La Agencia Nacional de Policía de Corea del Sur abrió una investigación preliminar sobre nuevas brechas de datos en el exchange de criptomonedas Bithumb, Daishin Securities y Mirae Asset Global Investments, para determinar el alcance de los datos robados y si los incidentes están conectados con una ola anterior de ataques asistidos por IA que afectó a 16 firmas financieras del país (Yonhap).

El mismo equipo de la Oficina Nacional que venía trabajando en los hacks bancarios reportados anteriormente asumió la investigación de los incidentes más recientes desde la mañana del miércoles.

¿Qué empresas surcoreanas fueron atacadas?

Daishin Securities, Bithumb y Mirae Asset Global Investments son las firmas más recientes atrapadas en una ola de brechas concentrada en Corea del Sur.

Según reportes locales, Daishin Securities fue la más afectada, con la exposición de los datos personales y crediticios de 38,490 clientes.

Bithumb ha confirmado hasta ahora que los atacantes accedieron a datos de empleados; el exchange aún evalúa si la información de los miembros también fue robada. En Mirae Asset Global Investments, se expuso información de sistemas internos de negocio, aunque la declaración de la firma no reportó evidencia de que datos crediticios personales hubieran sido sustraídos.

Una vez confirmados por completo, los números de los tres nuevos incidentes se sumarán a los aproximadamente 100,000 registros expuestos en 16 empresas financieras al 14 de octubre.

¿Están conectados los ataques en Corea del Sur?

No se ha confirmado ningún vínculo, pero los investigadores de la Agencia Nacional de Policía comparan los métodos utilizados en las brechas recientes para identificar coincidencias y determinar si los ataques son aislados.

El medio local Seoul Economic Daily citó a un funcionario policial diciendo: "No descartamos la posibilidad de que se trate de un ataque de la misma persona detrás del caso de hackeo bancario".

Si los investigadores confirman una conexión, significaría que los mismos atacantes que usaron ARTEX para atacar los bancos están detrás de las brechas de finales de octubre. ARTEX es una herramienta agéntica de pruebas de penetración de código abierto, construida en China, que funciona junto a modelos de lenguaje de gran escala como Claude Code.

Como reportó anteriormente Cryptopolitan, CrowdStrike encontró los registros de sesión de Claude Code del propio atacante, archivos de configuración de ARTEX y archivos de memoria en directorios de servidores expuestos. Basándose en la evaluación de los archivos recuperados, CrowdStrike identificó con confianza moderada a un operador de habla china motivado financieramente. Debido a que el atacante usó las mismas herramientas para redactar un currículum, filtró sus propios datos de contacto y de Telegram, que según CrowdStrike podrían pertenecer a una persona de 26 años en Maoming, Guangdong, aunque la empresa de seguridad admitió que estos identificadores no son 100% confiables.

Los especialistas surcoreanos son escépticos sobre atribuir los ataques a involucramiento chino simplemente porque la herramienta fue construida en China. Un profesor de la Escuela de Posgrado en Seguridad de la Información de la Universidad de Korea cuestionó si ARTEX fue la única herramienta utilizada en los ataques.

El número de víctimas sigue creciendo

A inicios de esta semana, KB Kookmin Bank informó que una revisión detallada elevó su número confirmado de víctimas de 119 a 2,210 (Seoul Economic Daily). Mirae Asset Life Insurance, una entidad separada, también detectó intrusiones y motivó una inspección urgente in situ por parte del Servicio de Supervisión Financiera.

La Comisión de Servicios Financieros ya realizó una revisión de seguridad de 555 empresas financieras y encontró deficiencias en 130, incluidos parches de seguridad faltantes y ausencia de monitoreo en tiempo real (material de políticas del KDI).

Por su parte, Bithumb ha estado llevando a cabo una campaña para advertir a los clientes que los datos personales filtrados están siendo reutilizados en estafas posteriores de phishing y acceso remoto. El alcance confirmado sigue siendo desigual en los casos más recientes: Daishin ha reportado exposición de datos de clientes, mientras que Bithumb y Mirae Asset Global Investments todavía están distinguiendo el acceso a sistemas de empleados o internos del posible robo de datos de miembros o crediticios personales.