Un sospechoso de 32 años sin formación tecnológica utilizó IA para infiltrarse en unas 90 organizaciones, robar 8,2 millones de registros y exigir alrededor de 270.000 dólares.
La Agencia de Policía Metropolitana de Seúl anunció a principios de esta semana la detención de siete personas relacionadas con una campaña de ciberataques que utilizó inteligencia artificial generativa, se infiltró en los sistemas de unas 90 organizaciones y robó 8,2 millones de registros de datos. Según la policía, es la primera vez en Corea del Sur que se detiene a sospechosos de una campaña de ciberataques a gran escala con ayuda de la IA. El importe total que el grupo exigió a las víctimas en concepto de extorsión rondó los 270.000 dólares.
La lista de víctimas abarca hospitales, universidades, centros privados de preparación para exámenes, campos de golf y filiales de grandes conglomerados; todos ellos almacenan nombres, datos de contacto e información personal de ciudadanos. A una empresa de servicios funerarios le robaron 1,22 millones de registros, mientras que se cree que los datos de los centros de formación incluyen información de menores.
Según los medios locales, el presunto cabecilla, de 32 años y con estudios de arte y educación física, declaró que había aprendido por su cuenta técnicas de ataque a través de YouTube y blogs. Sin embargo, la policía señaló que entre 2019 y 2022 trabajó simulando ciberataques para una empresa de ciberseguridad, un detalle que hace menos convincente la imagen de un «novato» potenciado por la IA.
Al principio, el sospechoso utilizaba herramientas para buscar vulnerabilidades en sitios web. A finales de agosto incorporó un agente de IA para programar, capaz de escribir y ejecutar código por sí solo, junto con un sistema automatizado de pruebas de penetración que, según los medios locales, se llamaba Artex. El resultado: 60 empresas fueron infiltradas en apenas 44 días, entre el 31 de agosto y el 13 de octubre.
La policía considera que, hasta ahora, una operación de esa magnitud habría requerido un grupo entero de hackers, pero que hoy una sola persona puede llevarla a cabo en poco tiempo. Toda la campaña duró unos 13 meses, de septiembre de 2025 a octubre de 2026; la investigación se inició en junio, después de que una víctima presentara una denuncia.
¿De verdad la IA está «democratizando» la ciberdelincuencia?
El uso indebido de la IA con fines delictivos ha aumentado en los últimos años, aunque la mayor parte de la información proviene de las propias empresas que desarrollan IA y no de las fuerzas del orden. En 2023, WormGPT, una herramienta que imitaba a ChatGPT sin mecanismos de seguridad, se utilizó para redactar correos electrónicos de phishing.
En agosto de 2025, Anthropic informó de que un individuo había utilizado Claude Code para extorsionar al menos a 17 organizaciones, exigiendo rescates de entre 75.000 y 500.000 dólares en Bitcoin. En noviembre, la empresa anunció que un grupo de hackers patrocinado por el Estado chino había utilizado Claude para llevar a cabo entre el 80 y el 90 % de las actividades de una campaña de espionaje dirigida contra unos 30 objetivos, aunque solo unas pocas intrusiones tuvieron éxito.
El ámbito académico ofrece una perspectiva más cautelosa. Tras analizar 97.895 temas en foros de ciberdelincuencia, un equipo de investigación de las universidades de Cambridge, Edimburgo y Strathclyde observó que el impacto de la IA se concentra principalmente en ámbitos que ya estaban automatizados, como el fraude SEO, las cuentas bot y las estafas románticas. Hay muy pocas pruebas de que las herramientas de programación con IA permitan a personas con poca experiencia superar lo que pueden hacer con scripts ya disponibles.
El presunto cabecilla fue remitido a la fiscalía bajo custodia el viernes pasado y se enfrenta a cargos por infringir la ley de redes de información y comunicaciones, extorsión e intento de extorsión. La policía continúa investigando a seis cómplices y tratando de identificar a más víctimas, en un contexto en el que 15 organizaciones ya han denunciado pérdidas.