Durante dos años el sector discutió si la IA cambiaría de forma significativa la seguridad ofensiva o si solo serviría para escribir mejores correos de phishing. Los ataques al sector bancario de Corea del Sur a comienzos de octubre movieron esa discusión, aunque no en la dirección que apuntaba la mayoría de los pronósticos.
Qué pasó
Entre fines de septiembre y principios de octubre de 2026, seis instituciones financieras surcoreanas reportaron vulneraciones: Shinhan Bank, KB Kookmin, Hana Bank, BNK Busan, Yegaram Savings Bank y Hyundai Capital. Los datos expuestos incluían nombres, números de teléfono, cifras de ingreso anual y límites de crédito, y en algunos casos números de registro de residente, el equivalente coreano de una identificación nacional. Más de 144,000 clientes resultaron afectados y varios sistemas tuvieron que salir de línea. El gobierno convocó una reunión de emergencia exigiendo correcciones inmediatas.
Al parecer, el operador era una sola persona.
Según el análisis de CrowdStrike, usó ARTEX —una suite de pruebas de intrusión agénticas, de código abierto, que automatiza el reconocimiento, el descubrimiento de vulnerabilidades, la planificación de rutas de ataque y la verificación de exploits— junto con agentes de Claude. El despliegue de ARTEX corría el modelo de DeepSeek como backend principal, complementado con GLM de Zhipu AI y Grok de xAI.
Esa mezcla importa más de lo que parece. No es el problema del modelo de una empresa. Cuando la capa de orquestación es de código abierto y el modelo que va detrás es intercambiable, restringir a un proveedor concreto no evita el trabajo: lo reubica. El desarrollador de ARTEX respondió cerrando el código del proyecto y aclarando que los ataques no tenían nada que ver con el propósito de la herramienta, pero ya circulaban derivados en inglés y en coreano.
Al operador terminaron identificándolo por descuido, no por forensia. Dejó historiales de sesión de Claude, archivos de configuración de ARTEX y archivos de memoria de los agentes en directorios web abiertos. Entre ese material, los investigadores encontraron un currículum generado con las mismas herramientas. CrowdStrike tuvo el cuidado de señalar que la atribución resultante no es lo bastante sólida como para darla por definitiva.
Una nota sobre la comparación con México
Casi toda la cobertura de este incidente recurre a un precedente: la afirmación de que un solo operador usó agentes de IA para vulnerar nueve dependencias del gobierno mexicano a principios de 2026. Conviene tomar esa comparación con pinzas. Ese relato proviene del informe de un único proveedor, las dependencias señaladas lo negaron públicamente y hay sobre la mesa una explicación mucho más ordinaria: una API federal expuesta que devolvía registros de ciudadanos a quien los pidiera. Lo analizamos en detalle en 2.3 terabytes: los registros ciudadanos de México y los sistemas que nadie administraba.
Las intrusiones de Seúl son otro tipo de evidencia. Hay instituciones afectadas con nombre y apellido que reconocieron la vulneración, un regulador respondiendo en público y un análisis técnico independiente construido sobre los propios archivos de trabajo que el atacante dejó expuestos. Por eso esta nota trata sobre Seúl.
Qué cambió realmente
Las técnicas no. La campaña no necesitó un día cero. Se apoyó en sistemas expuestos y periféricos: el portal de la subsidiaria, el servicio que ya nadie administra, el host que nunca llegó al inventario de activos. Son las mismas debilidades que aparecen en todos los informes de evaluación desde hace veinte años.
El ritmo sí. El reconocimiento, la enumeración, el desarrollo del exploit y la exfiltración solían ser las partes lentas de una intrusión, y esa lentitud era un activo defensivo: era la ventana en la que alguien leía una alerta y aplicaba un parche. Las herramientas agénticas la comprimen. Hoy una sola persona cubre el terreno que antes exigía un equipo coordinado.
La economía de la selección de objetivos. Cuando el reconocimiento es caro, el atacante prioriza. Cuando es casi gratis, ya no hay razón para saltarse el objetivo pequeño, el subdominio dormido o la subsidiaria que nadie recuerda haber adquirido. "Somos demasiado chicos para que valga la pena" siempre fue un argumento débil. Ahora es prácticamente insostenible, porque ya casi no hay esfuerzo que sopesar.
Las barreras de los modelos son un tope de velocidad. Donde hubo modelos comerciales de por medio, algo hicieron: se negaron, marcaron la solicitud, pusieron resistencia. También los rodearon, y el operador simplemente movió esas tareas a modelos que no objetaban. Las barreras valen la pena, pero no son un control del que puedas depender, y no son tu programa de seguridad.
Qué significa para tus defensas
Las implicaciones prácticas son, para frustración de todos, los mismos fundamentos de siempre. Lo que se estrechó es el margen para dejarlos sin hacer.
Encuentra lo que tienes expuesto antes de que lo haga un agente. La campaña funcionó contra infraestructura periférica. Un inventario exacto y actualizado de todo lo tuyo alcanzable desde internet —incluidos los sistemas que heredaste, volviste a heredar y nunca diste de baja— es el ejercicio de mayor valor disponible. No puedes defender lo que no está en la lista.
Acorta la ventana de parcheo en todo lo expuesto a internet. Con descubrimiento automatizado, el tiempo entre que una vulnerabilidad se hace pública y alguien encuentra tu exposición se mide en horas.
Asume que el reconocimiento es continuo y automatizado. El escaneo y la enumeración contra tu perímetro deberían quedar registrados y generar señal. En una campaña de esta forma, es uno de los pocos indicadores tempranos que vas a tener.
Trata el desmantelamiento como una tarea de seguridad. Apagado y olvidado son estados distintos, y solo uno de los dos es seguro.
Mantén a una persona en la ruta de aprobación. El hilo que atraviesa todo esto es que la propiedad peligrosa es la autonomía sin punto de control, y eso aplica para los dos bandos. La IA defensiva sirve de verdad para el problema de volumen: triar alertas, correlacionar señales, redactar la remediación. Lo que no debería hacer es cambiar tu entorno por criterio propio. Nuestra posición es que la IA prepare la corrección y espere a que una persona la apruebe, que es como está construida la capa de IA de nuestro stack. Un agente capaz de actuar sin supervisión es una capacidad, y las capacidades terminan apuntando en ambas direcciones.
La conclusión honesta
Nada de esta campaña habría sorprendido a un equipo de seguridad en 2015. Servicios expuestos, sistemas sin parchar, plataformas olvidadas, datos donde no debían estar. Lo que cambió es que explotar todo eso de una sola vez ya está al alcance de una persona motivada con una laptop y una suscripción.
Los fundamentos defensivos no cambiaron. Lo que cambió es el costo de descuidarlos.
Fuentes
- ARTEX AI, Claude agents used in cyberattacks on South Korean banks — BleepingComputer
- ARTEX AI pentesting tool used in data theft attacks on South Korean financial firms — The Hacker News
- CrowdStrike finds possible bank hacker's CV among exposed AI logs — The Register
