Ciberataque en Corea: 38.490 clientes de Daishin afectados

Tres brechas en un mismo día en el sector financiero surcoreano

38.490 clientes del bróker Daishin Securities vieron expuestos sus nombres, correos electrónicos y teléfonos móviles tras un acceso no autorizado detectado el 17 de octubre. Ese mismo miércoles, Mirae Asset Global Investments y el exchange de criptomonedas Bithumb confirmaron incidentes de ciberseguridad propios, aunque ninguno de los dos ha confirmado la sustracción de datos de clientes.

Para cualquier startup que maneje datos personales, la secuencia importa más que las tres brechas en sí: llegan menos de un mes después de otra ola que golpeó a 16 instituciones financieras del país y que, según el recuento que recogió The Epoch Times, dejó alrededor de 100.000 registros filtrados.

En el caso de Daishin, los datos comprometidos incluyeron nombres, correos, direcciones físicas, números de cuenta bancaria y teléfonos móviles, de acuerdo con Namecoin News. El acceso apuntó a un servidor vinculado a la apertura online de cuentas para servicios de inversión discrecional, y la compañía registró más de 60.000 solicitudes maliciosas en 10 días, según Coinpedia. La firma notificó a los afectados, coopera con las autoridades y dijo que compensará los daños conforme a la ley.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Bithumb confirmó el acceso no autorizado a su sistema interno de groupware móvil, operado a través de la plataforma de terceros Daou Office, que los empleados usan para mensajería, agenda y documentos, según Namecoin News. El exchange sostuvo que los activos virtuales de los usuarios no se vieron afectados y que no detectó retiros anómalos, y reportó el caso a la Korea Internet & Security Agency y a la Personal Information Protection Commission. Todavía analiza si hubo información de clientes comprometida.

Mirae Asset Global Investments, que según Coinpedia gestiona US$461.000 millones en activos, confirmó acceso externo no autorizado a algunos de sus sistemas web y de uso interno. La firma dijo que hasta ahora no identificó datos de clientes ni daño financiero, y que bloqueó las rutas de acceso, de acuerdo con Namecoin News.

El patrón del tercero vulnerable no es exclusivo de Corea. La firma de seguridad SlowMist reportó que alrededor de 70.000 usuarios de Coinbase podrían haber quedado expuestos por un incidente en el proveedor de analítica Amplitude; Coinbase negó una brecha interna y afirmó que no hubo acceso no autorizado a sus sistemas ni impacto en fondos de clientes, según Coinpedia.

ARTEX: cuando una herramienta de pentesting se convierte en arma

CrowdStrike Intelligence documentó una campaña activa entre fines de septiembre y principios de octubre de 2026 que usó ARTEX, una herramienta open source de pentesting agéntico desarrollada en China por Autumn-27, combinada con modelos de lenguaje. El resultado fue la exfiltración de datos de firmas financieras surcoreanas como Shinhan Bank y Yegaram Savings Bank, según The Hacker News.

Los investigadores llegaron al caso tras encontrar directorios abiertos en una IP con sede en Hong Kong que exponían historiales de sesiones de Claude Code, archivos de memoria y configuraciones de ARTEX. La instancia usaba DeepSeek v4.1-flash como backend principal, con GLM-5.3 y Grok 4.6 como complemento. CrowdStrike evaluó con confianza moderada que el operador era probablemente de habla china y con motivación económica, sin atribuir el ataque a un grupo conocido.

Después de conocerse el abuso, el desarrollador anunció que ARTEX dejaría de recibir actualizaciones y pasaría a código cerrado, y negó cualquier vínculo con los ataques, según The Hacker News. La empresa china ThreatBook señaló que la versión original nació como un proyecto personal del responsable de producto de su plataforma RedAgents, de acuerdo con The Epoch Times.

La automatización también empuja el fraude de credenciales. La firma ZenoX documentó SCARLET LOOP, una plataforma de credential stuffing que probó 12.277.358 credenciales y validó 11.832 en 3.968 dominios, según The Hacker News.

¿Por qué Corea del Sur y Japón concentran los ataques?

El 14 de octubre, la Financial Services Commission informó que 16 instituciones financieras habían sido afectadas y que se filtraron alrededor de 100.000 registros con información personal, según The Epoch Times. Los datos expuestos incluyeron nombres, datos de contacto, números de identificación nacional y correos electrónicos; el regulador dijo que no identificó filtraciones de contraseñas ni de números de tarjetas.

