✨︎ Resumen (TL;DR):
- CrowdStrike relacionó historiales de Claude Code y configuraciones de ARTEX con ataques a entidades financieras de Corea del Sur.
- Reuters reportó el 8 de octubre que al menos nueve bancos habían comunicado ataques o aparecían como objetivos en reportes locales.
- La FSC advirtió que los datos personales y financieros sustraídos podrían facilitar fraudes, aunque la filtración no incluyó contraseñas ni códigos OTP.
CrowdStrike vinculó registros de Claude Code y configuraciones de ARTEX con ataques contra entidades financieras de Corea del Sur. En el informe publicado el 7 de octubre de 2026, Adam Meyers describió el uso de agentes de IA para atacar varios objetivos en poco tiempo; la identidad del responsable y el número de instituciones de la campaña siguen sin confirmarse.
Las autoridades surcoreanas ya habían abierto una investigación sobre las filtraciones y el posible papel de la IA.
Los registros apuntan a ARTEX y Claude Code
En servidores asociados al atacante, CrowdStrike encontró historiales de Claude Code y configuraciones de ARTEX. La actividad abarcó finales de septiembre y comienzos de octubre.
ARTEX es una herramienta de código abierto desarrollada en China para pruebas de seguridad. La firma también halló instrucciones en chino y consultas sobre la venta de datos robados.
Con confianza moderada, CrowdStrike evalúa que el operador hablaba chino y buscaba beneficios económicos. Adam Meyers explicó a periodistas que una persona usaba agentes de IA para atacar varios objetivos en poco tiempo, según Reuters.
Al responder a Reuters durante la conferencia de prensa del 8 de octubre, Mao Ning, portavoz de la Cancillería china, dijo que desconocía los detalles del caso. Reiteró la oposición de China a las actividades de hacking y a la difusión de información falsa con fines políticos.
Mao Ning también pidió cooperación internacional y nuevas reglas para abordar el impacto de la IA en la ciberseguridad.
Al menos nueve bancos aparecen en los reportes
Reuters informó el 8 de octubre que al menos nueve bancos habían comunicado ataques o aparecían como objetivos en reportes locales. Shinhan y KB Kookmin estaban entre las entidades afectadas.
CrowdStrike todavía no confirma cuántas instituciones corresponden a la campaña que analizó. Por ahora, el número de bancos mencionado en los reportes locales no define por sí solo el alcance de la operación investigada por la firma.
La FSC revisa páginas y servidores de apoyo
En un mensaje publicado el 6 de octubre, Lee Eog-weon, presidente de la Comisión de Servicios Financieros (FSC), el regulador surcoreano, explicó que los ataques alcanzaron páginas y servidores utilizados por empleados y agentes de préstamos. Según el funcionario, esos entornos habían recibido menos atención en la gestión de seguridad.
Lee indicó que las causas y los métodos de cada incidente requerían una investigación más detallada. La FSC pidió revisar tanto los servicios para clientes como los accesos de trabajadores, intermediarios y proveedores.
La inspección debe comprobar:
- La autenticación.
- Los permisos para consultar información.
- La aplicación de las correcciones de seguridad necesarias.
Además, el regulador solicitó cerrar los accesos externos que no fueran indispensables y limitar la información disponible para cada usuario a lo necesario para su trabajo.
Los datos robados pueden hacer creíble una estafa
En su alerta del 6 de octubre, la FSC indicó que la filtración no incluyó contraseñas ni códigos de un solo uso (OTP). Aun así, advirtió sobre posibles fraudes basados en la información personal y financiera sustraída.
Conocer el nombre, los ingresos o el límite de préstamo de una persona puede hacer creíble una llamada de un supuesto empleado bancario, explicó el regulador. Entre los engaños previstos están las falsas ofertas de refinanciación y las promesas de compensación por el incidente.
Las autoridades pidieron comprobar cualquier aviso directamente en los canales oficiales de cada entidad. También ordenaron reforzar la detección de operaciones anómalas.
Desde el 6 de octubre, las autoridades establecieron un periodo especial de respuesta de un mes, prorrogable, con atención dedicada a las personas afectadas para reducir daños posteriores.
La investigación mantiene abiertas dos preguntas: quién operó los ataques y cuántas instituciones forman parte de la campaña. La respuesta inmediata ya tiene un plazo definido, con apoyo para los afectados y medidas enfocadas en contener el fraude derivado de la información sustraída.
