Zero-Day di Operation Dream Job colpisce aziende della difesa e dell'aerospazio

Un'esca familiare con una nuova e pericolosa variante

Le truffe di lavoro e il phishing dei reclutatori non sono una novità, ma l'ultima ondata dell'Operazione Dream Job mostra fino a che punto gli aggressori siano disposti a spingersi per far sembrare reale un'opportunità falsa. Secondo Check Point Research, dall'inizio del 2026 attori delle minacce collegati alla campagna di lunga durata Operation Dream Job hanno preso di mira il settore della difesa a livello globale, con un'attenzione particolare alle aziende dell'industria aerospaziale e dell'aviazione. La campagna è stata in passato associata all'attività del gruppo Lazarus legato alla Corea del Nord, e quest'ultima ondata abbina esche a tema reclutamento con un exploit zero-day per Windows, una combinazione che alza notevolmente la posta in gioco per chiunque ricopra un ruolo legato alla difesa e riceva una proposta di lavoro non richiesta.

Ciò che rende questa campagna degna di nota non è solo il settore preso di mira, ma la sofisticazione che vi sta dietro. Invece di affidarsi esclusivamente alla convinzione di qualcuno a consegnare credenziali, gli aggressori avrebbero utilizzato una vulnerabilità software precedentemente sconosciuta per ottenere un accesso più profondo una volta che il bersaglio interagiva con l'esca. Questo passaggio dalla sola ingegneria sociale all'ingegneria sociale abbinata a un zero-day fa parte di un modello più ampio che i ricercatori hanno segnalato ripetutamente quest'anno, anche nella copertura zero-day di Check Point di inizio settimana, dove vulnerabilità vecchie e nuove continuano a riemergere come vettori di attacco.

Come si sviluppa l'attacco

Sulla base delle segnalazioni, la catena di attacco segue uno schema che i ricercatori di sicurezza classificano sotto tecniche riconoscibili: accesso iniziale tramite allegati di spear-phishing ed esecuzione che si basa sull'apertura o l'interazione dell'utente con un file dannoso. In pratica, ciò significa tipicamente che il bersaglio riceve un messaggio che sembra provenire da un reclutatore legittimo, spesso facendo riferimento a un'azienda o a un ruolo reali, completo di un allegato presentato come descrizione del lavoro, modulo di candidatura o compito di valutazione. Una volta aperto, il file innesca l'esecuzione di codice sulla macchina della vittima, momento in cui la componente zero-day consente agli aggressori di eludere protezioni che normalmente bloccherebbero malware più convenzionali.

Un dettaglio della ricerca risalta: in almeno un caso, gli aggressori hanno utilizzato un'organizzazione compromessa in Europa occidentale per lanciare ulteriori email di spear-phishing, trasformando di fatto l'identità fidata della vittima stessa in una piattaforma di lancio per attacchi aggiuntivi. Si tratta di un'escalation significativa. Significa che l'email di phishing ricevuta dal bersaglio potrebbe non provenire da un indirizzo palesemente sospetto, bensì da un contatto reale, precedentemente legittimo, i cui sistemi sono già stati compromessi. Questa tattica rispecchia una tendenza più ampia riscontrata in recenti incidenti zero-day, simile nello spirito a come gli aggressori che sfruttano la zero-day di Cisco FMC hanno fatto leva sullo sfruttamento attivo di infrastrutture fidate per espandere il proprio raggio d'azione prima che la rilevazione li raggiunga.

Perché difesa e aerospazio sono nel mirino

Lo schema di attacco qui non è casuale. I contractor della difesa e le aziende aerospaziali detengono proprietà intellettuale di valore, informazioni sui contratti governativi e accesso alla catena di approvvigionamento che li rendono bersagli attraenti per operazioni di spionaggio legate a Stati. Le esche a tema lavoro funzionano particolarmente bene contro questo settore perché le aziende della difesa e dell'aerospazio sono costantemente alla ricerca di ingegneri specializzati, analisti e personale tecnico, molti dei quali sono attivi su piattaforme di networking professionale e aperti a contatti da parte di reclutatori. Questo normale comportamento di assunzione diventa l'esatta vulnerabilità che gli aggressori sfruttano.

L'uso di un zero-day suggerisce anche un'operazione ben finanziata. Le vulnerabilità zero-day sono costose da scoprire o acquisire e sono tipicamente riservate a obiettivi di alto valore piuttosto che a truffe opportunistiche su larga scala. La loro comparsa qui rafforza l'idea che questa ondata di Operation Dream Job sia un'attività di spionaggio mirata e non un semplice crimine informatico generico.

Cosa significa per te

Se lavori nella difesa, nell'aerospazio, nell'aviazione o in un settore affine, questa campagna è un promemoria che non tutti i messaggi insoliti dei reclutatori sono innocui, anche quando sembrano provenire da un contatto o un'organizzazione familiare. Il compromesso di un'organizzazione legittima dell'Europa occidentale per inviare email di phishing successive dimostra che i soli segnali di fiducia (un mittente conosciuto, un nome aziendale reale, un tono professionale) non sono più indicatori affidabili di sicurezza.

A livello personale, questa è anche una storia di privacy. Una volta che gli aggressori ottengono un punto d'appoggio attraverso un zero-day, possono potenzialmente accedere a molto più che ai soli file di lavoro, incluse comunicazioni personali, credenziali e attività di navigazione sul dispositivo compromesso. Chiunque gestisca informazioni professionali sensibili dovrebbe trattare gli allegati inaspettati, anche quelli ben confezionati, con maggiore attenzione, e le organizzazioni dovrebbero assicurarsi che le protezioni degli endpoint e i processi di applicazione delle patch non si basino esclusivamente sull'intercettazione delle minacce note.

Consigli pratici

Diffida dei contatti non richiesti da parte di reclutatori che ti chiedono di aprire allegati o cliccare link, specialmente se arrivano al di fuori della tua abituale piattaforma di lavoro. Verifica l'identità del reclutatore in modo indipendente prima di interagire ulteriormente. Mantieni aggiornati i sistemi operativi e i software di sicurezza, poiché le protezioni contro gli zero-day spesso dipendono da difese stratificate piuttosto che da una singola patch. Se lavori in un settore preso di mira, segnala le offerte di lavoro sospette al team di sicurezza della tua organizzazione invece di gestirle autonomamente. L'ultima ondata di Operation Dream Job sottolinea che anche interazioni professionali di routine possono diventare un punto di ingresso per attacchi sofisticati e mirati, e restare cauti è ancora una delle difese più efficaci a disposizione.