El gobernador del Financial Supervisory Service, Lee Chan-jin, instó al sector a reforzar su seguridad ante ataques cada vez más sofisticados, incluidos los asistidos por IA. En paralelo, el Ministerio de Ciencia de Seúl y la Korea Internet & Security Agency pidieron a los operadores de sitios web revisar vulnerabilidades de PHP, un lenguaje ampliamente usado, que fue explotado en estos ataques, según CryptoBriefing. El gobierno también planea hacer revisiones de seguridad en decenas de sistemas de TI del sector privado, de acuerdo con la información publicada por TechCrunch.

Japón aparece en el mismo mapa. El 19 de octubre, GMO Cybersecurity by IERAE confirmó rastros de ARTEX en servidores usados contra empresas japonesas: primero uno que apuntó a unas 20 compañías —nueve del mismo sector— y luego cinco más, hasta seis servidores dirigidos a unas 80 empresas de retail, regalos digitales, educación, impresión, seguros, finanzas, e-commerce y logística, según The Epoch Times. Ocho de esas compañías revelaron brechas entre el 18 de septiembre y el 18 de octubre.

Las cifras japonesas dimensionan el problema: Lawson reportó la filtración de datos de más de 2 millones de cuentas, Yamato Transport confirmó el robo de cerca de 5,26 millones de registros de su servicio de pago contra entrega y GMO Research & AI reportó 894.082 registros robados de su plataforma de encuestas infoQ, según The Epoch Times.

Un día antes, Japón había reportado un incidente de ciberseguridad en GMO Internet tras una serie de ataques a sus instituciones financieras, de acuerdo con la información de TechCrunch. Los investigadores aún no han establecido una conexión formal entre los casos de ambos países.

¿Qué significa esto para tu startup?

La lección central es que el eslabón débil casi nunca es el core del negocio. En Bithumb la puerta fue un groupware de empleados; en el caso de Coinbase, un proveedor de analítica. Los datos personales viven en la periferia, y ahí conviene mirar primero.

Haz un inventario real de terceros con acceso a datos personales. Lista cada SaaS, proveedor de analítica, herramienta de RRHH y agencia que toca información de clientes. Revisa permisos, elimina accesos que ya no se usan y exige en los contratos una cláusula de notificación de brechas con plazos y responsabilidades claras.
Corre un escaneo de vulnerabilidades y parchea lo aburrido. La alerta por fallos de PHP en Corea del Sur es un recordatorio: los frameworks y CMS viejos siguen siendo la vía de entrada más barata para un atacante. Actualiza versiones, activa un WAF y monitorea los logs del servidor de cuentas, que es donde Daishin detectó el acceso.
Blinda los inicios de sesión contra credential stuffing. El caso de SCARLET LOOP muestra que probar millones de credenciales filtradas ya es un proceso automatizado. Obliga MFA en todos los paneles administrativos, limita la tasa de intentos y alerta sobre patrones de login anómalos.
Ten un plan de respuesta escrito antes de necesitarlo. Daishin notificó a los afectados y anunció compensaciones conforme a la ley. Define quién habla en nombre de la empresa, cómo se notifica a los clientes, qué obligaciones regulatorias aplican en tu país y si tu póliza de seguro cibernético cubre el incidente.
No trates la separación de redes como defensa suficiente. Bithumb tenía su groupware separado del motor de trading y aun así hubo filtración de información. La segmentación reduce el daño, no elimina el riesgo sobre los datos.

La advertencia para las fintech de LATAM y España

Las fintech de la región comparten el perfil que hizo atractivo al sector financiero asiático: mucha información personal, equipos de seguridad pequeños y dependencia fuerte de proveedores externos. La diferencia es que un incidente con 38.490 clientes expuestos no requiere un atacante sofisticado, sino una herramienta abierta y tiempo.

Conclusión

La ola de octubre en Asia deja una conclusión incómoda: la barrera de entrada para atacar infraestructura financiera se derrumbó. Una herramienta open source, un modelo de lenguaje y una IP alquilada bastaron para dejar a decenas de miles de clientes con sus datos personales expuestos en Corea del Sur, y las autoridades todavía no cierran la investigación.

Para un founder, el mensaje no es "compra más seguridad", sino "conoce tu superficie de ataque real": qué terceros tocan tus datos, qué sistemas siguen sin parchear y qué harías en las primeras horas de una brecha. Responder esas tres preguntas hoy rinde más que cualquier firewall nuevo.