Los bancos coreanos pasaron por alto la señal: el hacking con IA ya

Los retrasos contaban la verdadera historia.

Cuatro de los mayores bancos de Corea del Sur —KB Kookmin, Shinhan, Hana y Busan— reportaron brechas de datos separadas esta semana. Lo que los conectaba no era casual. La misma dirección IP de ataque apareció en los cuatro. En sus servidores web comprometidos, los investigadores hallaron la misma cadena: “ARTEX 自主渗透测试控制台”, la consola autónoma de pruebas de penetración utilizada por operadores chinos de equipos rojos. La pista sugiere una única campaña automatizada, no una serie de intrusiones desconectadas.

Pero los ataques en sí mismos son solo la mitad de la historia. El hallazgo más trascendental ha sido más discreto: los bancos tardaron semanas en divulgar lo sucedido. Bajo la ley coreana, las instituciones financieras deben reportar brechas materiales dentro de las 72 horas. Estas divulgaciones llegaron muy fuera de ese plazo, y la cronología pública revela más sobre los incentivos institucionales que sobre los atacantes.

Lo que revela la firma ARTEX.

ARTEX no es malware exótico. Es un marco de pruebas de penetración autónomas de estilo open-source construido por investigadores de seguridad chinos, diseñado para escanear vulnerabilidades, encadenar exploits y reportar hallazgos sin intervención humana. Su aparición en los servidores de los bancos coreanos es significativa porque demuestra dos cosas a la vez.

Primero, la herramienta es accesible. Cualquiera con habilidades técnicas básicas puede descargarla, apuntarla hacia un objetivo y dejarla ejecutándose. Segundo, y más importante, los ataques coreanos se basaron en vulnerabilidades ya conocidas: servicios de consulta de préstamos que no requerían verificación de identidad, sistemas laborales de empleados sin controles de acceso para dispositivos móviles, vulnerabilidades web que conducían a la instalación de código malicioso y exfiltración de archivos de registro. No se trata de misterios de día cero. Son huecos parcheables que existían antes de que cualquier IA estuviera involucrada.

El componente de IA, en este caso, actuó como un multiplicador de fuerza. En lugar de un operador humano que pasara días explorando manualmente las redes de cuatro bancos, un agente automatizado podía escanear, identificar y explotar esas mismas debilidades en horas, y hacerlo simultáneamente en los cuatro objetivos.

La sombra de Mitos.

La alarma más amplia comenzó en abril de 2026, cuando el modelo de mayor nivel de Anthropic, Mitos, demostró la capacidad de razonar a través de arquitecturas de software complejas e identificar rutas de vulnerabilidad sin formación especializada en seguridad. El llamado “shock de Mitos” envió a reuniones de emergencia a los directivos generales de Wall Street y a declaraciones conjuntas de la alianza de inteligencia Five Eyes. Para junio, la alianza advirtió que las ciberamenazas impulsadas por IA podrían materializarse en cuestión de meses.

Lo ocurrido en Corea no es una consecuencia directa de Mitos. No hay evidencia que vincule el modelo con la herramienta ARTEX o con los ataques actuales. Pero el patrón coincide exactamente con la advertencia: la IA no necesita inventar nuevos exploits para ser peligrosa. Solo necesita automatizar los viejos a escala.

OpenAI reconoció a principios de este año que sus propios agentes de IA podrían haber accedido a sistemas de más de 100 organizaciones externas durante pruebas previas al despliegue, un recordatorio inquietante de que la frontera entre pruebas internas e intrusiones accidentales es más delgada de lo que la mayoría de las instituciones asumen.

La brecha de divulgación es un problema global.

El reporte tardío de Corea no es único. Las instituciones financieras en todo el mundo enfrentan la misma presión estructural: admitir una brecha temprano y arriesgarse a la fuga de clientes, multas regulatorias y daño reputacional; esperar y esperar que la historia se desvanezca. En un panorama de ataques impulsado por IA, ese cálculo se vuelve peligrosamente desalineado. Cada día de divulgación retrasada es un día en que los atacantes operan con las manos limpias mientras los defensores se esfuerzan por entender la magnitud.

Visa reconoció esta dinámica el mes pasado cuando liberó como código abierto parte de su sistema de defensa de ciberseguridad con IA, citando explícitamente el riesgo de que los ataques evolucionaran para aprender y mejorar sin intervención humana. El movimiento fue práctico: herramientas de defensa compartidas benefician a todos. Pero también reconoció que la seguridad perimetral tradicional ya no es suficiente.

Quién gana, quién pierde.

Los ganadores inmediatos son los atacantes que operan a menor costo y mayor velocidad. Un solo actor con una herramienta al estilo ARTEX y acceso a vulnerabilidades conocidas puede ahora ejecutar campañas que previamente requirieron equipos de especialistas. La barrera de entrada ha bajado dramáticamente; la barrera para la detección no ha seguido el ritmo.

Los perdedores son las instituciones —coreanas y globales— que continúan tratando la ciberseguridad como un ejercicio de cumplimiento en lugar de una capacidad operacional. Las vulnerabilidades explotadas en Corea eran del tipo que cualquier auditoría de seguridad razonable debería haber detectado. La falla real no fue la brecha; fue la confianza de que las salvaguardias estándar eran suficientes.

Los bancos globales que adoptan herramientas de defensa asistidas por IA enfrentan la misma asimetría. Un agente de IA puede escanear un portafolio de vulnerabilidades más rápido de lo que un equipo humano puede priorizarlas. La carrera no es entre IA e IA, sino entre ofensa automatizada y defensa manual.

Qué sigue.

Se espera que los reguladores coreanos endurezcan los plazos de divulgación de brechas y aumenten las penalizaciones por reporte tardío. Esa es la respuesta obvia y probablemente necesaria. Pero solo aborda los síntomas, no la brecha estructural.

La pregunta más profunda es si las instituciones financieras están preparándose para ataques que se automatizan a sí mismos. Los centros de operaciones de seguridad actuales aún están mayormente personalizados por humanos que monitorean alertas generadas por herramientas que detectan anomalías. Ese modelo asume que los ataques son lo suficientemente lentos como para que los humanos respondan. Los incidentes en Corea sugieren que esa suposición ya no es válida.

Expertos de la agencia de seguridad en internet de Corea han declarado públicamente que la métrica antigua —contar la cantidad de vulnerabilidades— está obsoleta. Lo que importa ahora es la velocidad: qué tan rápido puede una institución identificar y parchear defectos peligrosos antes de que un atacante automatizado los explote. Eso requiere un cambio fundamental en cómo operan los equipos de seguridad, no solo nuevas herramientas.

Las huellas de ARTEX en los servidores de los bancos coreanos son una señal de advertencia. Cuanto más tarde la industria en tratarlas como tales, más cerca estará el próximo incidente de convertirse en una catástrofe.