Autor: Deep Tide TechFlow
Introducción de Deep Tide: La IA generativa está transformando por completo la ciberguerra. El 30 de octubre, el departamento de inteligencia sobre amenazas de Microsoft publicó un informe de gran relevancia que revela sistemáticamente la preocupante expansión del uso de la IA por parte de grupos de hackers norcoreanos. De las 8 organizaciones supervisadas, 3 ya han integrado profundamente la IA en todo el proceso cotidiano de infiltración.
Desde generar en serie señuelos de phishing en PDF personalizados en cuestión de minutos hasta recurrir a herramientas de programación con IA para ayudar a escribir código malicioso, los atacantes han dado un salto de varios órdenes de magnitud en eficiencia y sigilo. Más preocupante aún: la IA está puliendo las cadenas de falsas ofertas de empleo y suplantación de identidad, lo que dificulta que los sistemas de defensa tradicionales puedan detectarlas.
Aunque Microsoft considera que los grupos en cuestión aún no han logrado cerrar el ciclo de ataques con plena autonomía, el uso práctico de marcos de pruebas de penetración de IA de código abierto ya anuncia la llegada de la ciberguerra inteligente. Este cambio de paradigma en el ataque y la defensa plantea nuevos desafíos integrales a las empresas de todo el mundo en materia de defensa de endpoints, auditoría de la cadena de suministro y revisión de credenciales.
La IA en las operaciones de penetración se vuelve habitual: Microsoft asigna la máxima calificación a tres grupos
Según [informó la agencia Yonhap](https://www.yna.co.kr/view/AKR20261030112900017?input=tw" \t "https://www.techflowpost.com/article/_blank), el departamento de inteligencia sobre amenazas de Microsoft publicó recientemente un informe de investigación especializado que detalla las últimas tendencias en la expansión del uso de la IA por parte de grupos de hackers norcoreanos, en ámbitos como los ataques de phishing, la suplantación de identidad, la generación de código malicioso y el envenenamiento de la cadena de suministro de software.
Microsoft elaboró un perfil sistemático de las capacidades de los ocho principales grupos de hackers norcoreanos activos. Resulta alarmante que tres de ellos ya hayan integrado profundamente las herramientas de IA en sus operaciones cotidianas y hayan alcanzado el nivel más alto del modelo de madurez para el uso de IA en amenazas cibernéticas definido por Microsoft.
La investigación muestra que la intervención de la IA ya no se limita a pruebas de concepto periféricas, sino que abarca toda la cadena: desde el reconocimiento preliminar, la ingeniería social y el phishing, hasta la suplantación de identidad, la escritura de malware e incluso el envenenamiento de la cadena de suministro de software. Esto marca una transformación cualitativa hacia la inteligencia en las tácticas y métodos de los grupos APT patrocinados por Estados.
Decenas de documentos en minutos: señuelos PDF de alta fidelidad atraviesan las defensas con precisión
En el ámbito de la ingeniería social, la IA ha derribado por completo las barreras lingüísticas y culturales que antes dificultaban los ataques transfronterizos. El informe destaca que, entre agosto y septiembre de este año, un grupo creó de forma concentrada más de 100 documentos PDF señuelo de phishing altamente personalizados, dirigidos específicamente a grupos objetivo de Corea del Sur.
Gracias a la capacidad de los modelos de lenguaje grandes para generar y dar formato a textos, en algunos escenarios operativos los atacantes solo necesitan unos minutos para producir decenas de señuelos nuevos. Estos documentos falsificados son muy convincentes en su gramática, formato oficial y detalles contextuales, lo que aumenta considerablemente la tasa de clics y la probabilidad de que las víctimas caigan en la trampa.
Esta capacidad de fabricar señuelos en serie de forma industrial reduce prácticamente a cero el coste marginal de los ataques de phishing. Ante la avalancha de señuelos generados por IA, con variaciones masivas y sin patrones repetidos, las pasarelas de seguridad tradicionales, basadas en características estáticas de los archivos y en la coincidencia de palabras clave, afrontan dificultades sin precedentes para detectarlos y evitar que pasen inadvertidos.
Identidades falsas y asistencia para programar: expansión sigilosa de una cadena delictiva multidimensional
Además de los documentos señuelo, la IA también se utiliza ampliamente en falsas ofertas de empleo y en la suplantación de identidad. Los hackers emplean modelos para falsificar currículos y así infiltrarse en empresas tecnológicas. (Para más detalles, recomendamos leer ([El Tesoro de EE. UU. intensifica la ofensiva contra el blanqueo de criptomonedas norcoreano: sanciona a 10 personas y 1 entidad](https://www.techflowpost.com/article/34955" \t "https://www.techflowpost.com/article/_blank)))
En el ámbito de la ciberseguridad del código, Microsoft ha observado que los equipos de ataque podrían estar recurriendo a asistentes de programación con IA de uso extendido, como Cursor, para acelerar considerablemente la escritura de la lógica subyacente del malware y las pruebas para evadir la detección. La amplia disponibilidad de estas herramientas no solo acorta los ciclos de desarrollo, sino que también borra los hábitos individuales de escritura de código de los hackers.
Más aún, desde finales de octubre se ha confirmado que Onyx Sleet y Pearl Sleet, grupos de élite dependientes de la Oficina General de Reconocimiento de Corea del Norte, han desplegado el marco de pruebas de penetración con IA de código abierto ARTEX en operaciones de primera línea y están aprovechando los recursos de los equipos rojos del ecosistema de código abierto para realizar reconocimientos automatizados de redes objetivo.
Se acerca el umbral de la autonomía: la ciberseguridad mundial entra en una era de confrontación inteligente
Aunque las herramientas de los atacantes son cada vez más sofisticadas, Microsoft también estableció en su informe límites de evaluación relativamente prudentes. Los expertos señalan que, por ahora, los grupos de hackers norcoreanos aún no tienen la capacidad de ejecutar ataques con plena autonomía; en esta etapa, la IA sigue desempeñando principalmente el papel de multiplicador de eficacia y asistente de pilotaje.
Pero eso no significa que el sector de la seguridad pueda bajar la guardia. Desde la elaboración manual de scripts aislados hasta el lanzamiento a gran escala de ataques complejos y dirigidos con colaboración entre personas y máquinas, los plazos de respuesta tanto para atacar como para defenderse se están reduciendo drásticamente. Quienes defienden los sistemas deben pasar rápidamente de la respuesta pasiva tradicional a la supervisión dinámica basada en el análisis del comportamiento de la IA.
Con la continua evolución de los grandes modelos de lenguaje de código abierto y las tecnologías de inferencia en dispositivos, serán cada vez más frecuentes los ciberataques contra infraestructuras críticas y sistemas financieros basados en criptomonedas. Las instituciones de todo el mundo deben reforzar urgentemente sus defensas mediante auditorías de la cadena de suministro, concienciación sobre seguridad entre los empleados y autenticación multifactor, para hacer frente a la inminente tormenta cibernética inteligente.