La ola que se extiende

El sector financiero de Corea del Sur enfrenta su tercera semana de ciberataques consecutivos, con nuevas violaciones confirmadas este miércoles que afectan a tres grandes instituciones: el bróker Daishin Securities, el exchange de criptomonedas Bithumb y la gestora de activos Mirae Asset Global Investments. El número de empresas e instituciones afectadas alcanza las 20, según autoridades reguladoras, abarcando bancos tradicionales, cajas de ahorro, plataformas de criptomonedas y aseguradoras — prácticamente todos los segmentos del sector, excepto empresas de tarjetas de crédito.

Daishin fue la más directa en sus impactos: la empresa confirmó que la información personal y financiera de 38.490 clientes fue comprometida tras hackers acceder a un servidor vinculado al servicio de apertura de cuentas en línea para servicios de inversión discrecional. La filtración incluye nombres, direcciones de correo electrónico, direcciones residenciales, IDs de inicio de sesión, nombres de bancos, números de cuentas de depósito y retiro, números de cuentas Daishin y números de teléfono celular — aunque los números de cuenta y teléfono están encriptados. El bróker detectó acceso sospechoso el 17 de octubre y analizó más de 60.000 solicitudes que se disfraçaban como tráfico legítimo de servicio durante diez días.

Bithumb reportó acceso no autorizado a su sistema interno de groupware móvil, operado por la plataforma externa Daou Office. El exchange informó que los activos de los clientes no se vieron afectados, pues el sistema comprometido no es utilizado por los clientes y está físicamente separado de la red de negociación. Mirae Asset Global Investments confirmó el acceso no autorizado a algunos de sus sistemas web, pero afirmó que no se comprometieron datos de identificación personal únicos ni información sensible.

Pero lo que llama la atención no son solo los números — es el método. La segunda ola de ataques, que se expandió de bancos y cajas de ahorro a brókeres, exchanges y aseguradoras, presenta un patrón distinto: la primera ola (septiembre) fue vinculada por CrowdStrike a un actor sospechoso chino que utilizaba ARTEX, una herramienta open-source de penetration testing agéntica desarrollada en China. La nueva ola, sin embargo, está bajo investigación.

El rastro del ARTEX

El análisis de CrowdStrike reveló detalles impactantes sobre la primera ola de ataques, que afectó a bancos como Shinhan, KB Kookmin, BNK Busan y Hana. El ataque explotó un servicio de consulta de progreso de préstamos usado por brókeres y comprometió un sistema de soporte laboral móvil para empleados.

Lo que CrowdStrike encontró en servidores controlados por el atacante fue un arsenal de herramientas de IA generativa: historiales de sesión del Claude Code, archivos de configuración del ARTEX y archivos de memoria del Claude. El prompt encontrado era un documento en chino que especificaba cómo el LLM debía conducir actividades de pentest — literalmente instrucciones para que el modelo de IA actuara como un tester de penetración humano.

El ataque usó múltiples direcciones IP proxy y una instancia alojada en 38.244.50[.]120, conteniendo el documento .claude/CLAUDE.md con instrucciones en chino para conducir actividades de pentest. La infraestructura incluía también una IP de Hong Kong con directorios abiertos conteniendo sesiones completas de pentest.

Según CrowdStrike, el actor es probablemente hablante de chino y con motivación financiera. La empresa clasificó la actividad bajo el MITRE ATT&CK como T1588.007 — Obtain Capabilities: Artificial Intelligence.

"Esta actividad demuestra cómo herramientas de IA pueden habilitar a un actor motivado financieramente a realizar múltiples intrusiones en un espacio corto de tiempo", dice el informe de CrowdStrike. "Evaluamos que adversarios continuarán experimentando con la implementación de herramientas de IA en sus operaciones para aumentar el ritmo operacional y las capacidades."

Escaneo de 4,4 millones de intentos

Un dato que merece atención: el 21 de octubre, reguladores detectaron 4,4 millones de intentos de scanning a partir de las 3 de la madrugada, con direcciones IP clasificadas como norcoreanas. El scanning — la búsqueda de puertos abiertos y vulnerabilidades en servidores objetivo — duró aproximadamente un día entero antes de cesar.

