Policía surcoreana atribuye a una red asistida por IA el robo de 8,2 millones de registros

La Agencia de Policía Metropolitana de Seúl informó el 26 de octubre que siete sospechosos fueron detenidos o remitidos a la fiscalía en una investigación por intrusiones y extorsión. Según las cifras comunicadas por la policía a Yonhap, el grupo habría sustraído 8,2 millones de piezas de información personal y registros internos de más de 90 entidades entre septiembre de 2025 y octubre de 2026.

Los objetivos incluían hospitales, academias privadas y compañías. La policía estima que 38 entidades sufrieron pérdidas y que el grupo exigió un total combinado de 360 millones de wones. La investigación atribuye ataques asistidos por herramientas de IA a alrededor de 60 objetivos, pero las notas públicas no identifican a todas las víctimas ni desglosan la cantidad de datos por organización.

Los reportes de Yonhap y BleepingComputer, que citan a la policía, describen el uso de ARTEX, una herramienta de pruebas de penetración que emplea modelos de IA para automatizar tareas de reconocimiento y búsqueda de vulnerabilidades. La investigación sostiene que los sospechosos combinaron esas capacidades con conocimientos de intrusión; el presunto líder había trabajado en pruebas de seguridad.

Por ello, el caso no debe reducirse a la idea de que un sistema autónomo atacó por sí solo a decenas de empresas. Las fuentes públicas no muestran qué modelos concretos se utilizaron, qué partes del flujo fueron automatizadas ni si el software realizó explotaciones sin intervención humana. El vínculo con IA procede de las declaraciones policiales reproducidas por medios, no de un análisis técnico publicado del código o de los servidores afectados.

La policía afirma que el grupo amenazó con divulgar la información robada y pidió dinero a las víctimas. Los reportes surcoreanos indican que los sospechosos exigieron alrededor de 360 millones de wones en conjunto; la investigación también habría encontrado mensajes que advertían sobre daño reputacional, sanciones y litigios. No hay confirmación pública de que la suma completa se pagara.

El acceso a datos médicos, de clientes y de operación interna tiene impactos diferentes según cada entidad. Sin un inventario de víctimas y categorías de registros, no es posible determinar cuántas personas quedaron expuestas, si hay datos financieros o médicos en cada conjunto, o si la información llegó a publicarse. Las cifras agregadas reflejan la investigación comunicada por la policía y podrían cambiar mientras continúe el proceso judicial.

La noticia amplía la evidencia de que asistentes de código y agentes de pruebas pueden abaratar tareas de reconocimiento y ampliar la escala de campañas criminales, incluso cuando quienes los usan ya poseen conocimientos técnicos. La velocidad no elimina la necesidad de credenciales, acceso inicial, infraestructura de mando o decisiones humanas; sí puede reducir el tiempo para enumerar objetivos, adaptar herramientas y preparar mensajes de extorsión.

Para organizaciones de América Latina, el paralelismo más útil está en la exposición de servicios web y datos de terceros. Hospitales y centros educativos suelen manejar información sensible con sistemas heredados, equipos limitados y proveedores diversos. No se debe inferir que una herramienta específica esté atacando empresas ecuatorianas: la investigación describe hechos localizados en Corea.

Conviene restringir los servicios de administración a redes confiables, aplicar parches con prioridad a activos publicados en Internet, utilizar autenticación multifactor resistente al phishing y limitar cuentas de servicio. La detección debe cubrir no solo endpoint, sino también DNS, registros de autenticación, APIs, bases de datos y cambios de configuración.

Ante una extorsión, preserven correos, registros, imágenes forenses y notas de rescate; no negocien ni paguen sin asesoría y coordinación con las autoridades competentes. En Ecuador, una exposición de datos personales exige evaluar las obligaciones de notificación y gestión previstas por el marco vigente de protección de datos, según las circunstancias del incidente. La respuesta técnica y la evaluación legal deben avanzar en paralelo.

A la fecha de esta publicación, las fuentes revisadas no aportan una lista oficial de entidades afectadas, indicadores de compromiso, muestras de datos ni una evaluación pública independiente del uso de ARTEX. Los datos de 8,2 millones corresponden a registros o piezas de información según el reporte policial y no deben confundirse con el mismo número de personas únicas.

La investigación continúa. Los detalles sobre el método de intrusión, la herramienta y la participación concreta de cada sospechoso pueden modificarse con nueva evidencia o decisiones judiciales. La atribución de responsabilidad debe mantenerse como presunta hasta que los tribunales determinen los hechos.