El presidente exige una respuesta rigurosa

El presidente surcoreano, Lee Jae-myung, pidió investigar a fondo una serie de filtraciones de datos personales en bancos y organismos públicos. También instó a las autoridades a preparar medidas para responder a los incidentes y evitar que se repitan.

La instrucción se produjo después de que recibiera información sobre los casos recientes y sobre la respuesta de las instituciones afectadas. Lee pidió que el asunto se trate con la seriedad que merece, en un momento en que la seguridad de los datos financieros preocupa tanto a clientes como a empresas.

«Hay que abordar el asunto con una percepción de su gravedad, llevar a cabo una investigación exhaustiva y hacer todo lo posible para preparar medidas», indicó el presidente, según el resumen de sus instrucciones.

Varios bancos y entidades bajo escrutinio

Entre las entidades afectadas por ataques externos figuran Shinhan, KB Kookmin, Hana y BNK Busan Bank. Los incidentes implicaron la extracción de información personal, aunque los detalles sobre el alcance total de cada filtración no se precisaron en la información disponible.

También se han comunicado incidentes en instituciones públicas. Además, los ataques no parecerían limitarse a los grandes bancos: se reportaron casos en empresas de ahorro, financieras de crédito y entidades de finanzas mutuales, que forman parte del sector financiero no bancario.

Qué significa que los ataques sean «externos»

Un ataque externo es una intrusión realizada desde fuera de la organización, por ejemplo, mediante el uso de contraseñas robadas, fallos en sistemas informáticos o mensajes engañosos enviados a empleados. La existencia de una intrusión no permite, por sí sola, determinar cómo entraron los atacantes ni cuántas personas resultaron afectadas.

Tampoco está confirmado que la inteligencia artificial se utilizara en todos los casos, ni que fuera la causa de las filtraciones. Las autoridades tendrán que establecer qué herramientas se emplearon, qué datos fueron consultados o extraídos y si los distintos incidentes están relacionados.

La posible función de la inteligencia artificial

Los ataques se han descrito como posiblemente vinculados al uso de inteligencia artificial (IA), pero esa hipótesis aún debe verificarse. La IA puede ayudar a automatizar tareas —como redactar mensajes engañosos o analizar grandes cantidades de información—, aunque eso no significa que todo ataque digital reciente haya sido realizado por una máquina o con sistemas avanzados.

Por ejemplo, un mensaje fraudulento podría parecer más convincente si está escrito con buena gramática y adaptado a la situación de una persona. Pero para determinar si hubo IA en un ataque concreto hacen falta pruebas técnicas, como registros de acceso, análisis de los dispositivos y reconstrucciones de las acciones de los intrusos.

La investigación también deberá distinguir entre la herramienta utilizada y las debilidades que permitieron el acceso. Una organización puede sufrir una intrusión por una contraseña filtrada o un sistema desactualizado, tanto si el atacante utiliza IA como si no.

Por qué importa la filtración de datos financieros

La información personal puede servir para suplantar a una víctima, intentar abrir cuentas o diseñar estafas más creíbles. Si los delincuentes conocen datos como el nombre y el teléfono de una persona, podrían hacerse pasar por una entidad financiera y pedirle que revele una contraseña o un código de verificación.

Una filtración no demuestra automáticamente que se haya producido un fraude o un robo de dinero. Sin embargo, eleva el riesgo de que los datos se utilicen más adelante y puede obligar a las entidades a avisar a los afectados, proteger sus cuentas y explicar qué ocurrió.

Lee ya había anunciado sanciones más duras

El 30 de septiembre, tres días antes de la nueva instrucción, Lee publicó en la red social X un mensaje dirigido a las empresas que gestionan datos personales. En esa publicación afirmó que, ante futuros incidentes, se contemplarían multas superiores al dinero que una compañía hubiera ahorrado al reducir gastos de seguridad.

También mencionó sanciones penales firmes y la posibilidad de facilitar que las personas afectadas obtengan compensaciones por la vía civil mediante demandas colectivas. Una demanda colectiva permite que varias personas con perjuicios similares reclamen juntas, en lugar de que cada una tenga que iniciar por separado un proceso judicial.

La propuesta expresada por Lee combina tres vías: multas económicas, responsabilidad penal y reclamaciones civiles más accesibles para los afectados.

Estas medidas fueron planteadas por el presidente como una advertencia y una orientación para endurecer la respuesta ante futuras filtraciones. La información disponible no indica que todas hayan entrado ya en vigor ni detalla qué cambios legales serían necesarios para aplicarlas.

Qué se debe esclarecer en la investigación

Para evaluar la gravedad de los incidentes, será importante precisar qué tipo de información salió de cada sistema, durante cuánto tiempo estuvo expuesta y cuántas personas podrían verse afectadas. También habrá que establecer si los bancos y otras instituciones detectaron las intrusiones a tiempo y qué acciones tomaron después.

  • Origen del acceso: si se utilizaron credenciales robadas, fallos técnicos u otros métodos.
  • Alcance de la filtración: qué datos se consultaron o extrajeron y a quiénes pertenecían.
  • Uso de IA: si existen pruebas de que se emplearon herramientas de IA y para qué tareas.
  • Respuesta de las entidades: cuándo detectaron el problema y cómo protegieron a clientes y sistemas.
  • Medidas preventivas: qué cambios pueden reducir el riesgo de ataques similares.

La comparación entre los casos también puede ayudar a determinar si se trata de ataques independientes o de una campaña coordinada. Esa diferencia importa: si varios incidentes comparten un método, una vulnerabilidad o un grupo responsable, la respuesta podría requerir una coordinación más amplia entre las instituciones y las autoridades.

Protección de los clientes y responsabilidades

Mientras avanzan las pesquisas, las entidades afectadas deberán aclarar qué medidas de protección corresponden a sus clientes. En términos prácticos, las personas pueden desconfiar de llamadas o mensajes inesperados que pidan contraseñas, datos bancarios o códigos de un solo uso, incluso si quien contacta parece conocer información personal.

Las instituciones, por su parte, deberán demostrar que cuentan con controles adecuados para limitar quién puede acceder a los datos y detectar actividad inusual. La seguridad no depende únicamente de instalar programas: también requiere revisar permisos, actualizar sistemas, capacitar al personal y tener un plan para responder rápidamente a una intrusión.

La cuestión central: prevenir y rendir cuentas

El caso plantea dos preguntas que van de la mano: cómo impedir que los datos se filtren y quién debe asumir los costes cuando sucede. Las sanciones pueden incentivar a las empresas a invertir más en protección, pero su eficacia dependerá de que las responsabilidades se investiguen con pruebas y de que las personas afectadas puedan recibir información y reclamar de forma efectiva.

Por ahora, la instrucción de Lee es clara: las filtraciones deben investigarse con rigor y deben prepararse medidas de respuesta. La investigación tendrá que confirmar el papel —si lo hubo— de la inteligencia artificial y determinar el alcance real de los daños, antes de que puedan extraerse conclusiones definitivas.