Sin embargo, las autoridades financieras advierten contra la lectura simplista de que Corea del Norte estaría detrás de los ataques. Según el análisis de los paquetes reales de red, los paquetes provenientes de IPs norcoreanas contenían únicamente la "respuesta a la solicitud" — el segundo estadio — y no la solicitud inicial de conexión. Esto sugiere que un tercero enmascaró las direcciones IP de las empresas financieras como origen para solicitar conexión a Corea del Norte, haciendo que la respuesta de Corea del Norte fuera enrutada de vuelta a las instituciones financieras.

"Las direcciones IP solas no pueden establecer la nacionalidad o afiliación de un atacante, porque la información de dirección puede ser manipulada y el tráfico enrutado por otras localizaciones", dijo un oficial del Financial Security Institute (FSI).

Este patrón sofisticado de spoofing es consistente con un atacante experimentado que usa técnicas de evasión para dificultar la atribución, no con un actor estatal norcoreano operando de forma directa.

El otro lado de la moneda

El KB Kookmin Bank ilustra bien la falla sistémica: el ataque comenzó a las 23h19 del 27 de septiembre, pero fue clasificado como "tráfico anómalo rutinario". La respuesta fue solo bloquear la dirección IP. El banco enfrentó nuevos ataques posteriormente, y el número de registros comprometidos saltó de 119 para 2.210 — 18,6 veces más.

El Shinhan Bank tardó 15 horas y 26 minutos para detectar un ataque que comenzó a las 18h04 del 28 de septiembre. El resultado: 25.727 registros con información personal filtrados.

"Clasificamos actividad de ataque como tráfico anómalo rutinario y respondimos solo bloqueando la IP" — esta puede ser la frase más aterradora sobre ciberseguridad que se puede leer en 2026.

Qué significa esto

La ola de ataques a Corea del Sur no existe aislada. En Japón, la GMO Internet reportó un incidente de seguridad involucrando datos de clientes robados. En Europa, el 123 Reg reportó el mismo modus operandi: el mismo grupo sospechoso del ataque a Corea del Sur también estaría detrás de la invasión europea.

Lo que estamos presenciando es la democratización del cibercrimen de alta complejidad. Herramientas de pentest que eran exclusivas de equipos de seguridad profesionales — o de adversarios estatales — ahora están disponibles en código abierto, con prompts en chino que transforman LLMs como el Claude en agentes de ataque autónomos.

La pregunta no es "quién está detrás" — porque el IP spoofing muestra que incluso eso puede ser una distracción — sino: ¿cuántas otras industrias financieras en otros mercados emergentes ya fueron atacadas sin que los investigadores reconocieran la firma de IA?

Y más importante: si un atacante necesita solo un prompt en chino y acceso al Claude Code para comprometer 20 instituciones financieras en semanas, ¿cuál es la barrera para que el siguiente operador haga lo mismo en otro continente?

La IA no creó el cibercrimen. Pero acabó con la escasez de experiencia que antes era el mayor obstáculo para operaciones de hacking sofisticadas. El ARTEX no es el arma — es el catalizador que transforma cualquier actor motivado financieramente en una amenaza capaz de operar en escala global.

Todo cambia. Ya no se trata de tener la mejor defensa — se trata de sobrevivir a la primera ola antes de que llegue la segunda.

Ya no se trata de prevenir — se trata de detectar más rápido.

Y cuando la IA pueda hacer más intrusiones en semanas que un grupo de hackers haría en años, la pregunta no es "quién está detrás" — sino: ¿quién detectará el próximo ataque antes de que los datos se filtren?

Porque el próximo no será en Seúl. Será en cualquier lugar. Y quién sabe, quién sabe, ya estará en curso.

La escasez de experiencia en ciberseguridad ofensiva terminó. Lo que queda es la escasez de detección en tiempo real. Y esa es una diferencia que lo cambia todo.

Fuentes: TechCrunch, The Korea Herald, CrowdStrike, The Register

✓ Fuentes independientes cruzadas y verificadas antes de la publicación