Atacantes desconocidos en 16 de 18 presuntos ciberataques desde el extranjero contra empresas financieras desde 2024

Solo en 2 de 18 presuntos incidentes de piratería de origen extranjero en empresas financieras entre 2024 y el 8 de octubre se identificó al atacante, según datos del Servicio de Supervisión Financiera (FSS) obtenidos por Song Eon-seok (송언석), miembro del Partido del Poder del Pueblo en la Comisión de Política Nacional de la Asamblea Nacional. Yonhap, Electronic Times, Maeil Business y Kyunghyang Shinmun informaron de los datos el 9 de octubre. Yonhap y Kyunghyang señalaron que el período abarca unos dos años y nueve meses. [ 1 , 2 , 3 , 4 ]

El ataque a Seoul Guarantee Insurance en julio del año pasado se confirmó como obra del grupo internacional de ransomware GUNRA. Sus servidores fueron infectados, los servicios se interrumpieron durante unas 64 horas y la aseguradora pagó a los clientes 11,91 millones de wones en compensación, informaron Yonhap y Kyunghyang. En la brecha de Baro Savings Bank (바로저축은행) en abril de este año, el grupo de ransomware INC Ransom exigió directamente un pago, lo que permitió identificar al atacante. [ 1 , 2 , 3 , 4 ]

De los 16 casos restantes, se estimó que 13 involucraban direcciones IP extranjeras a partir de consultas de dominios, equipos de seguridad internos e investigaciones de los incidentes, y 3 se clasificaron como «país extranjero desconocido». Yonhap informó de que entre los incidentes de presunto origen chino figuraban la filtración de datos de unos 2,97 millones de clientes de Lotte Card el año pasado y los incidentes en SC First Bank y KB Life ese mismo año, y de que se sospecha que otros ataques procedían de lugares como Estados Unidos, Bulgaria, Vietnam, Japón, Hong Kong, Taiwán y el Reino Unido. Yonhap señaló que una IP extranjera no permite determinar al atacante real ni el país. [ 1 , 3 , 4 ]

El FSS dijo que los atacantes en su mayoría alteran las IP o se conectan mediante VPN, por lo que identificarlos a partir de la ubicación de la IP es prácticamente imposible. Yonhap informó de que el FSS compartió recientemente con el sector financiero 28 IP de ataque, sin contar duplicados, y advirtió de que deben interpretarse con cautela. [ 1 , 3 , 4 ]

Entre las empresas financieras electrónicas y los prestamistas vinculados a la inversión en línea, se identificó al atacante en 1 de 12 incidentes de origen extranjero: un ataque DDoS en 2024 contra Eksimbei (엑심베이), que recibió un correo de advertencia en nombre del grupo de hackers «Alpha Jackals». Koem Peimeonchu (코엠페이먼츠), descrita por Kyunghyang como una pasarela de pagos, fue atacada a finales de agosto a través de una vulnerabilidad de seguridad; el atacante se puso en contacto con la empresa, pero solo se estimó que su país era China. [ 1 , 2 , 3 , 4 ]

La policía rastrea al atacante en los recientes ataques al sector financiero. CrowdStrike señaló a una persona de 26 años que vive en Guangdong, China, a partir de indicios en registros de conversaciones de Claude Code del servidor del atacante. Kyunghyang informó de que CrowdStrike llegó a esa conclusión el 7 de octubre y de que la persona dijo al diario que alguien le había tendido una trampa; Yonhap y Maeil informaron de que negó su implicación. [ 1 , 3 , 4 ]

Song dijo que es urgente construir un sistema de defensa basado en IA y que es importante desarrollar tecnología para rastrear las rutas de los ataques e identificar a los atacantes reales. Al 6 de octubre, en los incidentes actuales no se habían producido brechas más allá de siete empresas: los bancos Shinhan, KB Kookmin, Hana y BNK Busan, los bancos de ahorro Yegaram y Welcome, y Hyundai Capital. [ 1 , 2 , 3 , 4 ]