CrowdStrike ha pubblicato il Financial Services Threat Landscape Report 2026, un’analisi dedicata all’evoluzione delle minacce informatiche contro il settore dei servizi finanziari. Dal report emerge un quadro segnato da tre fenomeni principali: la crescita dei furti di asset digitali collegati ad attori nordcoreani, l’espansione delle attività di spionaggio riconducibili alla Cina e l’aumento della pressione ransomware contro banche, fintech, assicurazioni e operatori finanziari.
Secondo i dati diffusi dall’azienda, nel 2025 gli avversari legati alla Corea del Nord hanno sottratto 2,02 miliardi di dollari in asset digitali, con un aumento del 51% su base annua. Le intrusioni di tipo hands-on-keyboard contro gli istituti finanziari sono cresciute del 43% a livello globale e del 48% in Nord America negli ultimi due anni. Il dato conferma il ruolo centrale del settore finanziario tra gli obiettivi più esposti, soprattutto per l’elevato valore degli asset gestiti e per la crescente dipendenza da identità digitali, servizi cloud e applicazioni SaaS.
Furti crypto e supply chain nel mirino degli attori nordcoreani
Il report attribuisce agli attori DPRK-nexus, cioè collegati alla Corea del Nord, un ruolo di primo piano nei furti di criptovalute e asset digitali. Tra i casi più rilevanti indicati da CrowdStrike figura l’attività di PRESSURE CHOLLIMA, gruppo ritenuto responsabile di un furto da 1,46 miliardi di dollari in criptovalute attraverso software trojanizzato distribuito tramite una compromissione della supply chain.
Il termine software trojanizzato indica un programma che appare legittimo, ma contiene codice malevolo inserito per compromettere sistemi, sottrarre dati o consentire accessi non autorizzati. In un contesto finanziario, una tecnica di questo tipo può avere effetti particolarmente gravi, perché consente agli avversari di colpire ambienti già considerati affidabili dalle organizzazioni.
CrowdStrike segnala anche l’attività di GOLDEN CHOLLIMA, che avrebbe utilizzato esche legate al recruiting per dirottare fondi in criptovaluta e accedere agli ambienti cloud di società fintech nel Sud-est asiatico e in Canada. La tattica sfrutta un elemento ormai ricorrente nelle campagne contro il settore: l’abuso della fiducia, sia attraverso identità credibili sia tramite processi aziendali apparentemente ordinari.
L’AI rende più credibili identità false e campagne di inganno
Uno degli aspetti più rilevanti del report riguarda l’utilizzo dell’intelligenza artificiale da parte degli avversari. Secondo CrowdStrike, i gruppi legati alla Corea del Nord hanno usato strumenti AI per rendere più efficaci le operazioni di inganno contro exchange crypto, piattaforme fintech e banche consumer.
FAMOUS CHOLLIMA avrebbe raddoppiato le proprie attività tramite identità generate con l’AI, usate per infiltrarsi in organizzazioni finanziarie e piattaforme legate agli asset digitali. STARDUST CHOLLIMA avrebbe invece triplicato l’intensità operativa, con profili di recruiter generati artificialmente e ambienti di videoconferenza sintetici, pensati per colpire società fintech in Nord America, Europa e Asia.
Questi scenari mostrano una tendenza ormai chiara: l’AI abbassa il costo operativo delle campagne di social engineering. La creazione di profili credibili, messaggi personalizzati, identità professionali false e ambienti digitali apparentemente legittimi può avvenire con maggiore rapidità, con meno risorse e con un livello più alto di automazione.
Spionaggio cinese e reti di relay box
Il report evidenzia anche l’espansione globale delle attività di spionaggio riconducibili ad attori di matrice cinese. CrowdStrike indica questi gruppi come una delle minacce più significative per la raccolta di informazioni strategiche nel settore finanziario.
