La FSC de Corea del Sur revela una nueva oleada de brechas en el sector financiero

La Comisión de Servicios Financieros de Corea del Sur reveló el 28 de octubre de 2026 una nueva serie de incidentes de piratería informática en el sector financiero del país. Convocó una reunión de inspección de emergencia por una brecha en Bithumb, una plataforma de intercambio de activos virtuales, y confirmó una filtración adicional de información de clientes en Daishin Securities.

La reunión de emergencia estuvo presidida por Yu Yeong-jun, director general de Política de Finanzas Digitales, y contó con la participación del Financial Supervisory Service (FSS), el Financial Security Institute (FSI), la alianza de plataformas de intercambio de activos digitales DAXA y Bithumb, señaló la FSC en un comunicado en coreano. En la reunión se abordaron incidentes de vulneración que afectaron a los principales operadores de activos virtuales.

Bithumb informó a las autoridades de que había confirmado indicios de que un acceso externo anómalo había filtrado información de empleados de Bithumb, sus filiales y empresas asociadas, y que todavía estaba verificando si se había filtrado información de usuarios. La plataforma también informó de que el sistema vulnerado daba soporte al trabajo de los empleados y no era la instalación informática central para las operaciones de activos virtuales, y de que hasta ese momento no se había confirmado ninguna filtración de información que pudiera utilizarse para realizar pagos fraudulentos o transferir activos virtuales, como las direcciones de monederos de activos virtuales.

La FSC señaló que Mirae Asset Life Insurance y Mirae Asset Global Investments habían presentado recientemente informes de incidentes, y que durante la investigación se había confirmado una filtración adicional de información de clientes en Daishin Securities. A las 09:59 del 28 de octubre de 2026, Daishin Securities publicó en su tablón oficial de avisos un aviso titulado «Aviso sobre la filtración de información personal (crediticia) y disculpa».

Respuesta del regulador y mejoras de seguridad previstas

La FSC, el FSS y el FSI señalaron que habían puesto en marcha de inmediato investigaciones in situ, un intercambio rápido de información entre los organismos pertinentes y una estrecha cooperación, y que harían todo lo posible por determinar la causa de los incidentes. Las autoridades indicaron que realizarían comprobaciones exhaustivas para evitar cualquier perjuicio a los consumidores y que, si se producía alguno, gestionarían y supervisarían la situación para que se aplicaran medidas de protección al consumidor, como una compensación íntegra.

La FSC señaló que impulsaría medidas de amplio alcance para reforzar la seguridad hasta alcanzar el nivel de las principales entidades financieras, como los bancos, en los sectores que actualmente no están sujetos a la Ley de Transacciones Financieras Electrónicas —incluido el sector de los activos virtuales— y para garantizar una capacidad de respuesta rápida ante cualquier incidente. El regulador añadió que, en el caso de las empresas del sector financiero secundario, entre ellas Mirae Asset Life Insurance, Mirae Asset Global Investments y Daishin Securities, el FSS y el FSI llevarían a cabo investigaciones exhaustivas de los incidentes y medidas de protección de las víctimas.

Oleada de brechas de octubre anteriores

Las revelaciones del 28 de octubre se suman a una serie de brechas que la FSC había empezado a abordar a principios de octubre de 2026. En una reunión celebrada el 14 de octubre de 2026 sobre la gestión de la ciberseguridad en el sector financiero, la FSC señaló que se había confirmado que 16 empresas en total habían sufrido incidentes de filtración de datos en todos los sectores financieros, según el comunicado en inglés del regulador. Se estimó que las brechas habían afectado a unos 100.000 datos de clientes, entre ellos nombres, datos de contacto, números de registro de residencia y direcciones de correo electrónico; hasta ese momento, no se había informado de incidentes de piratería informática que hubieran comprometido contraseñas de cuentas o números de tarjetas de crédito.

Las autoridades ordenaron a las empresas afectadas que bloquearan de inmediato las direcciones IP vinculadas a los ataques informáticos, aplicaran medidas adicionales, como parches de seguridad o la suspensión de servicios, y tomaran todas las medidas necesarias para proteger a los consumidores. Mediante inspecciones in situ, el FSS y el FSI examinaban cada incidente para determinar los vectores y patrones de ataque, si los incidentes estaban relacionados entre sí, si se originaban en un mismo atacante y si se había utilizado inteligencia artificial en los ataques informáticos.

