La policía de Seúl detuvo a siete personas acusadas de usar inteligencia artificial generativa para irrumpir en aproximadamente 90 organizaciones y robar 8,2 millones de registros, un caso que la Agencia de la Policía Metropolitana de Seúl describe como la primera vez en Corea del Sur que sospechosos de una operación de hackeo asistido por IA a gran escala son puestos bajo custodia. La agencia anunció los arrestos el lunes.

Según la policía, los objetivos incluyeron hospitales, universidades, academias privadas, campos de golf y subsidiarias de grandes conglomerados, organizaciones que poseen los nombres, datos de contacto y registros de personas comunes. Un proveedor de servicios funerarios perdió 1,22 millones de registros, y un informe indicó que los datos sustraídos de las academias privadas incluían información de menores de edad.

El presunto cabecilla es un hombre de 32 años que estudió artes y educación física y no tiene experiencia en TI, según informes locales. Les dijo a los investigadores que aprendió hackeo por su cuenta a través de YouTube y blogs en línea, aunque la policía señala que también realizó trabajos de ataques simulados en una empresa de seguridad entre 2019 y 2022.

Comenzó con escáneres de vulnerabilidades de sitios web, programas que buscan puntos débiles en un sitio. A finales de agosto, según los informes, incorporó un agente de codificación con IA —un programa que escribe y ejecuta código por sí solo— y un sistema autónomo de pruebas de penetración, una herramienta que automatiza las intrusiones simuladas que las empresas normalmente contratan a expertos para realizar. En su uso legítimo, herramientas de este tipo ayudan a las organizaciones a encontrar y corregir sus propios puntos débiles antes de que alguien más lo haga, lo que hace notable su presunta reutilización con fines ilícitos. Informes locales identifican la herramienta autónoma como Artex. La policía afirma que luego vulneró 60 empresas en 44 días, del 31 de agosto al 13 de octubre.

La policía señaló que un ataque de esta escala antes requería un grupo completo de hackers, y que la IA ahora permite a una sola persona lograrlo en un corto período. Las propias cifras del caso subrayan el cambio: 60 de las aproximadamente 90 vulneraciones ocurrieron en esos últimos 44 días de una campaña que en total duró unos 13 meses.

La campaña se extendió de septiembre de 2025 a octubre, y la investigación se abrió en junio después de que una víctima presentara una denuncia. Los correos electrónicos enviados a 38 víctimas exigían en conjunto 360 millones de wones, unos 272.000 dólares, pero el único pago confirmado fue de 300.000 wones, alrededor de 210 dólares, un rendimiento pequeño tanto frente a la escala de las vulneraciones como frente a las exigencias de rescate reportadas en casos anteriores asistidos por IA en el extranjero.

El caso se suma a un patrón de uso criminal de la IA documentado en los últimos años, principalmente en informes de empresas de IA más que de la policía. La investigación de Seúl rompe ese esquema: proviene de las autoridades policiales, con arrestos y una remisión a la fiscalía en lugar del informe de incidentes de un proveedor. En 2023, WormGPT, un clon de ChatGPT creado sin salvaguardas de seguridad, fue usado para redactar correos de phishing convincentes, mensajes diseñados para engañar a las personas y hacer que entregaran dinero o contraseñas.

En agosto de 2025, Anthropic informó que un solo criminal usó su herramienta Claude Code para llevar a cabo una campaña de extorsión mediante vibe hacking contra al menos 17 organizaciones, con exigencias de rescate de entre 75.000 y 500.000 dólares en Bitcoin. En noviembre, la empresa indicó que un grupo patrocinado por el Estado chino usó Claude para ejecutar entre el 80% y el 90% de una campaña de espionaje contra unos 30 objetivos, aunque solo un pequeño número de las intrusiones tuvo éxito.

Investigadores de las universidades de Cambridge, Edimburgo y Strathclyde cuestionaron el exceso de expectativas en un estudio reciente de 97.895 hilos de foros de cibercrimen. Hallaron que el principal impacto de la IA hasta ahora se encuentra en áreas ya automatizadas como el fraude en SEO, los bots de redes sociales y las estafas románticas, sin señales claras de que las herramientas de programación hayan ayudado a actores de baja habilidad más allá de lo que ya permitían los scripts prediseñados. El caso de Seúl es un contrapunto documentado por la policía: los investigadores describen a un sospechoso sin experiencia en TI cuyo número de vulneraciones se aceleró bruscamente una vez que las herramientas de IA entraron en su flujo de trabajo.

El cabecilla fue remitido a la fiscalía bajo custodia el viernes y enfrenta cargos conforme a la ley de redes de información y comunicaciones de Corea del Sur, además de extorsión y tentativa de extorsión. La policía indicó que continuará investigando a los seis cómplices y trabajará para identificar a más víctimas; hasta ahora, 15 organizaciones han reportado daños. Las cifras a seguir de aquí en adelante son la brecha entre esos 15 reportes y las aproximadamente 90 organizaciones vulneradas, y los desenlaces de los seis cómplices aún bajo investigación.