El Centro de Lucha contra la Ciberdelincuencia de GMO, filial de GMO Internet Group, anunció el 19 de octubre que la herramienta de IA «ARTEX», desarrollada en China, se había utilizado en una serie de accesos no autorizados dirigidos contra empresas japonesas.
También señaló que había descubierto seis nuevas infraestructuras de ataque que empleaban IA y tenían como objetivo empresas japonesas. En una rueda de prensa el día 20, el secretario jefe del Gabinete, Minoru Kihara, afirmó que el Gobierno se esforzará por esclarecer quién está detrás de los ataques, incluida la posible participación de actores extranjeros.
La IA ya se encarga de los preparativos de los ataques
ARTEX es una herramienta autónoma de pruebas de penetración basada en IA. Estas pruebas consisten en buscar puntos débiles de un sistema e intentar entrar en él; normalmente, las emplean los responsables de protegerlo para comprobar su seguridad.
ARTEX se conecta a modelos de lenguaje de gran tamaño (LLM) y permite automatizar la búsqueda de vulnerabilidades y los intentos de intrusión. En un principio se publicó como software de código abierto, pero sus desarrolladores retiraron la publicación después de que se informara de su uso con fines maliciosos.
Una herramienta de auditoría puede convertirse también en un instrumento de ataque. Es como un cuchillo, que sirve tanto para cocinar como para hacer daño. La diferencia, en todo caso, es que, al asumir la IA parte del trabajo humano, un solo atacante podría llegar a apuntar a más objetivos.
La investigación revela ataques dirigidos
En una investigación anterior, el Centro de Lucha contra la Ciberdelincuencia de GMO señaló que el análisis de registros forenses —datos que documentan rastros de intrusión— indicaba que probablemente se había utilizado IA. Ahora, el examen de la infraestructura desde la que se lanzaron los ataques ha confirmado el uso de ARTEX, lo que respalda esa hipótesis.
Una de las infraestructuras de ataque analizadas tenía como objetivo a unas 20 empresas japonesas, nueve de ellas con sitios web del mismo sector. Según el centro, en el ámbito observado los ataques se concentraban casi exclusivamente en empresas japonesas. Las seis infraestructuras adicionales descubiertas tenían como principales objetivos, respectivamente, los sectores de tarjetas regalo digitales y distribución minorista; educación, regalos e impresión; puntos y tarjetas regalo y marketing; seguros y finanzas; y comercio electrónico, medios de comunicación y logística.
Ocho de las empresas japonesas identificadas como objetivos anunciaron fugas de información entre septiembre y octubre. Los investigadores creen que un mismo grupo de ataque estuvo implicado en varios incidentes y compartieron la información obtenida con las fuerzas del orden.
También se han informado de actividades similares en otros países. La estadounidense CrowdStrike señaló que ARTEX se había utilizado en un ataque contra una entidad financiera de Corea del Sur. Según la empresa, en los servidores de los atacantes se encontraron archivos de configuración de ARTEX y el historial de sesiones de «Claude Code», una herramienta de desarrollo de IA. El Centro de Lucha contra la Ciberdelincuencia de GMO estima que se empleó un método similar contra empresas japonesas.
Cómo interpretar las noticias de filtraciones que se suceden
En Japón, las noticias sobre filtraciones de datos personales se suceden casi a diario. Entre los casos más recientes figuran la posible filtración, mediante un acceso no autorizado, de 730 registros de personas relacionadas con la promoción de programas de Fuji TV, y la filtración de 4,45 millones de registros de datos personales de Furusato Choice. Según las informaciones, ambos casos se debieron a accesos no autorizados.
Hay otro aspecto que conviene considerar: cómo interpretar las cifras. La diferencia entre 730 y 4,45 millones es enorme, pero la gravedad de los daños no depende únicamente del número de registros afectados.
El riesgo de daños posteriores, como la suplantación de identidad o las ofertas fraudulentas, varía según el tipo de información filtrada, como nombres, direcciones o correos electrónicos. Entre las medidas recomendadas en las noticias figura cambiar las contraseñas en primer lugar cuando se produce una filtración de datos personales. Los usuarios pueden empezar por medidas básicas, como dejar de reutilizar la misma contraseña.
Lo decisivo no es solo qué hacer tras un ataque, sino «la rapidez con que se detecta»
El Gobierno ha revelado que, además de recopilar información de los ministerios y organismos pertinentes, está entrevistando directamente a las empresas afectadas. Sin embargo, ha señalado que todavía no está en condiciones de ofrecer detalles concluyentes sobre los incidentes. El esclarecimiento de quién está detrás de los ataques es una tarea que aún está por delante.
También se están tomando medidas en el ámbito privado y político. El día 20, el Partido Liberal Democrático de Japón elaboró un borrador de propuesta para pedir al Gobierno que refuerce las medidas contra los ciberataques dirigidos a empresas. El texto incluye la implantación de una «red de observación de la cadena de suministro» que use IA para detectar anomalías de forma temprana, con el objetivo de proteger de los ataques a las pequeñas y medianas empresas, que sufren escasez de personal especializado. Está previsto que la propuesta se apruebe formalmente y se entregue al Gobierno próximamente; este afirma que estudiará nuevas medidas a partir de sus recomendaciones.
Si los atacantes automatizan sus operaciones con IA, los defensores no podrán seguirles el ritmo dependiendo únicamente del trabajo humano. La propuesta de recurrir a la IA para detectar antes las amenazas puede interpretarse como una expresión de esa preocupación. En los ataques contra la cadena de suministro, en los que el daño se propaga a través de los socios comerciales, resulta eficaz contar con un sistema que permita detectar anomalías en varias empresas de forma transversal, en lugar de esperar a que una sola se dé cuenta.
Cada vez es más difícil impedir por completo los ataques. Por eso, la protección de los datos personales dependerá probablemente de cuánto logren reducir empresas y gobiernos el tiempo que tardan en detectar una intrusión y en poner en marcha las primeras medidas de respuesta.
コメント