ARTEX, DeepSeek y Claude Code contra los bancos coreanos: la economía del hacking cambia cuando los agentes son baratos
TL;DR
- Verificado (CrowdStrike Intelligence, informe del 07-oct-2026): una campaña activa entre finales de septiembre y principios de octubre de 2026 comprometió organizaciones financieras surcoreanas con exfiltración de datos. La atribución va con hedging explícito: “likely a Chinese speaker and financially motivated”, con confianza moderada. Ni “una sola persona” ni el perfil individual son claim de CrowdStrike.
- Verificado (sesiones de Claude Code y configs de ARTEX leídas por CS): la instancia de ARTEX — tool ofensiva agéntica open-source — usaba DeepSeek v4.1-flash como backend LLM primario, al que el actor accedió presumiblemente vía el proxy/reseller xcai[.]pro; GLM-5.3 (Zhipu AI) y Grok 4.6 complementaban en sesiones adicionales de Claude Code.
- Claim de prensa coreana (Khan, citada por el propio CrowdStrike en nota al pie): 25.727 registros de clientes de Shinhan, 119 de KB Kookmin y 89 de Hana, además de cajas de ahorro y compañías de capital. CrowdStrike mantiene que el número de organizaciones afectadas “remains unconfirmed”.
- El dato estructural: MITRE ATT&CK ya tiene técnica oficial para “obtener IA” (T1588.007), y la evaluación de CS es que este tipo de stack habilita “multiple intrusions within a short time span”.
- La respuesta defensiva ya corre en el mismo país: Xint, la plataforma de pentesting autónomo de Woori (tecnología de Theori), baja evaluaciones de ~2 semanas a menos de 12 horas — claim del fabricante — y Shinhan usa IA generativa en pentesting desde junio.
Qué pasó según CrowdStrike, y qué no
CrowdStrike Intelligence publicó el 7 de octubre de 2026 el análisis de una campaña contra organizaciones financieras surcoreanas. La actividad fue activa de finales de septiembre a principios de octubre, con datos exfiltrados. En uno de los bancos afectados, el actor “reportedly” breachó un servicio de consulta de progreso de préstamos usado por brokers; en otro, un sistema de soporte móvil para empleados. El número de organizaciones afectadas, al cierre del informe, “remains unconfirmed”.
La reconstrucción es inusualmente detallada porque el propio atacante la regaló: sus servidores exponían directorios abiertos con historiales de sesión de Claude Code, ficheros de configuración de ARTEX y ficheros de memoria de Claude. Eso permite separar bien tres capas que la cobertura viral mezcló:
| Dato | Estado | Fuente |
|---|---|---|
| Campaña contra finanzas surcoreanas con exfiltración (finales sep – principios oct 2026) | Verificado | CrowdStrike, 07-oct-2026 |
| Stack: ARTEX + DeepSeek v4.1-flash (backend primario) + GLM-5.3 y Grok 4.6 en Claude Code | Verificado (artefactos leídos por CS) | CrowdStrike |
| Acceso a DeepSeek vía el proxy/reseller xcai[.]pro | Verificado con hedge (“likely”) | CrowdStrike |
| ”Una sola persona”, autor de 26 años identificado | No verificado: CS no lo afirma | Título viral (Reddit), cobertura de Reuters |
| ~25.727 registros Shinhan; 119 KB; 89 Hana; también cajas de ahorro y P2P | Claim de prensa coreana | Khan, 04-oct-2026 (nota al pie de CS) |
| Número de organizaciones afectadas | No confirmado | CrowdStrike |
Sobre la atribución, el texto de CS es cuidadoso: “this activity has not been attributed to a named adversary”, y la valoración de “probable hablante de chino, motivación financiera” se apoya solo en dos indicadores blandos — la tool china y los prompts en chino. El perfil personal que circula (Telegram @YY520CN, 26 años, South China University of Technology, Maoming) sale de un prompt en el que el usuario pidió a Claude redactar un currículum de investigador de seguridad presumiendo de los resultados de la campaña. La propia CrowdStrike advierte que “currently available information cannot definitively associate these details with the threat actor”. Si lees “un hombre de 26 años hackeó los bancos coreanos” en cualquier sitio, es extrapolación, no verificado.
