Ocho grupos de hackers de Corea del Norte usan IA para atacar más rápido, según Microsoft

Microsoft Threat Intelligence, el equipo de la empresa que sigue a grupos de hackers, informó el 29 de octubre que ocho grupos vinculados a Corea del Norte usan inteligencia artificial en sus operaciones. Los emplean para investigar víctimas, crear mensajes falsos y programar herramientas de ataque. Según el informe, publicado el 29 de octubre en la web de la empresa, el uso en el conjunto de esos grupos es “alto”.

Microsoft los clasificó en cuatro etapas. Tres grupos, Jade Sleet, Coral Sleet y Jasper Sleet, tienen la IA integrada en todo su trabajo. Otros cuatro, Diamond Sleet, Onyx Sleet, Pearl Sleet y Sapphire Sleet, están en fase de aceleración. Emerald Sleet la usa de forma más limitada. Ninguno figura en la etapa inicial o experimental.

La empresa precisó que las operaciones siguen dirigidas por personas y que no son autónomas. También sostuvo que la IA sirve a los objetivos de siempre: obtener dinero para el régimen, reunir información estratégica y, en algunos casos, causar daño. Entre los blancos habituales están las empresas de criptomonedas y finanzas.

Cómo operaron los grupos de IA

Entre el 8 y el 12 de junio, Jade Sleet se hizo pasar por reclutador de una supuesta empresa de inteligencia sobre blockchain (la tecnología que registra las transacciones con criptomonedas). Contactó a personas de ciberseguridad, IA y reclutamiento. En ese lapso repitió la maniobra con otras dos empresas falsas, con infraestructura parecida. Microsoft atribuyó esa velocidad al uso de IA generativa.

Onyx Sleet creó más de 100 archivos PDF con señuelos entre agosto y septiembre, dirigidos a usuarios surcoreanos. Los metadatos mostraron que generaba decenas de archivos en pocos minutos, algo que Microsoft atribuyó, con alta probabilidad, a una plataforma de IA. Esa producción en serie complica la detección, según el informe.

Coral Sleet, desde abril, usa un método para infectar repositorios privados de código en GitHub. Microsoft estimó que la capacidad se desarrolló con una herramienta de programación con IA. Sapphire Sleet probablemente también la usó en el ataque de agosto a desarrolladores del lenguaje Rust. Además, Onyx Sleet y Pearl Sleet emplean ARTEX, un programa de código abierto de pruebas de intrusión con IA.

Un precedente con 12 millones de dólares en billeteras

En abril, la firma de seguridad Expel describió a HexagonalRodent, un grupo que atribuyó a Corea del Norte. Según Expel, sus programas maliciosos obtuvieron datos de 26.584 billeteras de criptomonedas en 2.726 equipos de desarrolladores. Esas billeteras sumaban hasta USD 12 millones entre el 1 de enero y el 31 de marzo de 2026.

Expel no pudo confirmar si todo ese dinero fue retirado, porque algunas billeteras podían estar protegidas con llaves físicas. El grupo ofrecía empleos falsos a programadores y les enviaba una prueba técnica infectada. Según Expel, usó ChatGPT y Cursor, una herramienta de programación con IA, y dejó expuestos los textos que escribió para generar su código.

Marcus Hutchins, el investigador de Expel que firmó el informe, explicó a Wired que Corea del Norte envía a muchos trabajadores de informática al exterior, pero pocos tienen alta capacidad técnica. Según él, la IA permite a los menos hábiles dirigir campañas que dan resultado.

USD 2.000 millones robados en 2025

La firma de análisis de blockchain TRM Labs calculó en mayo que el 76% de las criptomonedas robadas en 2026 hasta ese momento estaba en manos de Corea del Norte, según Dark Reading. Ari Redbord, jefe de políticas de TRM, dijo que la IA elimina límites como el idioma y el tiempo para armar personajes creíbles. Informó además de un aumento del 500% en estafas asistidas por IA en un año.

Según Chainalysis, citada por The Block, los hackers norcoreanos robaron USD 2.020 millones en criptomonedas en 2025, incluidos USD 1.500 millones del ataque a la plataforma Bybit. Esa cifra corresponde al año anterior y no incluye los robos de 2026.

En agosto, la firma surcoreana Genians informó, según Reuters, que el grupo Kimsuky instaló programas de IA que funcionan en sus propios equipos, sin enviar datos a servicios externos. Genians dijo que el hallazgo indica que el grupo pasa de generar mensajes de engaño a preparar herramientas de ataque con IA.

El informe de Microsoft incluye recomendaciones de protección y detecciones para sus productos de seguridad, y concluye que los ataques con IA siguen apoyándose en ingeniería social, es decir, en engañar a personas con perfiles y ofertas falsas.