# Hackean al Instituto de Seguridad Financiera de Corea del Sur > El organismo que audita la ciberseguridad de los bancos surcoreanos sufre una intrusión en su sistema de evaluación continua con 300 registros filtrados. > Por José Maldonado · Ciberseguridad · 2026-11-12 El Instituto de Seguridad Financiera de Corea del Sur, la agencia pública que audita la ciberseguridad de bancos y casas de bolsa, detectó el lunes 9 de noviembre de 2026 un acceso externo no autorizado en el sistema donde las entidades envían los formularios de sus evaluaciones. Los técnicos cortaron el sitio a las 14:19, hora de Seúl, y reportaron el incidente a la Comisión de Servicios Financieros (FSC) y a la agencia KISA. Cuatro días antes, el 5 de noviembre, el presidente de la FSC, Lee Eog-weon, había reunido en la sede del propio instituto a representantes del sector para exigirles refuerzos. El recuento oficial hasta el 11 de noviembre es pequeño en volumen y feo en significado. Hablamos de unos 200 formularios administrativos, más de 300 registros personales dentro de ellos, con nombres y fechas de nacimiento, y algo más de 350 registros de usuarios del sistema, con móviles parcialmente enmascarados. Casi todo corresponde a empleados de entidades financieras con tareas de evaluación. Las 48 entidades afectadas son cooperativas agrícolas regionales y uniones de crédito, con alguna cooperativa forestal, y no aparece un solo banco comercial grande. El organismo evalúa a unas 3.000 entidades este año y sostuvo en su primera versión que el servidor comprometido no alojaba ni análisis de vulnerabilidades ni diagramas de arquitectura. Un día después, ese punto se quedó sin base. ## Un auditor con 3.000 entidades en su lista El FSI no es un banco ni una casa de bolsa. Es el cuerpo técnico que identifica vulnerabilidades en los sistemas de las entidades financieras y vigila amenazas; cuando algo revienta, investiga la brecha. Su sistema de evaluación continua es la puerta donde esas entidades suben los formularios que sostienen la auditoría, desde modelos de consentimiento de información crediticia hasta documentación de cumplimiento. Ese fue el servidor comprometido. La [explicación oficial](https://www.koreajoongangdaily.com/korea/koreas-financial-cybersecurity-watchdog-hacked-just-days-after-regulators-warning/12967591) sitúa en unas 3.000 las entidades cuyos protocolos de protección de datos crediticios pasan por esas evaluaciones en 2026, e insiste en que la plataforma afectada es un canal externo de intercambio documental, no la red interna del organismo. La distinción no es un tecnicismo de manual. Un formulario es un documento administrativo con fecha, nombre y a veces un consentimiento firmado. Un resultado de análisis de vulnerabilidades es otra cosa: dice qué falla, dónde y con qué se explota. La primera versión oficial situaba el daño en la categoría aburrida y dejaba lo segundo fuera del alcance del atacante. ## Lo que el instituto dijo primero El [recuento del 11 de noviembre](https://biz.heraldcorp.com/article/10933210) fijó las cifras que el organismo confirmó y añadió dos detalles que ordenan el caso. El ataque se concentró en el segmento mutualista y no tocó a los grandes bancos comerciales. Además, el sistema no procesa transacciones de clientes minoristas y los números de registro de residentes no aparecieron en el material filtrado. Qué se filtró Volumen Alcance Formularios administrativos unos 200 Modelos de consentimiento de información crediticia Registros personales más de 300 Nombres y fechas de nacimiento de empleados Registros de usuarios más de 350 Nombres, móviles enmascarados y correos Entidades afectadas 48 Cooperativas agrícolas y uniones de crédito Direcciones IP del ataque 236 Todas surcoreanas, sin solapamiento previo La mayoría de los datos personales pertenece a trabajadores de las entidades que tramitaban las evaluaciones, no a clientes. Esa es la parte que el instituto subrayó y la que explica por qué el goteo de afectados se gestionó por teléfono, entidad por entidad, desde la noche del 10 de noviembre. ## El giro que llegó al día siguiente Un [relato posterior, del 12 de noviembre](https://news.sbs.co.kr/english/article.do?news_id=N1008841773), rompe esa lectura: el servidor atacado sí guardaba información de seguridad, con los diagramas de configuración de los sistemas de grandes entidades financieras nacionales y partes de las evaluaciones de análisis de vulnerabilidades. El instituto admitió que esos datos estaban allí y sostuvo que no salieron porque apagó la máquina al principio del ataque. La versión corregida deja dos cosas claras. El alcance real de la brecha no está cerrado, porque el propio organismo dice que la investigación sigue. La defensa funcionó a medias: el corte rápido evitó la