Tra gli esempi citati figura HOLLOW PANDA, associato a intrusioni contro istituti finanziari nelle Filippine, in Indonesia e in Brasile. MURKY PANDA avrebbe invece utilizzato una rete operativa di relay box composta da oltre 150 endpoint in 36 Paesi, con attività rivolte a 340 organizzazioni in più di 30 settori. I servizi finanziari risultano tra i bersagli più colpiti.
Le relay box sono infrastrutture intermedie usate per mascherare l’origine del traffico e rendere più difficile l’attribuzione delle attività malevole. Per i team di sicurezza, questo complica l’analisi degli incidenti, perché l’attività può apparire come traffico proveniente da sistemi compromessi o da nodi distribuiti in più aree geografiche.
Ransomware e leak site: cresce la pressione sulle organizzazioni finanziarie
Il settore finanziario resta anche sotto forte pressione da parte dei gruppi eCrime. Secondo CrowdStrike, 423 organizzazioni dei servizi finanziari sono apparse su siti di leak dedicati, con un aumento del 27% su base annua.
Il report cita MUTANT SPIDER come uno degli attori responsabili del maggior volume di intrusioni legate a campagne di vishing, una forma di phishing condotta tramite telefonate o comunicazioni vocali. In questi casi, l’obiettivo consiste spesso nell’ottenere credenziali, accessi o informazioni operative utili a preparare intrusioni più ampie. Gli accessi ottenuti possono poi essere venduti a gruppi ransomware, con effetti diretti sulla rapidità degli attacchi.
CrowdStrike segnala inoltre il ritorno operativo di SCATTERED SPIDER, che nella prima metà del 2025 avrebbe avviato operazioni ransomware aggressive contro enti assicurativi dopo una pausa di quattro mesi. Il dato conferma come le compagnie assicurative, oltre a banche e fintech, restino un bersaglio di interesse per gli avversari, sia per i dati trattati sia per la criticità dei servizi erogati.
Il problema del tempo tra accesso iniziale e impatto
Secondo Adam Meyers, Head of Counter Adversary Operations di CrowdStrike, le società finanziarie devono fronteggiare minacce provenienti da più direzioni, con l’AI che rende più complessa la difesa. Il costo per creare identità credibili, automatizzare la ricognizione e accelerare il furto di credenziali si è ridotto in modo significativo.
Il punto centrale riguarda il tempo che separa l’accesso iniziale dall’impatto operativo. Gli avversari sfruttano credenziali, identità affidabili, strumenti SaaS e percorsi già presenti negli ambienti aziendali per muoversi più rapidamente rispetto ai modelli di difesa tradizionali. In questo scenario, il rilevamento basato solo su indicatori tecnici isolati può non essere sufficiente.
Per le organizzazioni finanziarie diventa quindi essenziale collegare threat intelligence, monitoraggio delle identità, analisi del comportamento, protezione cloud e capacità di risposta rapida. L’obiettivo è ridurre la finestra temporale utile agli attaccanti e individuare prima le attività anomale che precedono furti di dati, estorsioni o compromissioni di asset digitali.
Una minaccia sempre più ibrida per banche, fintech e assicurazioni
Il Financial Services Threat Landscape Report 2026 descrive un ecosistema di minaccia sempre più ibrido. I furti di criptovalute, le campagne di inganno potenziate dall’AI, lo spionaggio geopolitico e il ransomware non procedono come fenomeni separati, ma spesso si sovrappongono.
Per banche, fintech, exchange, assicurazioni e operatori finanziari, la superficie d’attacco include ormai identità digitali, ambienti cloud, piattaforme SaaS, supply chain software e comunicazioni professionali. La difesa richiede quindi una visibilità più estesa e una capacità di correlare segnali che, presi singolarmente, potrebbero non apparire critici.
Il report di CrowdStrike conferma che il settore finanziario resta uno dei bersagli più redditizi per gli avversari informatici. La combinazione tra asset di alto valore, infrastrutture digitali complesse e strumenti AI usati dagli attaccanti rende necessarie strategie di sicurezza più rapide, integrate e basate su intelligence aggiornata.
