El currículum era falso, la brecha no: dentro del primer ataque bancario documentado con IA agéntica
El 7 de octubre de 2026, CrowdStrike publicó un informe con un hallazgo inusualmente concreto: un solo atacante, trabajando en solitario, utilizó un marco de pruebas de penetración agéntico de código abierto, encadenado a varios modelos de lenguaje de gran tamaño, entre ellos Claude Code de Anthropic, para vulnerar múltiples instituciones financieras surcoreanas durante aproximadamente dos semanas, a finales de septiembre y principios de octubre. CrowdStrike evalúa con confianza moderada que el actor es un individuo de habla china con motivación financiera. No ha atribuido la actividad a un grupo identificado ni a ningún gobierno.
Para los CISO, el titular no es la nacionalidad del atacante. Es la forma de la operación. Una sola persona, usando herramientas de IA de uso común, parece haber realizado un trabajo que normalmente requeriría un pequeño equipo y un tiempo considerable. Vale la pena detenerse en esto, porque es exactamente el escenario que un importante regulador financiero advirtió cinco meses antes.
Lo que realmente ocurrió
El atacante utilizó una herramienta llamada ARTEX, un marco de pruebas de penetración agéntico de código abierto desarrollado en China y publicado en GitHub a principios de este año. ARTEX no funciona con inteligencia propia. Está diseñado para conectarse a modelos de lenguaje externos y usarlos para impulsar el reconocimiento y la explotación. En esta campaña, el trabajo forense de CrowdStrike, recuperado de un directorio abierto que el atacante dejó expuesto, mostró que la instancia utilizaba principalmente DeepSeek v4.1 flash como modelo de respaldo, complementado con GLM 5.3 y Grok 4.6, a los que se accedía mediante sesiones de Claude Code.
Entre los objetivos se encontraban instituciones financieras surcoreanas. Shinhan Bank reveló que se comprometió la información personal de aproximadamente 25.000 clientes. KB Kookmin Bank reveló una filtración menor que afectó a 119 clientes. Otras entidades, entre ellas Yegaram Savings Bank, fueron mencionadas en la ola más amplia de revelaciones que siguió, y las autoridades surcoreanas situaron el número total de registros expuestos en un rango de entre 65.000 y 68.000 en el conjunto de las divulgaciones realizadas hasta ahora. No todos los bancos mencionados en esa ola más amplia han sido confirmados directamente por CrowdStrike como parte de esta campaña específica, y la cifra es una estimación gubernamental en evolución, no un dato único y conciliado. En una de las entidades afectadas, el punto de entrada fue un servicio de consulta de estado de préstamos utilizado por corredores financieros. En otra, fue un sistema móvil de soporte al trabajo para empleados, el tipo de herramienta interna que rara vez recibe el mismo escrutinio que una aplicación de cara al público.
Lo que hace que este caso merezca una mirada más atenta es lo que CrowdStrike recuperó de los propios registros de sesión del atacante. Más allá del trabajo técnico, el atacante usó Claude para cuestiones logísticas del negocio: preguntando dónde podían venderse los datos surcoreanos robados y qué grupos de Telegram los comercializaban. En una sesión recuperada, el atacante pidió a Claude que redactara un currículum falso de investigador de seguridad, que según CrowdStrike contiene los datos personales reales del propio atacante, incluida una edad de 26 años y estudios en una universidad de Guangdong, China. Un agente de IA estaba haciendo reconocimiento, redactando pasos de explotación y, al parecer, ayudando a planificar la reventa de los datos robados, todo dentro del mismo flujo de trabajo.
Adam Meyers, de CrowdStrike, que dirige las operaciones de contrainteligencia frente a adversarios de la firma, lo expresó sin rodeos: el caso muestra cómo un solo adversario humano puede usar agentes de IA para atacar a muchas víctimas en un período de tiempo muy corto. Según sus palabras, la IA agéntica está permitiendo a los atacantes moverse más rápido.
Es el segundo caso documentado en un año, no la primera advertencia
Es tentador tratar esto como una historia aislada y peculiar salida de Corea. No lo es. En noviembre de 2025, Anthropic reveló que había detectado a un presunto grupo patrocinado por el Estado chino que hacía un uso indebido de Claude Code para ejecutar una campaña que la empresa describió como automatizada entre un 80 y un 90 por ciento, contra unas 30 organizaciones de los sectores tecnológico, financiero, químico y gubernamental, logrando éxito contra algunas de ellas. Anthropic lo calificó como el primer caso documentado de un actor estatal que automatiza en gran medida una operación cibernética con IA, señalando que la herramienta realizaba miles de solicitudes por segundo, un ritmo que ningún operador humano podría igualar, y que los operadores habían aprendido a dividir las tareas maliciosas en pasos más pequeños para evitar activar las propias salvaguardas del modelo.
