Ciberataques en Corea del Sur: falla la seguridad centrada en las personas

Los incidentes de seguridad no cesan en el sector financiero de Corea del Sur: bancos, cajas de ahorro, financieras, casas de bolsa y una plataforma de criptoactivos han sufrido ataques este otoño. A mediados de octubre, el regulador financiero había identificado 16 entidades afectadas. Un año antes, una empresa de tarjetas perdió datos de unos 3 millones de personas. La mayoría de las víctimas tenía certificaciones, contaba con equipos de seguridad y pasaba auditorías periódicas.

Una columna reciente sobre ciberseguridad sostiene que el modelo en el que las personas bloquean los ataques a mano ha llegado a su límite. Las autoridades hallaron en varias entidades rastros de un mismo atacante que empleó herramientas de IA para ataques automatizados masivos. Según el análisis de una firma de seguridad extranjera, es un individuo que combina unos pocos servidores con IA y que incluso preguntó a la IA dónde vender los datos financieros robados. No ha sido identificado y la investigación continúa.

La velocidad lo cambia todo

La columna señala el ritmo al que se descubren vulnerabilidades. El modelo de IA detrás del «shock Mythos» de esta primavera habría hallado más de 10.000 vulnerabilidades de alto riesgo en un mes, y una IA también destapó un fallo de más de diez años en PHP, usado por unas tres cuartas partes de los sitios web. Los ataques comenzaron cuatro días antes del parche. Un informe global fijó el tiempo medio hasta la explotación en «menos 7 días».

La empresa de tarjetas afectada el año pasado operaba más de 500 sistemas de seguridad y estaba certificada, pero un motor de servicio sin uso quedó fuera del parcheo y el atacante extrajo datos poco a poco durante mucho tiempo. Parchear no basta, dice el autor: al reducirse los fallos técnicos, los atacantes apuntan a personas y estructuras, como servicios de consulta sin verificación de identidad, servidores compartidos con socios, cuentas robadas y vishing.

Defender el espacio de confianza

Su respuesta es el zero trust, centrado en ver lo que ocurre cuando el atacante, tras sortear la prevención, es tratado como usuario normal. Los grandes bancos tardaron entre 15 y 68 horas en advertir la intrusión. Cada solicitud parecía legítima, pero el flujo global era anómalo. Un grupo que logra entrar puede pasar el acceso a otro en 22 segundos, y los atacantes suelen pasar casi dos semanas sin ser detectados.

Se propone una IA defensiva que conozca la normalidad interna, corte conexiones, revoque permisos y aísle sistemas, mientras las personas fijan principios y asumen responsabilidades. El autor pide medir la seguridad por el tiempo de detección y no por los certificados, y recuerda que los bancos redujeron su gasto en seguridad pese a los incidentes.