Por qué los laboratorios de ciberseguridad de Corea del Sur funcionan
Un análisis exclusivo sobre por qué las agencias nacionales de ciberseguridad de Corea del Sur ejecutan el 97 % de sus servidores sin antivirus, una vulnerabilidad expuesta al crecer las amenazas de hacking impulsadas por inteligencia artificial.
El guardia que no cierra la puerta
Corea del Sur alberga algunas de las instituciones de investigación en ciberseguridad más sofisticadas del mundo. El Instituto Nacional de Investigación en Tecnología de Seguridad (NIST), el Instituto de Electrónica y Telecomunicaciones (ETRI) y el Instituto de Ciencia y Tecnología de la Información de Corea (KISTI) son los principales centros del país para la I+D en defensa contra ciberataques: son precisamente esas las agencias encargadas de proteger la infraestructura digital nacional frente a amenazas cada vez más refinadas.
Y sin embargo, ejecutan sus servidores sin antivirus.
De 14.989 servidores distribuidos entre tres organizaciones de investigación financiadas por el Estado bajo el Ministerio de Ciencia y Tecnologías de la Información y las Comunicaciones (MSIT), solo 395 —el 2,6 %— cuentan con antivirus instalado. Eso significa que el 97 % de las máquinas responsables de estudiar cómo defenderse de los hackeos carecen de la herramienta de protección más básica disponible.
El hallazgo, reportado en exclusiva por DongA Ilbo, proviene de datos obtenidos por el representante Lee Hun-ki, del gobernante Partido Demócrata de Corea. Confirma lo que los auditores ya habían señalado en julio: existe una brecha sistémica entre lo que estudian estas agencias y cómo operan.
El argumento del presupuesto se desmorona rápido
Cuando investigadores de las seis agencias citaron el presupuesto insuficiente como razón de su demora, las cifras contaban una historia distinta.
Estas seis organizaciones —que incluyen el Instituto de Investigación en Tecnología de Producción de Corea y el Instituto de Investigación en Medicina Coreana— incrementaron sus presupuestos de seguridad informática de 2.473 millones de won (1,8 millones de dólares) el año pasado a 3.619 millones de won este año: un salto del 46,3 %. Sus solicitudes presupuestarias se reflejaron íntegramente, sin recortes.
Mientras tanto, solo 88 de sus 751 servidores tenían antivirus. Se trata de una tasa de instalación del 11,7 %, a pesar de haber gastado más dinero.
El costo de hacerlo bien no es un misterio. Las estimaciones de la industria sitúan el gasto en más de 40 millones de won por cada 100 servidores —una cifra que debería resultar irrisoria para agencias que manejan miles de máquinas. El argumento de que no hay dinero resulta cada vez más difícil de sostener.
Incluso los servidores más expuestos están descubiertos
El detalle más alarmante no es que los servidores internos carezcan de protección. Es que casi la mitad de los servidores que se conectan directamente a internet —los de la DMZ, las máquinas que actúan como puertas de entrada a redes enteras— también están desprotegidos.
Entre las 23 agencias afiliadas al MSIT, se contabilizaron 766 servidores orientados al exterior. De esos, 372 —el 48,6 %— no tenían antivirus en absoluto.
Este no es un problema marginal. El patrón se repite en recientes brechas del sector financiero en toda Asia: los atacantes no apuntan primero a los sistemas bancarios centrales. Sino que pasan por la periferia débil, el servidor web expuesto y sin protección, y lo usan como punto de apoyo para moverse lateralmente hacia el interior de la red.
Los propios institutos de investigación en seguridad nacional de Corea del Sur están sentados exactamente sobre ese tipo de puerta, completamente abierta.
El vacío regulatorio que no lo es
Una explicación dada por las agencias afectadas durante la revisión de julio de la Junta de Auditoría e Inspección fue que instalar antivirus en servidores no es un requisito legal.
