Un solo atacante golpeó a siete entidades financieras surcoreanas y los reguladores sospechan de herramientas de IA

Los reguladores financieros de Corea del Sur han convocado una reunión de emergencia de todo el sector después de que los investigadores vincularan las intrusiones en siete empresas financieras con un único atacante. Entre los objetivos figuran tres de los bancos más grandes del país, Shinhan Bank, KB Kookmin Bank y Hana Bank, además de BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank y la filial de financiación de automóviles Hyundai Capital. La reunión se celebró el 4 de octubre, y la Comisión de Servicios Financieros y el Servicio de Supervisión Financiera coordinan la respuesta, según informó primero Seoul Economic Daily.

El caso destaca menos por su escala que por su método. Según los investigadores, el mismo atacante rotó repetidamente direcciones IP en ocho países, entre ellos Corea del Sur, Estados Unidos, Japón, Hong Kong, Singapur, Vietnam, Tailandia y Reino Unido. Park Sang-won, responsable del Instituto de Seguridad Financiera, dijo que los atacantes parecían haber usado herramientas de IA para ejecutar campañas de intrusión automatizadas. Entre los detalles reportados hay una cadena en chino, que parece el título de una consola de pruebas de penetración autónomas, hallada en un servidor web comprometido. Es una pista, no una atribución, y los investigadores no han identificado a ningún grupo responsable.

Cómo se produjeron las intrusiones

Los reguladores identificaron tres categorías de debilidades. La primera fueron servicios internos de consulta de información sin verificación de identidad adecuada. La segunda, sistemas de soporte a empleados sin controles de acceso a dispositivos y con vulnerabilidades web sin parchear. La tercera, sitios web públicos explotados mediante fallos conocidos para instalar código malicioso y robar archivos de registro de clientes. Ninguna de estas técnicas es nueva. Lo distinto es la velocidad y la amplitud: un solo operador trabajando sobre muchos objetivos en poco tiempo y cambiando de infraestructura cada vez que lo bloqueaban.

Los datos comprometidos procederían de sistemas auxiliares de empleados y de intermediarios de préstamos. Los informes citan unos 2200 registros de representantes de empresas, con nombres, direcciones de correo y números de teléfono. Las autoridades afirman que los servicios de cara al cliente no se vieron afectados y que, por ahora, no hay pérdidas financieras comunicadas.

Qué piden los reguladores a las entidades

La Comisión de Servicios Financieros ha pedido a unas 500 entidades que revisen sus sistemas frente a las mismas tres debilidades, con plazos escalonados. Bancos y compañías de tarjetas tienen hasta el 6 de octubre, y las casas de valores, aseguradoras, cajas de ahorro y proveedores de servicios financieros electrónicos hasta el 8 de octubre. Para las entidades fuera de este grupo, la lección es la misma: una vulnerabilidad conocida en un sistema público es ya un punto de entrada realista para un atacante automatizado, y el margen entre la divulgación y la explotación se está acortando.

Por qué importa la dimensión de la IA

La intrusión asistida por IA lleva años siendo una advertencia, pero la mayoría de los casos públicos implicaban atacantes que usaban modelos de lenguaje para redactar correos de phishing o fragmentos de código. Un caso en el que los investigadores creen que la automatización gestionó el reconocimiento, la explotación y la rotación de infraestructura en varias instituciones es un ejemplo mucho más concreto. Como aún no se ha publicado una cronología técnica completa, el papel de la IA debe tratarse como un factor sospechoso, no confirmado, hasta que se publique el informe forense.

Como informó Seoul Economic Daily, la reunión de emergencia siguió al descubrimiento de direcciones IP compartidas entre incidentes en instituciones que antes no estaban relacionadas. Que los plazos escalonados basten dependerá de cuántas de las 500 entidades ya hayan aplicado los parches necesarios.