Vinculados a ataques asistidos por IA contra bancos de Corea del Sur dejaron expuestas partes de su propia infraestructura, permitiendo que los investigadores analizaran sus herramientas y preparativos. Los archivos revelaron una operación más amplia que incluye herramientas para el robo de criptomonedas, ataques a Linux y pruebas de seguridad móvil, yendo más allá de la campaña bancaria.

Ataques asistidos por IA contra bancos surcoreanos dejaron abiertas partes de su propia infraestructura, permitiendo que los investigadores vieran sus herramientas y preparativos.

Los archivos expuestos mostraron una operación más amplia que incluía herramientas de robo de criptomonedas, ataques a Linux y pruebas de seguridad móvil más allá de la campaña bancaria.

Informes públicos citados en la investigación indicaron que las brechas expusieron información personal perteneciente a al menos 68,000 personas en al menos siete instituciones financieras.

Diferentes organizaciones perdieron distintos tipos de datos, incluyendo registros de clientes y detalles personales de un desarrollador externo, en lugar de sufrir una brecha idéntica.

Investigadores del Grupo Insikt de Recorded Future identificaron las herramientas de ataque mientras investigaban la infraestructura vinculada al actor, rastreado como TAG-217.

Su informe de investigación del 16 de octubre rastreó los preparativos hasta agosto de 2026. Describió scripts y capacidades, no una familia de malware recién nombrada, y mostró cómo errores básicos de seguridad expusieron el trabajo del operador.

Atacan bancos surcoreanos con IA

La campaña involucró a ARTEX, un framework de código abierto en chino para pruebas de penetración. Tales herramientas ayudan a los equipos de seguridad autorizados a encontrar debilidades, pero los atacantes pueden usarlas contra objetivos sin permiso.

Informes anteriores sobre la campaña de brechas bancarias asistidas por IA describieron sesiones expuestas de Claude Code, configuraciones de ARTEX y archivos de memoria de IA que ayudaron a revelar el flujo de trabajo del operador.

Un análisis público con fecha del 7 de octubre vinculó la actividad con Claude Code, DeepSeek, Grok y Zhipu AI. Los investigadores sospecharon de un operador que habla chino, pero las pistas lingüísticas no establecen la nacionalidad ni el respaldo gubernamental.

Recorded Future evaluó que la actividad más amplia probablemente reflejaba intentos de ganar dinero a través de varios objetivos posibles. Los incidentes también llamaron la atención sobre sistemas fuera de los servicios bancarios centrales.

Los informes sobre la investigación de seguridad surcoreana describieron brechas que afectaron a los sistemas de agentes de préstamos y de soporte a empleados, demostrando por qué las revisiones de seguridad deben cubrir las aplicaciones empresariales conectadas así como las plataformas bancarias de clientes. Estos servicios de apoyo aún pueden contener información personal y crediticia valiosa.

Archivos expuestos revelan preparativos previos

Directorios abiertos y otras evidencias expuestas permitieron al Grupo Insikt reconstruir la actividad del 17 al 22 de agosto. Durante ese período, TAG-217 probó la infraestructura para mantener el acceso remoto y escaneó sistemas orientados a internet.

Los registros mostraron conexiones repetidas entre los propios servidores del actor, pero no establecieron un acceso exitoso a las víctimas. Para el 22 de agosto, el operador había reunido herramientas dirigidas a operaciones de minería de criptomonedas utilizando YiiMP.

Sus funciones incluían intentar contraseñas predeterminadas, robar configuraciones de billeteras y archivos de claves, mantener el acceso remoto y enviar alertas de Telegram cuando se capturaban credenciales. Otras herramientas se dirigieron a debilidades conocidas de Linux para obtener un acceso superior o extraer datos de contraseñas protegidos.

Para el 5 de septiembre, el espacio de trabajo incluía experimentos relacionados con debilidades de iPhone y cambios en el software del sistema Android. Nuevamente, los registros disponibles mostraron pruebas, no compromisos móviles confirmados.

Para el 26 de septiembre, los registros cubrían la investigación de objetivos, el enrutamiento de tráfico, la entrega de carga útil (payload) y verificaciones relacionadas con procesos de pago, revelando un conjunto de herramientas más amplio de lo que sugerían solo los ataques bancarios.

TAG-217 también enrutó el tráfico a través de conexiones de internet residenciales, probablemente para ocultar su origen. Como explica el informe sobre el abuso de redes de proxies residenciales, estos servicios hacen que el tráfico parezca provenir de conexiones domésticas ordinarias.

El operador también mantuvo vínculos entre servidores y copió archivos de memoria de trabajo de IA en toda su infraestructura.

El material expuesto demuestra el uso de IA, pero no mide cuánto aceleró la IA los ataques ni prueba que un agente autónomo completara cada intrusión.

Recorded Future enfatizó este límite: la evidencia muestra la gama de entornos explorados, en lugar de un éxito confirmado contra cada objetivo representado en el conjunto de herramientas.

Para ti como defensor, la lección es práctica. Revisa las aplicaciones de empleados y socios orientadas a internet, corrige las debilidades expuestas y verifica que los usuarios puedan recuperar solo los registros autorizados.

Monitorea los inicios de sesión inusuales, las solicitudes repetidas de registros de clientes, el acceso remoto inesperado y las transferencias de datos anormales. La automatización de la respuesta debe usar límites de aprobación claros, especialmente cuando el bloqueo de direcciones proxy compartidas podría afectar a clientes legítimos.