Señalaron las Directrices Básicas de Ciberseguridad del Servicio de Inteligencia Nacional, que exigen antivirus en servidores convencionales pero —argumentaron— no lo requieren explícitamente para los entornos de investigación especializados de estos institutos.
Esa interpretación es técnicamente defendible. También es profundamente irresponsable.
La propia sede del MSIT, que opera bajo las mismas directrices, ha instalado antivirus en 100 de sus 108 servidores —una tasa del 92,6 %—. No existe razón técnica por la que las agencias de investigación no puedan alcanzar el mismo estándar.
Lim Jong-in, profesor emérito de la Escuela de Posgrado en Protección de la Información de la Universidad de Corea, lo expresó con crudeza: “Decir que no tienes antivirus significa dejarse indefenso incluso frente a ataques prevenibles. Es contradictorio que instituciones que estudian cómo defenderse de ataques impulsados por IA ignoren la medida de seguridad más básica”.
Comparó la situación con investigadores de seguridad automotriz que se niegan a usar cinturones de seguridad mientras diseñan pruebas de choque.
Las amenazas de IA se aceleran mientras las defensas estancan
La coincidencia temporal hace que esa brecha parezca casi deliberada.
Las herramientas de hacking potenciadas por IA avanzan más rápido de lo que la mayoría de los marcos defensivos pueden adaptarse. Los atacantes se dirigen cada vez más a las interfaces de programación de aplicaciones (API), automatizan el descubrimiento de vulnerabilidades y elaboran campañas de phishing personalizadas a escala. El panorama de amenazas se mueve con rapidez.
Sin embargo, la respuesta de algunas de las principales agencias de investigación en seguridad de Corea del Sur es programar la instalación de antivirus para 2027.
KISTI, una de las cinco agencias señaladas por los auditores, planea terminar de instalar antivirus en 200 servidores externos desprotegidos solo para febrero de 2027. Tres agencias más tienen cronogramas similares que se extienden hasta el próximo año.
En julio, los auditores encontraron que entre 17.073 servidores en cinco de las agencias, solo 374 —el 2,2 %— tenían antivirus. Para septiembre, esa tasa había aumentado solo al 5,6 %. El ritmo de mejora se mide en puntos porcentuales por trimestre.
Kang Jin-ha, director de operaciones de seguridad en Bespin Global, reconoció que el antivirus por sí solo no puede detener todos los ataques impulsados por IA, especialmente aquellos que apuntan a API y fallas lógicas. Pero subrayó que sigue siendo una capa fundamental: “Sin él, no tienes nada”.
Lo que esto significa más allá de Corea
Corea del Sur no es una anomalía. Las agencias gubernamentales en todo el mundo, especialmente las dedicadas a investigación y defensa, a menudo operan bajo restricciones técnicas únicas que complican las prácticas de seguridad estándar. El antivirus puede interferir con software experimental, entorpecer el manejo de datos sensibles o chocar con entornos de investigación especializados.
Pero el caso coreano es notable por ser tan extremo. Una tasa de instalación del 2,6 % en las mismas instituciones supuestas líderes en ciberseguridad no es una pequeña brecha de cumplimiento. Es una señal estructural de que algo está roto en la forma en que estas agencias priorizan su propia seguridad.
Para el resto del mundo, la lección es sencilla: las instituciones que estudian amenazas deben dar ejemplo con las conductas que recomiendan. Si los principales investigadores en ciberseguridad de Corea del Sur no pueden confiarse para ejecutar antivirus en sus propios servidores, ¿por qué las empresas privadas, gobiernos extranjeros u operadores de infraestructura crítica deberían tomar sus orientaciones en serio?
El representante Lee Hun-ki pidió que todas las agencias afiliadas al MSIT completen la instalación de antivirus y auditorías de seguridad antes de fin de año. Si ese plazo se mantendrá sigue siendo una pregunta abierta, una que pondrá a prueba si las instituciones de seguridad de Corea del Sur son serias acerca de los estándares que dicen defender.