Un sofisticado ataque a la cadena de suministro ha afectado al sector financiero de Corea del Sur, culminando en el despliegue del ransomware Qilin. Según un informe de Bitdefender, la operación combinó las capacidades del grupo Ransomware-as-a-Service (RaaS) Qilin, con la posible participación de actores afiliados al estado de Corea del Norte (Moonstone Sleet), aprovechando el compromiso de un Proveedor de Servicios Gestionados (MSP) como vector de acceso inicial.
Qilin ha surgido como una de las operaciones de ransomware más activas este año, con un crecimiento significativo en octubre de 2025, reclamando más de 180 víctimas y siendo responsable del 29% de todos los ataques de ransomware.
Bitdefender detectó un aumento inusual de víctimas de ransomware en Corea del Sur en septiembre de 2025, con 25 casos, un salto significativo desde un promedio de 2 víctimas por mes entre septiembre de 2024 y agosto de 2025. El análisis reveló que todos los casos se atribuyeron exclusivamente al grupo de ransomware Qilin, con 24 de las víctimas en el sector financiero. Los atacantes denominaron la campaña como ‘Korean Leaks’.
Los actores de amenazas se identifican como ‘activistas políticos’ y ‘patriotas del país’ y operan bajo un modelo de afiliados tradicional, reclutando hackers diversos a cambio de una pequeña parte de los pagos ilícitos (hasta el 20%). Un afiliado notable es Moonstone Sleet, un actor patrocinado por el estado de Corea del Norte.
Korean Leaks se desarrolló en tres olas, resultando en el robo de más de 1 millón de archivos y 2 TB de datos de 28 víctimas. Algunas publicaciones de víctimas fueron eliminadas del sitio de filtración de datos (DLS), posiblemente debido a negociaciones de rescate.
Las olas se distribuyeron de la siguiente manera:
* **Ola 1:** 10 víctimas del sector de gestión financiera (14 de septiembre de 2025).
* **Ola 2:** 9 víctimas (entre el 17 y el 19 de septiembre de 2025).
* **Ola 3:** 9 víctimas (entre el 28 de septiembre y el 4 de octubre de 2025).
La campaña se caracterizó por el uso de propaganda y lenguaje político, con el objetivo de exponer la corrupción sistémica y amenazando con revelar pruebas de manipulación del mercado de valores e información de políticos y empresarios coreanos.
El afiliado de Qilin accedió a múltiples víctimas a través del compromiso de un único MSP. En septiembre de 2025, se informó que más de 20 empresas de gestión de activos en el país fueron infectadas con ransomware tras el compromiso de GJTec.
Para mitigar estos riesgos, es fundamental que las organizaciones implementen la autenticación multifactor (MFA), apliquen el principio de privilegio mínimo (PoLP), segmenten los sistemas críticos y los datos confidenciales, y tomen medidas proactivas para reducir las superficies de ataque.
El compromiso del MSP subraya un punto ciego crítico en las discusiones de ciberseguridad: la explotación de un proveedor, contratista o MSP con acceso a otras empresas es una ruta más frecuente y práctica que los grupos RaaS pueden tomar para atacar a un gran número de víctimas.
Fuente original: Ver aquí