✨︎ Resumen (TL;DR):
- Corea del Sur abrió una investigación policial para determinar si se utilizaron herramientas de IA en ataques contra entidades financieras.
- El Wall Street Journal reportó, citando a funcionarios, que al menos 7 entidades fueron afectadas y que se sustrajeron datos personales de 68,000 personas.
- La FSC informó que no se habían filtrado contraseñas ni códigos OTP, pero advirtió sobre posibles fraudes con otros datos personales y financieros.
Corea del Sur abrió una investigación policial para determinar si se utilizaron herramientas de inteligencia artificial en una serie de ciberataques contra entidades financieras. El presidente Lee Jae Myung pidió esclarecer rápidamente los hechos el 6 de octubre de 2026, después de que los incidentes expusieran datos de clientes. Según funcionarios citados por The Wall Street Journal, al menos 7 entidades financieras fueron afectadas y se sustrajeron datos personales de 68,000 personas.
Lee Jae Myung dijo que había indicios del uso de IA en algunos incidentes. Reuters informó, en una nota publicada por CNA, que la policía abrió la investigación. Shinhan Bank y KB Kookmin estaban entre las entidades que habían comunicado ataques.
Artex AI es una herramienta de ciberseguridad desarrollada en China. Los investigadores encontraron rastros de esta herramienta. Reuters señaló que las autoridades todavía no habían detallado públicamente qué herramientas se emplearon ni el alcance completo de las filtraciones.
La participación de la IA sigue bajo investigación. Todavía no se ha establecido cuánto trabajo ejecutó el software ni con qué autonomía. La Comisión de Servicios Financieros de Corea del Sur, conocida como FSC, también aclaró que el origen de una herramienta y el destino de los datos son aspectos distintos de la investigación.
Los ataques alcanzaron sistemas de apoyo
Durante su intervención en una reunión de emergencia, Lee Eog-weon, presidente de la FSC, explicó que los ataques afectaron páginas y servidores utilizados por empleados y agentes de préstamos. Esos entornos de trabajo habían recibido menos atención en la gestión de seguridad.
La FSC pidió revisar los accesos de proveedores y contratistas, limitar la información que cada usuario puede consultar y cerrar conexiones externas innecesarias. El regulador señaló que el problema abarca sistemas auxiliares que almacenan datos de clientes o permiten consultarlos.
Por eso, la revisión debe cubrir tanto los servicios dirigidos a clientes como las herramientas internas accesibles desde el exterior. Las entidades también deben incorporar a sus controles los indicadores de los ataques que las autoridades ya compartieron y verificar que se aplicaron las correcciones necesarias.
Lee Eog-weon mantuvo abierta la posibilidad de que se tratara de ataques asistidos por IA y pidió acelerar el desarrollo de defensas que también utilicen esa tecnología.
Los datos filtrados pueden hacer creíble una estafa
En su alerta del 6 de octubre, la FSC informó que no se habían filtrado contraseñas ni códigos de un solo uso, conocidos como OTP. El regulador advirtió que otros datos personales y financieros podrían utilizarse para suplantar a trabajadores bancarios.
La FSC explicó que conocer los ingresos o el límite de crédito de una persona puede dar credibilidad a una llamada fraudulenta. La alerta contempla engaños mediante ofertas de préstamos, refinanciaciones o falsas compensaciones, además de mensajes que induzcan a realizar pagos o instalar aplicaciones.
La comisión también publicó una aclaración sobre mensajes difundidos en redes sociales. Hasta ese momento, no había confirmado una filtración de datos de cuentas utilizables directamente para efectuar transacciones. Tampoco había confirmado que la información sustraída hubiera sido transferida a China.
Las autoridades establecieron desde el 6 de octubre un periodo especial de respuesta de un mes, con posibilidad de prórroga. Ordenaron ofrecer atención a las personas afectadas y aumentar la vigilancia de préstamos, aperturas de cuentas y transferencias de alto riesgo para contener posibles fraudes posteriores.
El riesgo inmediato señalado por la FSC está en los fraudes dirigidos con datos personales. La investigación todavía debe establecer qué papel tuvo la IA, cuánto trabajo ejecutó el software, con qué autonomía operó y si la información sustraída llegó a China.
