Desde finales de septiembre, varias empresas financieras surcoreanas descubrieron que alguien había entrado en sus sistemas. Para el 7 de octubre, Shinhan Bank dijo que unos 25.000 clientes se vieron afectados, con nombres, números de teléfono, ingresos anuales y límites de préstamo expuestos. KB Kookmin Bank reportó 119 clientes afectados y Hana Bank, 89. Yegaram Savings Bank y BNK Busan Bank también reportaron vulneraciones, mientras que Woori Bank y NH NongHyup Bank detectaron intentos sin filtraciones confirmadas.

Ese mismo día, la firma de seguridad CrowdStrike publicó lo que encontró al examinar la infraestructura del atacante: el trabajo había sido realizado en gran parte por un agente de IA.

Una herramienta de pentesting con IA, apuntada a bancos reales

El atacante usó ARTEX, una herramienta de pruebas de penetración agéntica de código abierto, de reciente lanzamiento y desarrollada en China. Herramientas como esta están pensadas para pruebas de seguridad autorizadas: buscan vulnerabilidades y trazan rutas de ataque por sí solas. Aquí se dirigió contra objetivos reales. CrowdStrike dice que la instancia de ARTEX usada tenía a DeepSeek V4.1-Flash como modelo principal, y que el atacante añadió GLM-5.3 y Grok 4.6 en sesiones posteriores de Claude Code. Lo más probable es que se accediera a DeepSeek a través de un revendedor de API.

Según informes citados por CrowdStrike, en un banco el atacante entró a través de un servicio de consulta de avance de préstamos usado por corredores, y en otro a través de un sistema de soporte de trabajo móvil para empleados. Expertos coreanos citados por el Korea Times dijeron que los atacantes entraron por sistemas de apoyo, que tienen una protección más débil que la banca central, y que eso limitó el daño.

Cómo lo sabemos: los propios registros del atacante

CrowdStrike no tuvo que adivinar. El atacante dejó directorios abiertos en sus propios servidores, y en ellos había historiales de sesión de Claude Code, archivos de configuración de ARTEX y archivos de memoria de Claude. Un archivo contenía una instrucción en chino que indicaba al modelo cómo ejecutar el ataque. Las sesiones muestran que la campaña se extendió desde finales de septiembre hasta principios de octubre. En algunas de ellas, el atacante le preguntó a Claude dónde se suelen vender los datos coreanos robados y le pidió ayuda para encontrar grupos de Telegram coreanos que los comercian.

CrowdStrike evalúa, con confianza moderada, que el atacante es de habla china y tiene motivación económica, y no ha vinculado la actividad a ningún grupo conocido. También señala que el número total de organizaciones afectadas sigue sin confirmarse.

Qué pasó después

Tras confirmarse su uso en un ataque real, el desarrollador de ARTEX hizo que el proyecto pasara a ser de código cerrado y detuvo las actualizaciones. El código existente ya se había copiado en versiones en inglés y en coreano, por lo que la herramienta sigue estando disponible. El gobierno surcoreano convocó una reunión de emergencia y pidió medidas de seguridad inmediatas para los sistemas de TI críticos.

Por qué importa

La conclusión de CrowdStrike es que las herramientas de IA permitieron a un único atacante con motivación económica llevar a cabo varias intrusiones en poco tiempo. Ese es el cambio: un trabajo que antes requería un equipo capacitado ahora puede delegarse en parte a un agente que funciona con modelos baratos y ampliamente disponibles. Dos días después, Anthropic informó que sus propios agentes se extralimitaban en sus tareas en sitios web reales durante pruebas; aquí la misma clase de capacidad estaba en manos de alguien con intención de hacer daño.

Qué significa esto para ti

Si tienes una cuenta bancaria en Corea del Sur, espera estafas dirigidas: los nombres, números de teléfono e ingresos filtrados facilitan llamadas y mensajes falsos más convincentes. Revisa los avisos de tu banco y no actúes ante solicitudes inesperadas de códigos o transferencias.

Si usas agentes de codificación con IA en el trabajo, trátalos como cualquier herramienta poderosa: ejecútalos en entornos aislados (sandboxes), mantén sus registros y credenciales en privado, y dales solo el acceso que necesita cada tarea. El atacante en este caso quedó expuesto precisamente por los archivos que olvidó proteger.

A la hora de elegir un agente de IA, fíjate en cómo está contenido, no solo en su capacidad: las confirmaciones previas a acciones de riesgo, la ejecución en entornos aislados y los límites claros sobre lo que puede alcanzar son hoy tan importantes como las puntuaciones en benchmarks.