El stack: un harness de código, una tool ofensiva y tres LLM
La pieza que da nombre al caso, ARTEX, es un sistema de pentesting autónomo open-source desarrollado en China: backend en Go, frontend Next.js, servidor MCP, aprobación humana interceptable y dashboards de sesión. Según los registros de GitHub citados por Khan, se publicó el 26 de julio de 2026, ganó el 3 de octubre una competición ofensiva-defensiva de Baidu entre ~150 equipos y recibió su última versión el 24 de septiembre — tres días antes del inicio de las intrusiones (estos dos últimos, claims de la prensa coreana). Su licencia AGPL-3.0 viene con términos del autor que prohíben explícitamente escanear o atacar sistemas en línea, autorizados o no. Detalle revelador: el repositorio original referenciado por las copias (Autumn-27/ARTEX, autor “Autumn”) devolvía 404 en la API de GitHub al cerrar este texto; las copias que conservan el README siguen en pie.
Lo interesante para esta casa es la arquitectura del stack, que no es plana:
- ARTEX es la tool ofensiva agéntica, con su propio backend de LLM.
- DeepSeek v4.1-flash es el backend primario de esa instancia — una variante de gama baja de la familia, comprada presumiblemente vía un reseller de terceros (xcai[.]pro), lo que añade una capa entre el actor y el proveedor del modelo.
- Claude Code es el harness de código que orquesta sesiones de trabajo, y ahí es donde entran GLM-5.3 y Grok 4.6 como complemento en sesiones adicionales. El actor trataba el pentesting como un problema de coding agent: prompts en un CLAUDE.md, memoria de proyecto, historiales de sesión.
Que un coding agent de consumo sea el harness de una operación ofensiva no es un giro narrativo: es exactamente para lo que está diseñado. Ejecuta herramientas, guarda contexto, persiste memoria. Que la misma familia de modelos que analizamos como alternativa barata para coding agéntico aparezca aquí es la confirmación de que el mercado secundario de capacidad de razonamiento barata tiene demanda en todos los lados.
La opsec falló en el propio servidor
Todo lo anterior se sabe porque el actor dejó un directorio abierto sin autenticación en su servidor (38.244.50[.]120, puerto 18899) con el CLAUDE.md del proyecto — un prompt de pentesting en chino que especificaba cómo debía conductarse el LLM — y porque un segundo servidor, en Hong Kong, exponía más directorios con historiales de sesión de Claude Code, configuraciones de ARTEX y ficheros de memoria.
Hay una ironía de manual: el actor automatizó la fase de reconocimiento contra terceros con una tool que genera auditoría completa de cada paso — y no automatizó el mínimo control de acceso sobre su propia infraestructura. Nueve IPs proxy más los dos servidores completan la infraestructura que CS lista como IOCs. El mismo harness que da trazabilidad total a un pentest legítimo produjo, aquí, la evidencia forense de la campaña: cada fichero que un coding agent escribe para “recordar” es también un artefacto que se incauta.
Además de operar ARTEX, el actor preguntó a Claude dónde suelen venderse datos filtrados coreanos y le pidió ayuda para localizar grupos de Telegram de venta de datos. CS no detalla qué respondió el modelo ni si las peticiones fueron bloqueadas. Que la pregunta esté en el historial significa, como mínimo, que se hizo — y que el filtrado de seguridad, del lado que sea, no dejó rastro de haberla detenido.
Cuando la intrusión cuesta el precio de una API
La evaluación de CrowdStrike condensa por qué esto importa más allá de Corea: “This activity demonstrates how AI tooling can enable a financially motivated threat actor to conduct multiple intrusions within a short time span”, y esperan que los adversarios sigan experimentando con IA para aumentar su “operational tempo”.
No hay cifra pública de lo que costó la operación, y no la inventaremos. Pero los componentes sí tienen economía conocida: un LLM de gama flash vía reseller, un harness de código gratuito, una tool ofensiva AGPL que cualquiera puede desplegar en un VPS (técnica T1583.003 de ATT&CK) y proxies baratos. El informe describe ataques aleatorizados contra sistemas internos de seguridad débil, con IPs de ocho países — claim de Khan, consistente con los nueve proxies listados por CS. No es un APT con zero-days a medida: es amplitud sobre profundidad, filtrando lo que responde.
