Cuando pensamos en inteligencia artificial solemos hacerlo desde el lado de quien intenta ganar tiempo, automatizar tareas o analizar enormes cantidades de información. Pero esas mismas capacidades también pueden ponerse al servicio de quien busca una puerta abierta en un sistema. Algunas herramientas ya son capaces de automatizar parte de ese trabajo, desde reconocer una infraestructura hasta localizar posibles vulnerabilidades. Y ahí aparece una pregunta que empieza a preocupar a los reguladores: qué ocurre cuando ese tipo de automatización deja el laboratorio y entra en un ataque real.
Qué ha pasado. Corea del Sur investiga una serie de ciberataques y filtraciones que ha alcanzado a varias entidades financieras del país, mientras otras lograron detectar y bloquear intentos similares. El caso ha escalado hasta la presidencia: Lee Jae-myung ha ordenado una investigación exhaustiva y medidas de respuesta, mientras el regulador financiero ha reforzado las inspecciones sobre el sector. Lo que añade una capa distinta a este episodio es que las autoridades ya hablan de señales compatibles con el uso de inteligencia artificial en algunos de esos ataques, aunque todavía no han cerrado esa conclusión.
Por qué aparece la IA. La sospecha ha ido ganando peso a medida que avanzaba la investigación. El 4 de octubre, el presidente de la Financial Services Commission, Lee Eog-weon, se limitó a decir que no podía descartarse que la inteligencia artificial hubiera sido utilizada en los ataques. Dos días después, Lee Jae-myung fue un paso más allá y aseguró que habían aparecido señales de su uso en algunos de los incidentes. Aun así, las autoridades no han detallado qué herramientas se habrían empleado ni han presentado una atribución técnica definitiva.
La pista de ARTEX. Uno de los nombres que ha aparecido alrededor de la investigación es ARTEX, una herramienta de pentesting autónomo basada en inteligencia artificial. Según The Korea Times, investigadores encontraron rastros asociados a este software en un servidor que se cree utilizado en los ataques, mientras Financial Times ha informado de que los investigadores sospechan de su uso. Este tipo de herramienta puede automatizar tareas habituales de una auditoría de seguridad, como reconocer una infraestructura, localizar vulnerabilidades y explorar posibles vías de acceso.
El alcance de las filtraciones. Los incidentes no han afectado por igual a todas las entidades. Las brechas conocidas superan los 67.000 afectados en siete compañías financieras: Yegaram Savings Bank concentra alrededor de 40.000 casos y Shinhan Bank unos 25.000, mientras Welcome Savings Bank comunicó unos 2.200 clientes corporativos afectados, KB Kookmin Bank notificó 119 y Hana Bank, 89. Woori Bank y NH NongHyup también detectaron intentos de intrusión, pero lograron contenerlos sin que se hayan confirmado filtraciones. Hasta el 6 de octubre, los reguladores tampoco habían confirmado casos de phishing con pérdidas económicas ni dinero robado utilizando los datos comprometidos.
Las IP no revelan al atacante. Los investigadores han relacionado con los ataques 28 direcciones IP distribuidas entre 12 países, entre ellos Estados Unidos, Japón, Singapur, Vietnam y Reino Unido. Ese mapa, sin embargo, no permite señalar el origen real de los responsables. La Policía ha determinado que un número significativo de esas IP se utilizó precisamente para ocultar el paradero de los atacantes, una práctica que puede apoyarse en servidores intermedios, sistemas comprometidos o infraestructura distribuida. Son, por tanto, piezas útiles para reconstruir el recorrido técnico de los ataques, pero no una atribución geográfica.
Defender la IA con IA. La respuesta de Corea del Sur no se limita a reconstruir lo ocurrido. El regulador ha ordenado reforzar las inspecciones de seguridad, restringir accesos externos, endurecer los controles y compartir con rapidez información sobre métodos de ataque entre las entidades, además de exigir un uso activo de herramientas ya operativas como ASAP para compartir señales de phishing y frenar posibles fraudes posteriores. Hay además un detalle que da contexto a esa reacción: antes de estos incidentes, la Financial Services Commission ya estaba ampliando las pruebas para que las compañías financieras utilizaran modelos avanzados de inteligencia artificial en tareas de ciberseguridad.
Lo que todavía no sabemos. Quedan preguntas importantes abiertas: quién está detrás de los ataques, qué papel desempeñó realmente la inteligencia artificial, qué herramientas se utilizaron y si aparecerán nuevas víctimas a medida que avance la investigación. Lo que sí deja claro es que los reguladores están empezando a abordar estas amenazas bajo un supuesto distinto: que la IA puede formar parte tanto del ataque como de la defensa.
Imágenes | Daniel Bernard