exfiltración de los diagramas, pero no impidió que el atacante llegara hasta la carpeta donde estaban. Kwak Jin, profesor de ciberseguridad en la Universidad de Ajou, comparó el riesgo con dejar el plano de una casa a la vista, porque facilita saber por dónde entrar y qué servidor conviene golpear. ## Una cuenta falsa con permisos de supervisor La ruta del ataque debería inquietar a cualquier regulador. Un [análisis posterior](https://biz.heraldcorp.com/article/10933974) describe una cuenta falsa con los mismos privilegios que el Servicio de Supervisión Financiera (FSS), creada aprovechando un fallo en el proceso de autorización del instituto. Ninguna cuenta real del FSS fue comprometida. El atacante no entró por una puerta trasera exótica, sino por una casilla mal comprobada en el reparto de permisos. Ese patrón no es exclusivo de Corea. La [auditoría de privilegios que exige el CERT-In indio](https://observatorioblockchain.com/agentes-de-ia/cert-in-agentes-ia-auditoria-privilegios/) para los agentes de IA apunta al mismo agujero: cuentas que heredan permisos amplios y nadie revisa con la misma frecuencia con la que revisa contraseñas. Las 236 direcciones IP usadas en el ataque son todas surcoreanas, según el mismo reporte, y ninguna coincide con intentos de intrusión anteriores. La policía metropolitana de Seúl abrió investigación en su unidad de delitos informáticos a petición del instituto, y la FSC envió un equipo de inspección a la sede el miércoles 11 de noviembre, con personal del FSS colaborando. ## Cuatro días entre la advertencia y la brecha La cronología es incómoda. El 5 de noviembre, Lee Eog-weon reunió a las entidades en la sede del FSI para hablar de innovación en ciberseguridad y dejar un aviso sin ambigüedades: su oficina exigiría responsabilidades legales a los consejeros delegados por fallos graves de gestión y no toleraría prácticas que empeoraran el impacto de un incidente, como descuidar riesgos conocidos o confiar en inspecciones superficiales. Cuatro días después, el organismo que organizaba esa reunión estaba cortando su propio sistema de evaluación. No hay indicio de que el atacante reaccionara al encuentro ni de que la brecha derive de las mismas debilidades que se señalaron en él. La coincidencia no prueba una cadena causal, pero sí mide la distancia entre el discurso de un regulador y la resistencia real de su infraestructura. El sector tampoco sale indemne de ese contraste. Las mutualistas afectadas dependen de una plataforma común que administra el supervisor, y cuando ese canal falla el daño se reparte entre decenas de instituciones pequeñas. ## ¿Por qué el plano pesa más que los 300 registros? Un puñado de nombres y fechas de nacimiento se contiene con avisos y vigilancia de fraude. Un mapa de cómo se estructuran las evaluaciones de seguridad de un país entero no se contiene con nada parecido. Quien haya visto los diagramas sabe qué controles declaran las entidades y cómo se organizan sus redes, y con eso puede preparar un ataque que pase por cumplidor. Ahí está el valor real del incidente. El volumen filtrado es menor que el de cualquier brecha corporativa reciente; el interés está en la posición del emisor. Un atacante que entiende el proceso de evaluación puede elegir el formulario que nadie revisa o el permiso que se hereda por defecto. La brecha no entrega clientes, entrega el criterio con el que se decide quién está protegido. Sobre la autoría, el expediente sigue abierto. El instituto no ha identificado al atacante y el hecho de que las IP sean nacionales no cierra la pregunta, porque una dirección coreana puede ser un equipo intermedio comprometido. Corea del Sur convive además con la [negativa pública de Kim Yo-jong](https://observatorioblockchain.com/ciberseguridad/kim-yo-jong-niega-hackeo-binance-corea-norte/) a propósito del robo a Binance, un episodio que no conviene mezclar con este caso. ## El sector que se audita a sí mismo El FSI prometió revisar su marco de gestión de seguridad y compensar a quienes sufran daños reales. Las medidas concretas aún no existen, y las que importan son poco vistosas: separar privilegios de supervisión y tratar la plataforma compartida como infraestructura crítica. La lección para el resto del sector financiero, incluido el cripto, es que la superficie de riesgo se ha mudado a los proveedores y a los permisos. Un fallo en una app móvil de exchange, como el [escape de sandbox que Binance avisó el 11 de noviembre](https://observatorioblockchain.com/ciberseguridad/binance-worse-query-escape-sandbox-ios-frases-semilla/), o una casilla de autorización mal validada en el auditor producen el mismo efecto: alguien entra donde no debía y el sector descubre tarde qué había dentro. El prestigio de auditar a otros no protege de ser auditado.