambito militare e tecnologico.
• Pakistan è storicamente vicino alla Cina, ma mantiene forti legami con la Turchia e, in parte, con l’Iran.
• Gli USA hanno fornito armi sia a India che Pakistan in momenti diversi, ma oggi puntano decisamente sull’India come contrappeso alla Cina.

APT36 (noto anche come Transparent Tribe) è un gruppo APT (Advanced Persistent Threat) attribuito al Pakistan e attivo almeno dal 2013. I suoi obiettivi principali sono:

• Personale militare indiano
• Istituzioni governative
• Organizzazioni accademiche e di ricerca

Il gruppo è stato più volte collegato ai servizi segreti pakistani, e le sue attività puntano chiaramente a raccogliere informazioni riservate, credenziali di accesso, movimenti militari e documenti classificati.

Il vettore dell’attacco scoperto di recente è quasi disarmante per la sua semplicità: email di phishing ben congegnate inviate a membri della difesa indiana.

• Oggetto accattivante e contestualizzato (es. “Notification for transfer” o “Training schedule”).
• Documento allegato (spesso un .zip, .pdf o .docx) che contiene malware infostealer.
• Link a siti compromessi o cloni di portali governativi, che chiedono il login.

Il punto forte dell’attacco? L’ingegneria sociale: nomi, sigle, linguaggio, firma e grafica imitano quelli autentici usati nel contesto militare indiano. Il bersaglio abbassa la guardia.

Siamo nel pieno dell’era Zero Trust, delle passwordless login e della MFA ovunque, eppure... il phishing resta la tecnica d’attacco più efficace al mondo. Perché?

Perché l’anello debole non è il software, ma l’essere umano.

• Un ufficiale stanco, distratto o troppo fiducioso clicca.
• Nessun antivirus può prevenire una decisione sbagliata.
• MFA? Se il sito è un perfetto clone, l’attaccante riceve anche quello.

APT36 ha dimostrato che non serve bucare i firewall di una base militare: basta convincere una persona a scaricare il cavallo di Troia. Questa storia ha qualcosa di inquietante: la guerra tra nazioni oggi si combatte su una tastiera, e i nemici non usano sempre exploit zero-day, ma la nostra mente contro di noi. APT36 non ha sfondato firewall o violato VPN. Ha usato soft skills, analisi comportamentale, social engineering. È un buon promemoria per tutti noi: possiamo blindare i sistemi, ma se non formiamo le persone, siamo comunque vulnerabili.