Hackers norcoreanos engañan a ChatGPT para crear una tarjeta de identificación militar falsa utilizada en ataques de spear-phishing en Corea del Sur

Hackers norcoreanos manipularon ChatGPT para crear identificaciones falsas, utilizando esta técnica en ataques dirigidos contra instituciones de defensa en Corea del Sur.

Hackers norcoreanos lograron engañar a ChatGPT para que generara una tarjeta de identificación militar falsa, que posteriormente se utilizó en ataques de spear-phishing dirigidos a instituciones de defensa en Corea del Sur. La información fue reportada por el Centro de Seguridad Genians (GSC), que también obtuvo una copia de la tarjeta y analizó su origen.

Según Genians, el grupo responsable es Kimsuky, un actor de amenazas respaldado por un Estado, conocido por ataques de alto perfil en Corea del Sur, Japón, Estados Unidos y otros países. Este grupo ha sido vinculado anteriormente a incidentes en empresas como Korea Hydro & Nuclear Power, Naciones Unidas y diversas instituciones académicas, think tanks y centros de política.

Aunque empresas como OpenAI implementan barreras estrictas para evitar que sus modelos generen contenido malicioso —como malware, correos de phishing, instrucciones para fabricar explosivos, deepfakes, contenido con derechos de autor o documentos de identidad— existe la posibilidad de engañar a estos sistemas mediante técnicas conocidas como «jailbreaking». En estos casos, los atacantes solicitan muestras de diseño o simulaciones públicas de ciertos elementos, logrando así obtener imágenes o datos restringidos.

En este caso, Genians explica que la imagen del rostro utilizada en la tarjeta era accesible públicamente y que los delincuentes probablemente pidieron un «diseño de muestra» o un «modelo simulado» para forzar a ChatGPT a generar la imagen del ID. Aunque los documentos de identificación militar están legalmente protegidos y la generación de copias idénticas o similares es ilegal, las respuestas de los modelos pueden variar según el prompt o la configuración de roles utilizados.

La deepfake empleada en este ataque se considera parte de estas excepciones, y la facilidad técnica para crear identificaciones falsas con ayuda de la inteligencia artificial hace necesaria una mayor precaución. El Centro de Seguridad Genians enfatiza la importancia de extremar las medidas de protección, especialmente en documentos oficiales y de identificación militar, que son contenidos altamente sensibles y protegidos por ley.