La campaña de Corea del Sur sigue el mismo patrón básico, pero sin un aparato estatal detrás. Un solo individuo, utilizando un marco de código abierto y un puñado de modelos de IA disponibles comercialmente, parece haber alcanzado a varias instituciones financieras en cuestión de semanas.
Los reguladores ya anticipaban esto. El 21 de mayo de 2026, el Departamento de Servicios Financieros del Estado de Nueva York (NYDFS) emitió dos documentos de orientación dirigidos a todas las entidades que regula, incluidos bancos y aseguradoras. Uno abordaba directamente el entorno de amenazas actualmente elevado. El otro, un aviso sobre IA de frontera, advertía específicamente que los modelos de IA cada vez más capaces pueden amplificar la potencia, la escala y la velocidad con que se encuentran y explotan las vulnerabilidades, y que los plazos de explotación probablemente se comprimirán más rápido de lo que los ciclos habituales de parcheo pueden seguir. El aviso no modifica los requisitos legales subyacentes de la normativa de ciberseguridad de Nueva York, pero se espera que los examinadores lo traten como referencia, y está dirigido explícitamente a la función del CISO, pidiendo que los responsables de seguridad puedan explicar cómo están gestionando el riesgo específico de la IA.
Cinco meses después de ese aviso, CrowdStrike documentó casi exactamente el escenario que describía, no a partir de un modelo de frontera diseñado para la ofensiva, sino de un atacante que combinó un marco de código abierto con varios asistentes de codificación de IA disponibles comercialmente.
Qué significa esto para su programa
Dejen de tratar a los «actores de amenazas con IA» como un problema futuro. Esto no fue obra de un Estado nación con un equipo dedicado de investigación en IA. Según los informes, fue una sola persona. La barrera para ejecutar una campaña de intrusión asistida por IA contra infraestructura financiera, dirigida a múltiples objetivos, ha bajado hasta el punto de que un individuo puede intentarlo. Su modelo de amenazas ya debería reflejar esto, no una versión programada para el ciclo de planificación del próximo año.
Pregúntense si su red team está probando exactamente este patrón. Una simulación adversarial basada en un operador humano que sigue una lista de verificación no es el mismo ejercicio que una simulación adversarial que tiene en cuenta a un atacante que usa herramientas agénticas para escalar el reconocimiento y la explotación contra muchos objetivos a la vez. Si su último ejercicio de red team no tuvo en cuenta las tácticas de un atacante asistido por IA, estaba probando al adversario de ayer, no al de hoy.
Examinen a fondo los sistemas internos y orientados a socios, no solo el perímetro público. Los dos puntos de entrada que describió CrowdStrike, un portal de consulta de préstamos orientado a corredores y una herramienta móvil interna para empleados, son exactamente el tipo de sistemas que a menudo quedan fuera del alcance de una prueba de penetración externa anual. Las pruebas de red interna y de aplicaciones, y una revisión actualizada de las herramientas de cliente pesado y orientadas a socios, merecen la misma atención que los sistemas expuestos a internet.
Consideren esto un ejemplo concreto para su conversación regulatoria con el NYDFS o un organismo equivalente. Si su institución está sujeta a la supervisión del NYDFS, o a un régimen comparable en otro lugar, este incidente es un ejemplo reciente y concreto que pueden citar al documentar cómo su organización está respondiendo a las preocupaciones del aviso sobre IA de frontera. Si aún no han realizado el análisis de brechas que invita a hacer el aviso, este es un buen momento para empezar.
Revisen cómo están probando sus propias integraciones de IA generativa y de modelos de lenguaje. El atacante en este caso utilizó herramientas comerciales de IA como multiplicador de fuerza. La pregunta inversa importa igual de mucho para su propio entorno: si su organización ha desplegado agentes de IA o herramientas basadas en modelos de lenguaje internamente, ¿se han puesto a prueba de la misma forma en que este atacante puso a prueba las defensas de un banco, buscando el tipo de uso indebido, elusión de controles y extralimitación que permite que una herramienta haga mucho más de lo que se pretendía?
Este es el trabajo que realizamos todos los días para clientes del sector financiero: ejercicios de red team y simulación adversarial diseñados en torno a cómo operan realmente los atacantes hoy, pruebas de penetración continuas y gestión de vulnerabilidades que no esperan un año entre revisiones del entorno, y pruebas de seguridad de IA generativa y de modelos de lenguaje para los agentes y asistentes que sus propios equipos están adoptando. El atacante detrás de la campaña de Corea del Sur no necesitó el presupuesto de un Estado nación para alcanzar a varios bancos en cuestión de semanas. Esa es la parte de esta historia que vale la pena tomarse en serio, sin importar en qué lugar del mapa se encuentre su institución.
