Herramientas de IA aceleran ataques a bancos surcoreanos

Varios institutos financieros de Corea del Sur fueron entre finales de septiembre y principios de octubre de 2026 el objetivo de un ciberataque en el que la inteligencia artificial aceleró la búsqueda de sistemas vulnerables. La empresa de seguridad CrowdStrike reconstruyó el proceso a partir de archivos y registros de sesiones en un servidor controlado por el atacante. The Decoder y el medio especializado taiwanés iThome informan de forma independiente sobre el análisis. Ambas fuentes enfatizan que la atribución debe leerse con cautela: CrowdStrike considera probable que el autor sea de habla china, pero solo le asigna una seguridad media y no vincula la actividad a ningún grupo estatal o criminal conocido.

ARTEX automatiza la búsqueda de vulnerabilidades

En el centro del incidente se encuentra ARTEX, una herramienta de código abierto para pruebas de penetración. Fue publicada en GitHub en julio de 2026 y desarrollada en China. El programa combina métodos de prueba clásicos con grandes modelos de lenguaje. En lugar de examinar manualmente cada dirección objetivo y posible vulnerabilidad, un operador puede automatizar los procesos, evaluar indicios técnicos y preparar pasos de ataque. Según CrowdStrike, ARTEX estaba configurado para usar DeepSeek v4.1-flash como modelo de lenguaje principal. En otros registros de sesión aparecieron GLM-5.3 y Grok 4.6 como herramientas auxiliares.

Los datos encontrados, según los investigadores de seguridad, incluyen archivos de configuración de ARTEX, registros de Claude Code y notas de trabajo guardadas. No solo muestran pasos técnicos, sino también que el atacante buscaba en grupos de Telegram mercados para datos robados. Estos rastros indican que la información obtenida podría ser explotada económicamente. Sin embargo, no prueban que se haya realizado una venta. Hasta el momento, las fuentes no han reportado compradores confirmados ni una transferencia completamente documentada de los conjuntos de datos.

Al menos 25.000 registros en un banco

Los datos más concretos se refieren a Shinhan Bank. El periódico coreano Khan informó que allí se filtraron más de 25.000 registros. Estos contenían nombres, datos de contacto, ingresos y límites de crédito. Se dice que otras bancos también fueron afectados, pero sus nombres y el número exacto de registros robados no se publicaron completamente en los informes disponibles. Por ello no se puede cuantificar de forma fiable ni el número total de víctimas ni el posible daño financiero. Tampoco se han cuantificado aún consecuencias como robo de identidad, fraude o solicitudes de crédito fraudulentas.

La autoridad financiera de Corea del Sur convocó, tras conocerse los incidentes, una reunión de urgencia. El presidente Lee Jae-myung exigió una investigación exhaustiva. Estas reacciones evidencian la importancia política, pero no sustituyen una auditoría forense concluida. Hasta ahora no se ha demostrado públicamente si todas las instituciones atacadas presentaban la misma vulnerabilidad o si ARTEX encontró diferentes puntos de acceso en cada caso. También faltan datos sobre cuánto tiempo permanecieron los atacantes sin ser detectados en las redes y qué medidas de protección fallaron.

La IA cambia el ritmo, no las reglas de evidencia

El caso no constituye evidencia de que un modelo de lenguaje por sí solo pueda comprometer un banco. Más bien muestra cómo un único operador puede combinar herramientas existentes, modelos abiertos y técnicas de ataque tradicionales. La búsqueda automatizada y las sugerencias generadas por máquina acortan el camino desde una vulnerabilidad conocida hasta un ataque funcional. Sin embargo, los pasos decisivos siguen siendo acciones técnicas del atacante. La atribución también debe basarse en la infraestructura, el idioma, los patrones temporales y otras pistas. Un modelo utilizado o una herramienta desarrollada en China no prueba por sí mismo ni el origen ni el patrocinador.

• CrowdStrike asigna al atacante a un entorno de habla china solo con seguridad media
• ARTEX combinó pruebas de seguridad automatizadas con varios modelos de lenguaje
• en Shinhan Bank se habrían filtrado más de 25.000 registros
• para otras instituciones aún faltan cifras completas de víctimas y daños
• no se ha confirmado públicamente la venta de los datos robados

Para los bancos esto implica una doble tarea. Deben cerrar vulnerabilidades conocidas más rápidamente, ya que los atacantes pueden automatizar cada vez más su búsqueda. Al mismo tiempo, deben registrar consultas inusuales, nuevas herramientas y movimientos de datos de modo que un incidente pueda ser reconstruido de forma fiable más adelante. Medidas clásicas como la segmentación, la autenticación multifactor, los privilegios mínimos y la monitorización de grandes flujos de datos no pierden importancia con la IA. Al contrario: cuanto más rápido se prepara un ataque, más cruciales se vuelven los tiempos de respuesta cortos y los procedimientos de desconexión claramente definidos.

Permanece incierto cuán amplia fue realmente la campaña. El análisis de CrowdStrike se basa en material de la infraestructura del atacante; no hay una confirmación independiente de todos los detalles por parte de las autoridades surcoreanas ni de otra empresa de seguridad en los informes citados. Tampoco se ha demostrado una vinculación con un Estado o un grupo organizado. La conclusión más fiable, por lo tanto, es más estrecha: se emplearon herramientas de ataque basadas en IA de código abierto en un robo real contra instituciones financieras, y al menos un banco informó de una fuga significativa de datos sensibles de clientes. Todo lo demás debe ser aclarado por la investigación en curso.