Según el comunicado, las 555 empresas financieras completaron una lista de verificación de ciberseguridad de 12 puntos: 425 informaron que sus medidas de gestión de la ciberseguridad eran adecuadas, mientras que 130 detectaron aspectos que debían mejorar. Las deficiencias notificadas estaban relacionadas, en su mayoría, con parches de seguridad o sistemas de control, y se observaron con mayor frecuencia en los sectores de servicios financieros electrónicos y préstamos entre particulares en línea, cuya capacidad de ciberseguridad, según el comunicado, era relativamente menor que la de los sectores más tradicionales.

En la reunión del 14 de octubre, las autoridades también debatieron cuatro medidas de política: una inspección exhaustiva de los sistemas de gestión de la ciberseguridad de las empresas financieras; la mejora de los mecanismos de respuesta para que los riesgos de ciberamenazas detectados por cada empresa puedan notificarse rápidamente a las autoridades y compartirse con otras entidades financieras; el establecimiento de una base regulatoria que exija pruebas de vulnerabilidad cibernética más frecuentes y periódicas; y la consideración de ampliar el apoyo en materia de ciberseguridad a las pequeñas y medianas empresas financieras para ayudarlas a responder a los riesgos de ciberseguridad impulsados por la IA.

Antes, el 6 de octubre de 2026, la FSC y la FSS emitieron una alerta al consumidor de nivel I (precaución) ante posibles ataques de phishing y estafas de préstamos tras las filtraciones de datos personales, e iniciaron un período especial de respuesta de un mes. Se indicó a las empresas financieras que habilitaran líneas de asistencia para los consumidores afectados, reforzaran la supervisión para detectar fraudes en transacciones sospechosas que involucraran datos de consumidores robados y utilizaran activamente la Plataforma de Intercambio y Análisis basada en IA contra el phishing (ASAP) para compartir información relacionada con el phishing. En ese momento no se había confirmado ninguna estafa de phishing que hubiera causado daños financieros, y las autoridades señalaron que la alerta se elevaría al nivel II (advertencia) si se confirmaban casos posteriores de daños.

CrowdStrike detalla una campaña de IA agéntica

CrowdStrike Intelligence informó el 7 de octubre de 2026 que había identificado infraestructura asociada con una campaña dirigida contra organizaciones financieras surcoreanas, que provocó la exfiltración de datos y estuvo activa desde finales de septiembre hasta principios de octubre de 2026. Según el informe, en esa actividad el actor de amenazas utilizó ARTEX, una herramienta de pruebas de penetración agénticas de código abierto lanzada recientemente y desarrollada en China, junto con modelos de lenguaje de gran tamaño.

El informe señaló que el análisis de directorios abiertos controlados por el actor de amenazas permitió encontrar historiales de sesiones de Claude Code, archivos de configuración de ARTEX y archivos de memoria de Claude. La instancia de ARTEX utilizaba DeepSeek v4.1-flash como su backend principal de LLM, complementado con GLM-5.3 y Grok 4.6 para sesiones adicionales, y una dirección IP con sede en Hong Kong servía como infraestructura principal controlada por el atacante. CrowdStrike evaluó con un nivel de confianza moderado que es probable que el actor de amenazas hable chino y tenga motivaciones financieras, basándose en el uso de ARTEX y en las indicaciones observadas en chino; la actividad no se ha atribuido a ningún adversario identificado.

Citando informes del sector, CrowdStrike afirmó que, según se informó, en uno de los bancos afectados el actor de amenazas vulneró un servicio de consulta del estado de préstamos utilizado por intermediarios financieros y que, en otro banco, comprometió un sistema móvil de asistencia laboral para empleados. El informe señaló que esta actividad demuestra cómo las herramientas de IA pueden permitir que un actor de amenazas con motivaciones financieras lleve a cabo varias intrusiones en un período breve, y CrowdStrike evaluó que es probable que los adversarios sigan experimentando con la implementación de herramientas de IA en sus operaciones.