La RPDC se arma con IA: el grupo Kimsuky domina los modelos generativos para ciberataques
El grupo de hackers norcoreano Kimsuky, que opera bajo el paraguas de la Oficina de Reconocimiento del Estado Mayor General de la RPDC, ha alcanzado un nuevo nivel de armamento digital. Mi análisis de los datos recientes sobre ciberamenazas muestra que los atacantes están experimentando activamente con herramientas locales de inteligencia artificial, buscando integrarlas en sus ataques. Esto no es solo un interés por la tecnología, sino un trabajo sistemático para modernizar su arsenal.
La IA local como herramienta de conspiración
Durante la inteligencia técnica, se descubrió que Kimsuky ha desplegado y configurado varios marcos para la ejecución local de modelos de IA, en particular Ollama, GPT4All y Msty. Este enfoque no es casual: procesar datos en su propia infraestructura minimiza el riesgo de fuga de información confidencial o robada hacia servicios en la nube externos. Es un truco directo para evadir los sistemas de monitoreo y mantener el sigilo.
Además, en la infraestructura vinculada al grupo se han registrado tecnologías de generación aumentada por recuperación (RAG), que permiten a los modelos de IA acceder a documentos específicos. Junto con esto, se han detectado herramientas de reconocimiento de voz y traducción, así como Cursor, un editor de código con soporte de IA. Este conjunto sugiere que los hackers se están preparando para un ciclo completo: desde la generación de malware hasta la automatización del análisis de datos y los ataques.
De los señuelos a la automatización
Anteriormente, Kimsuky ya había utilizado IA para crear documentos financieros y de criptomonedas falsos como señuelos, imitando informes de inversión. Ahora, el enfoque se desplaza hacia una integración más profunda. Según mis evaluaciones, el grupo no apunta a experimentos puntuales, sino a la creación de un sistema sostenible donde la IA se convierta en la fuerza motriz de las ciberoperaciones.
Es especialmente alarmante que los hackers norcoreanos, incluido Kimsuky, estén atacando activamente la industria de las criptomonedas. Solo en 2025, estos grupos han robado más de $2.02 mil millones en activos digitales. La tecnología RAG les permite extraer eficazmente datos de documentos robados, y los sistemas de reconocimiento de voz convierten grabaciones de audio en texto fácilmente buscable. Esto acelera la inteligencia y aumenta la precisión de los ataques posteriores.
Es importante destacar: aunque aún no se han encontrado rastros de entrenamiento de modelos de IA propios, la actividad de Kimsuky se limita a la investigación y la acumulación de datos. Pero esto es solo cuestión de tiempo. La carrera armamentista en el ciberespacio entra en una nueva fase, y la industria, especialmente el sector de las criptomonedas, debe adaptar urgentemente sus estrategias de defensa a amenazas donde la IA se utiliza como arma ofensiva.
Mi opinión: la transición de los hackers norcoreanos a herramientas de IA locales es una señal para todos los participantes del mercado. Las vulnerabilidades crecerán exponencialmente, y confiar en métodos de seguridad tradicionales ya no es relevante. Inversores y empresas deberían revisar sus protocolos de protección, centrándose en el análisis de amenazas con IA y las anomalías de comportamiento.