La policía dice que las herramientas hicieron el trabajo de un especialista
La división de investigación cibernética de la Agencia Metropolitana de Policía de Seúl informó el 26 de octubre de que había detenido a un hombre de 32 años, identificado solo como «A», y lo había remitido a la fiscalía por una campaña de pirateo contra más de 90 empresas surcoreanas. La policía lo describe como el primer caso de pirateo a gran escala del país en el que se detiene a sospechosos que usaban IA generativa.
El grupo robó unos 8,2 millones de datos personales entre septiembre del año pasado y este mes, según la policía. Entre las víctimas había una filial de un gran conglomerado, academias privadas, hospitales, campos de golf y universidades. Una empresa de servicios funerarios perdió por sí sola 1,22 millones de registros, y los datos de las academias incluían a menores.
Cuarenta días, sesenta empresas
La policía señaló que A empezó ejecutando él mismo escáneres de vulnerabilidades web. Después pasó a un agente de programación con IA y a un sistema autónomo de pruebas de penetración, y con ellos vulneró 60 empresas entre el 31 de agosto y el 13 de octubre: algo más de 40 días.
A estudió arte y educación física y no tiene titulación informática; declaró a la policía que aprendió a piratear solo, con YouTube y blogs. Los agentes creen que aun así tenía conocimientos web considerables, y apuntan que trabajó en pirateo simulado en una empresa de seguridad entre 2019 y 2022.
La extorsión fracasó casi por completo
El grupo amenazaba a las víctimas con el daño a su reputación y con sanciones administrativas si las filtraciones se hacían públicas, y reclamó 360 millones de wones en total, según la policía. Una empresa pagó 300.000 wones, unos 210 dólares. Quince compañías han denunciado daños hasta ahora, y la policía indicó que presentará más cargos relativos a las víctimas que no se han presentado.
Seis cómplices están investigados sin detención. La policía explicó que los reclutados respondieron a anuncios de Telegram que ofrecían «trabajo sencillo por teléfono» y cobraban entre 10.000 y 30.000 wones por llamada. Un hombre de 24 años, identificado como «B», conseguía cuentas y reclutaba a otros; el resto de sospechosos tiene entre veinte y cincuenta años.
La policía construyó su propia IA para el caso
La investigación también funcionó en sentido contrario. La policía dijo que creó una herramienta de IA interna para analizar unos 530.000 elementos de la investigación, incluidos registros de llamadas y de cuentas, lo que permitió a un solo equipo detener a siete sospechosos en unos cuatro meses. El caso se abrió en junio tras la denuncia de una víctima, la investigación amplia empezó en agosto, cinco personas fueron detenidas entre julio y septiembre, B fue detenido a principios de este mes y después se identificó a A.
La policía afirmó que el sistema autónomo de pruebas de penetración que usó A es el mismo que apareció en una filtración reciente de datos personales en el sector financiero surcoreano, pero que no ha establecido una conexión entre ambos casos.
Oh Gyu-sik, jefe de la segunda unidad de investigación de delitos cibernéticos de la agencia, dijo que la delincuencia que explota la IA evoluciona hasta un nivel que los métodos de investigación existentes difícilmente pueden contrarrestar por sí solos. Un responsable policial lo expresó con más crudeza: ahora incluso quienes no son organizaciones profesionales de pirateo pueden ejecutar ataques a gran escala con ayuda de la IA. La policía pidió a las empresas atacadas que no negocien y que denuncien de inmediato.
Queda por ver si la filtración del sector financiero se vincula formalmente a este caso y si las empresas víctimas que todavía no han denunciado daños lo hacen.
