La agencia nacional de ciberseguridad de India advierte que un grupo de hackers asistido por inteligencia artificial sigue comprometiendo empresas financieras, incluidos exchanges de criptomonedas, en algunos casos atacando compañías que ya habían corregido sus sistemas después de advertencias anteriores.

El Equipo Indio de Respuesta a Emergencias Informáticas (CERT-In), que opera bajo el Ministerio de Electrónica y Tecnología de la Información, identificó al actor de la amenaza como "CRAFTY FALCON" en una advertencia actualizada difundida el miércoles. La nueva advertencia amplía una alerta que la agencia emitió por primera vez en octubre, y es la primera que incluye directamente a los exchanges de criptomonedas entre los negocios atacados. También detalla cómo el grupo utiliza herramientas de IA para planificar y ejecutar sus ataques.

Empresas comprometidas incluso tras advertencias previas

CERT-In señaló que la campaña no muestra señales de desacelerarse. "La amenaza está activa y en curso", dijo la agencia.

Según la advertencia, el equipo de respuesta del sector financiero de CERT-In, CSIRT-Fin, sigue recibiendo reportes de intrusiones exitosas. Algunos provenían de prestamistas no bancarios y empresas fintech que ya habían recibido advertencias restringidas anteriores —alertas distribuidas de manera privada a un grupo limitado de empresas en lugar de publicarse— y habían tomado medidas para corregir sus sistemas. Las plataformas de préstamos digitales, los agregadores de pagos y los proveedores de servicios también han sido atacados.

La agencia indicó que los atacantes robaron claves de wallets de criptomonedas y vaciaron fondos de wallets —para los negocios cripto, eso significa que una brecha puede convertirse directamente en pérdida de activos, ya que las claves de las wallets son las credenciales que controlan los fondos. CERT-In no identificó ningún exchange de criptomonedas afectado ni reveló cuánto dinero se perdió. Cointelegraph contactó a CERT-In y a varias plataformas cripto de indias para obtener comentarios, incluidas CoinDCX, CoinSwitch, WazirX, ZebPay y Mudrex. Las respuestas de esas plataformas —o una futura advertencia que nombre a las víctimas o cuantifique las pérdidas— ofrecerían el primer recuento público del costo de la campaña para el sector cripto.

Cómo funcionan los ataques asistidos por IA

CERT-In afirmó que el grupo "reconoce sus objetivos con inteligencia de máquina, opera a velocidad de máquina y ataca invocando las propias APIs de pago y desembolso de la víctima". En la práctica, los atacantes utilizan los sistemas de pago de la propia empresa para mover el dinero fuera.

Las intrusiones suelen comenzar con aplicaciones débiles y entornos de pruebas expuestos en internet. Desde allí, los atacantes utilizan credenciales de acceso compartidas y tokens de acceso para moverse lateralmente hacia sistemas de producción en vivo. También atacan la infraestructura en la nube para plantar archivos maliciosos.

Las herramientas de IA ayudan al grupo a escribir y mejorar rápidamente scripts de ataque, mientras que la ingeniería inversa del código de las aplicaciones le permite construir exploits a la medida de cada objetivo. En algunos casos, los atacantes enviaron transacciones de prueba pequeñas para confirmar que una transferencia sería exitosa antes de mover montos mayores. CERT-In indicó que algunos ataques fueron programados para fines de semana y días festivos, cuando menos personal monitorea los sistemas, lo que ayudó a los intrusos a retrasar su detección.

La advertencia también mencionó a ARTEX, una herramienta de pruebas de penetración basada en IA. En octubre, la empresa de ciberseguridad CrowdStrike informó que un atacante desconocido utilizó ARTEX, junto con Claude Code y otros modelos de IA, para comprometer empresas financieras surcoreanas y robar datos.

Expertos en seguridad ya habían advertido sobre esta tendencia. El director de seguridad de la información de la Solana Foundation, Michael Coates, dijo a Cointelegraph que los defensores necesitan acceso a las herramientas de IA más potentes. "Debemos asegurarnos de que los mejores modelos que podamos obtener estén en manos de los defensores, porque los atacantes tendrán algo suficientemente capaz", señaló.

En julio, el jefe de políticas de TRM Labs, Ari Redbord, afirmó que "las técnicas de ataque avanzan más rápido de lo que puede contemplar una única auditoría del día de lanzamiento". Hizo un llamado a revisiones de seguridad continuas.

La agencia insta a una monitorización las 24 horas

CERT-In ha dicho a las empresas en riesgo que "traten esta campaña como activa y en escalada". La agencia instó a las compañías a monitorear sus sistemas las 24 horas y aconsejó agregar personal y reducir los umbrales de alerta durante días festivos, fines de semana y otros períodos de menor cobertura. La guía de personal sigue directamente el hallazgo de CERT-In de que el grupo "opera a velocidad de máquina" y ha programado ataques para los períodos en que la monitorización es más débil.

Este artículo apareció originalmente en CoinCentral.