La ola de ciberataques con IA que sacude el sector financiero de Corea del Sur
En poco más de un mes, Corea del Sur ha sido testigo de lo que los expertos llaman uno de los ciberataques más coordinados y tecnológicamente sofisticados jamás dirigidos al sector financiero del país. La nueva oleada, que golpeó a casas de valores, gestores de activos y exchanges de criptomonedas, amplía un patrón que comenzó en septiembre con bancos comerciales y se extendió como mancha de aceite por toda la cadena de servicios financieros del país.
Lo que hace que estos ataques particularmente preocupantes no es solo el volumen —cerca de 100.000 registros de datos personales confirmados como comprometidos hasta ahora—, sino el método. Las señales apuntaron al uso de ARTEX, una herramienta de pruebas de penetración agéntica de código abierto desarrollada en China, combinada con modelos de lenguaje grandes (LLM) como Claude, DeepSeek y Grok. El resultado: un hacker operando aparentemente desde China, capaz de invadir múltiples instituciones financieras en un período extremadamente corto.
La expansión del ataque
La nueva oleada de ataques, confirmada el 28 de octubre, golpeó a la casa de valores Daishin Securities, que reportó la exposición de datos personales y financieros de 38.490 clientes, incluyendo nombres, direcciones de correo electrónico y números de teléfono. Mirae Asset Global Investments y el exchange de criptomonedas Bithumb también confirmaron intrusiones, aunque ninguna admitió la pérdida de datos de clientes.
La oleada original de septiembre había afectado a 16 instituciones financieras, incluyendo los bancos comerciales Shinhan, KB Kookmin y Hana Bank, además de cooperativas de ahorro, empresas de capital, instituciones financieras mutuas, proveedores de servicios financieros electrónicos y prestadores de servicio de activos virtuales. Los sistemas comprometidos no eran los sistemas nucleares de depósito y transferencia de los bancos, sino servicios auxiliares —un sistema de consulta para corredores de préstamos, un sistema interno de apoyo a las ventas para empleados, una página web externa de mutualismo.
El banco BNK Busan Bank reportó que atacantes sortearon la autenticación estándar en un servicio de consulta de préstamos, exponiendo información financiera de aproximadamente 25.000 personas. Hana Bank vio 89 registros de clientes expuestos en su sistema de apoyo a las ventas, separado del internet y del banca móvil. Shinhan Bank confirmó la violación en un servicio utilizado por agentes de préstamos para verificar el estado de solicitudes.
El Servicio de Supervisión Financiera (FSS) despachó inspectores a las empresas afectadas y está realizando verificaciones de seguridad en docenas de sistemas de TI del sector privado. El gobernador del FSS, Lee Chan-jin, convocó a los presidentes de los ocho principales grupos bancarios para reforzar las defensas cibernéticas.
El papel de ARTEX
ARTEX es una herramienta de pruebas de penetración agéntica desarrollada en China que utiliza agentes de IA autónomos para automatizar el descubrimiento de vulnerabilidades y la explotación de sistemas. Cuando el proyecto fue descubierto en uso real contra instituciones financieras, su desarrollador lo volvió de código cerrado y discontinuó actualizaciones —pero la versión ya disponible creó derivados en inglés y coreano que continúan circulando.
Según CrowdStrike, que investigó el caso, el atacante conectó ARTEX a varios LLM, incluyendo DeepSeek v4.1-flash como backend primario, GLM-5.3 (de Zhipu AI) y Grok 4.6 para sesiones adicionales. El atacante accedió al DeepSeek probablemente a través del proxy API xcai.pro, un revendedor de LLM chinés.
La infraestructura del atacante fue analizada: la IP 38.246.50.120 alojaba una instancia de ARTEX y un directorio abierto conteniendo historiales de sesiones Claude Code, archivos de configuración de ARTEX y archivos de memoria del Claude. Un documento markdown en chino especificaba cómo el LLM debería conducir actividades de pentest. El atacante usó el propio Claude para crear un currículum de investigador de seguridad con puntos sobre los resultados de las actividades de ARTEX —incluyendo un nombre ficticio "YY", un teléfono chino y un handle de Telegram.
El análisis de AhnLab (ASEC) confirmó que los ataques no apuntaron a los sistemas nucleares de procesamiento de depósitos y transferencias, sino a servicios conectados a los servicios principales: búsqueda de préstamos para corredores, sistemas internos de apoyo a ventas, páginas web externas. La misma análisis señaló que el mismo patrón de ataques —explotando sistemas auxiliares conectados a internet— fue observado en otros países, incluyendo Japón, Estados Unidos, Europa y América del Sur, en ataques de gran escala usando agentes de IA.
Por qué importa
Los ataques a Corea del Sur representan un punto de inflexión en la evolución del cibercrimen. Por primera vez, tenemos evidencia concreta de un hacker individual usando herramientas de IA agéntica para conducir una campaña de intrusiones multi-institucional contra el sector financiero de un país desarrollado.
AhnLab advirtió que el ataque no se limitó al sector financiero: también afectó a proveedores de software contable corporativo, una gran iglesia, universidades, servicios de e-books, proveedores de cloud y una empresa de franquicias. En Japón, GMO Cybersecurity identificó evidencia del mismo ARTEX siendo usado en ataques a empresas japonesas, con ocho organizaciones reportando filtraciones en septiembre y octubre.
La cuestión fundamental que surge es simple: cuando la barrera técnica para conducir ataques sofisticados cae al nivel de configurar un LLM vía API y conectar una herramienta como ARTEX, cuántos sistemas aún pueden ser considerados seguros? El atacante que operó contra el sector financiero coreano no necesitaba conocimiento de ingeniería inversa o exploits zero-day —necesitaba acceso a modelos de IA y paciencia.
¿Qué parecerá el futuro del cibercrimen cuando cada atacante tenga a disposición el poder de análisis, automatización y adaptabilidad que ARTEX ofreció —incluso en su versión ya discontinuada?
Fuentes: TechCrunch, AhnLab ASEC, CrowdStrike, BleepingComputer
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
