Microsoft afirma que tres grupos de hackers de Corea del Norte han integrado ahora la inteligencia artificial en sus operaciones diarias de ataque, colocándolos en el nivel más alto de la escala de evaluación de la empresa. Microsoft (NASDAQ: MSFT) califica como alto el uso general de IA de Corea del Norte en el hacking.

Los hallazgos llegan mientras Corea del Norte es señalada como responsable del mayor robo de criptomonedas registrado: el hackeo de $6,360 millones a Binance.

Cómo usan la IA los hackers norcoreanos

En un informe publicado el jueves, Microsoft Threat Intelligence clasificó a ocho de los grupos de hackers más activos de Corea del Norte en una escala de cuatro pasos: emergente, en expansión, en aceleración y operacionalizado. "Operacionalizado"—el paso más alto—significa que la IA está integrada en toda la operación de un grupo.

Jade Sleet, Coral Sleet y Jasper Sleet se sitúan en el nivel más alto, mientras que Diamond Sleet, Onyx Sleet, Pearl Sleet y Sapphire Sleet están en el paso de aceleración. Emerald Sleet está en el paso de expansión, y actualmente ningún grupo ocupa el nivel emergente. Los nombres "Sleet" son las designaciones de Microsoft para los actores respaldados por el Estado norcoreano, parte de un sistema de nomenclatura específico de cada proveedor en el que otras empresas de seguridad aplican sus propias etiquetas a las mismas unidades.

Microsoft vinculó las clasificaciones a actividades específicas. Jade Sleet ejecutó campañas a través de tres empresas falsas en una sola semana. Coral Sleet encontró una forma de plantar malware en repositorios de código privados. Onyx Sleet generó docenas de mensajes de phishing personalizados en cuestión de minutos. Diamond Sleet usó IA para crear personas falsas y empresas de pantalla para engañar a sus objetivos. Un grupo produjo supuestamente más de 100 señuelos en PDF personalizados dirigidos a usuarios surcoreanos en agosto y septiembre—un trabajo que antes tomaba días por objetivo.

Los grupos también recurrieron a herramientas de codificación con IA. Según Microsoft, los operadores usaron herramientas como Cursor, un editor de código con IA ampliamente utilizado, para escribir código, corregir errores y construir métodos para evadir la detección. Onyx Sleet y Pearl Sleet usaron ARTEX, una herramienta de código abierto que prueba sistemas en busca de debilidades, que puede conectarse a un modelo de IA e instruirse para explorar objetivos por sí sola. Storm-0940, un grupo vinculado a China, utilizó supuestamente ARTEX contra ConnectWise.

Los analistas de Microsoft consideran que los humanos siguen siendo los principales responsables de las operaciones de hacking de Corea del Norte, con la IA utilizada para acelerar trabajos que los grupos ya realizaban, como explorar objetivos, producir contenido de phishing y mantener identidades falsas.

Microsoft indicó que los exchanges de criptomonedas y las empresas financieras se encuentran entre los objetivos más comunes de las operaciones cibernéticas de Corea del Norte, ya que las campañas apuntan principalmente a recaudar fondos para el régimen y recopilar inteligencia. Ese enfoque coincide con la investigación de TRM Labs, que concluyó que Corea del Norte robó el 76% de todo el valor de los hackeos de criptomonedas en 2026 con solo dos ataques.

¿La IA tuvo algún papel en el hackeo de Binance?

Hasta ahora no hay evidencia de que los atacantes detrás del hackeo de Binance hayan usado IA, y el informe de Microsoft no vincula el robo con ninguna técnica de IA.

El hackeo de Binance, descrito como el mayor robo de criptomonedas registrado, ocurrió el 29 de octubre. La firma de investigación de blockchain TRM Labs dijo que un atacante movió unos $6,360 millones desde las billeteras de Binance a través de diez blockchains, la mayor parte en unos 20 minutos. En una entrada de blog, TRM atribuyó el ataque a TraderTraitor, al que llama la unidad de hacking de élite de Corea del Norte—un grupo que Microsoft rastrea como Jade Sleet—y dijo tener alta confianza en este hallazgo. Jonathan Levin, cofundador de Chainalysis, llegó a la misma conclusión en X.

El propio relato de Binance sobre el incidente describe cómo entraron los atacantes, pero no qué herramientas usaron, según el reportaje de Cryptopolitan. El exchange dijo inicialmente que la laptop de un ingeniero hackeado parecía ser el punto de entrada, pero una investigación posterior identificó "puntos de violación" adicionales.

Binance ha congelado unos $3,000 millones de los fondos robados, pausó los retiros y se comprometió a cubrir las pérdidas de los usuarios. Con el relato del exchange sin llegar a detallar las herramientas de los atacantes, si la IA tuvo algún papel en el robo sigue siendo una pregunta abierta mientras continúan las investigaciones.