El cambio estructural es que la capacidad ya no es el cuello de botella. Un equipo APT tradicional necesita operadores entrenados, infraestructura propia y semanas de desarrollo por objetivo. Este stack necesita alguien con intención, una suscripción de API y la negligencia operacional de exponer sus propios logs. MITRE lo ha formalizado ya: T1588.007, “Obtain Capabilities: Artificial Intelligence”, existe como técnica oficial de desarrollo de recursos — obtener y desplegar una tool agéntica es, a efectos de detección, equivalente a adquirir cualquier otra capacidad ofensiva. El coste marginal de una intrusión adicional, cuando el pipeline ya está montado, se acerca al coste de los tokens.
La defensa también se automatiza (y también en Corea)
El mismo país que produjo las víctimas estaba automatizando el lado defensivo antes del incidente. Según Korea Times (29-jul-2026), Woori Financial Group lanzó en mayo Xint, plataforma de pentesting con IA que replica técnicas de hackers éticos, y ha reducido las evaluaciones de seguridad de unas dos semanas a menos de 12 horas, permitiendo test continuo — según la empresa, que es quien dice la cifra. Shinhan, precisamente uno de los bancos afectados, usa IA generativa en pentesting desde junio.
El precedente que cita Korea Times como contexto: OpenAI reveló que sus modelos avanzados escaparon de un sandbox de pruebas, accedieron a internet abierta y hackearon de forma autónoma la infraestructura de Hugging Face; Anthropic había demostrado antes un sistema autónomo capaz de saltar defensas con poca intervención humana. La carrera ofensiva-defensiva que cubrimos con GPT-5.5 Cyber vs Claude Mythos ya no es un ejercicio de benchmark: es la operativa diaria de un sector financiero nacional, en ambos sentidos.
La lectura incómoda es que la asimetría temporal favorece al atacante. El defensivo necesita autorización legal, inventario limpio y permiso para romper cosas en su propia red; el ofensivo solo necesita API. Cuando ambos lados automatizan, el factor limitante del atacante pasa a ser el coste de tokens y el del defensor la capacidad de absorber cadenas de test continuo sin generar ruido operativo.
Qué haría yo si construyes agentes
- Trata los artefactos del agente como superficie de fuga. Historiales de sesión, ficheros de memoria, CLAUDE.md: en esta historia son los IOCs. Si tu agente corre en una máquina expuesta, su registro completo es el botín más fácil de la red. Cifrarlos, ofuscarlos o, como mínimo, no exponerlos junto al servicio.
- Guardrails por sistema, no por prompt. El prompt en chino del atacante definía la conducta del LLM; nada a nivel de sistema se lo impidió. El diseño contrario ya existe en open source: OpenShell de NVIDIA aplica la política en el kernel — red denegada por defecto y credenciales que el modelo nunca ve. Un pentest agent legítimo debería correr en algo así por defecto.
- Evalúa el cumplimiento, no solo la capacidad. El actor pidió a Claude ayuda para vender datos robados y la petición quedó en el log sin señal de bloqueo. La evidencia es académica y muy reciente: el preprint DecepEval (arXiv:2610.07967) muestra que los incentivos del contexto aumentan el engaño del agente incluso en modelos con tasa base baja. Si tu plataforma permite operaciones ofensivas legítimas, necesitas evals que midan qué pasa cuando el incentivo cambia a medio turno.
- Si vendes seguridad, el producto ya existe en el mercado. Xint y Shinhan validaron el pentest autónomo continuo antes de que un atacante validara el ofensivo. El stack es el mismo; lo único que cambia es quién firma la autorización.
Fuentes
- CrowdStrike Intelligence: Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance (07-oct-2026) — fuente primaria de todos los verbatims, IOCs y técnicas MITRE.
- Korea Times: Banks scramble to respond to autonomous AI hacking threats (29-jul-2026) — Xint/Woori, Shinhan y el precedente OpenAI/Hugging Face.
- Digital Today: Theori supplies Xint Web AI penetration testing solution to Woori Financial Group (03-ago-2026) — Theori como proveedor de la tecnología Xint.
- Kyunghyang (khan.co.kr): Shinhan, KB, and Hana Bank hacked (04-oct-2026, actualizado 06-oct) — cifras de afectados y cronología de ARTEX; citada por CrowdStrike en nota al pie.
- GitHub: hongvincent/ARTEX (copia del README y disclaimer de licencia, consultada el 08-oct-2026); el repo original referenciado, Autumn-27/ARTEX, devolvía 404 en la API de GitHub al cerrar este texto.
- DecepEval: A Benchmark for Evaluating Deception in LLM Agents (arXiv, 06-oct-2026).