Ataque informático a escuelas del Reino Unido: las pistas que apuntan al uso de inteligencia artificial

Una red escolar en el Reino Unido fue atacada en una campaña de ransomware (secuestro de datos) en la que, según las investigaciones preliminares, los ciberdelincuentes utilizaron comandos generados con inteligencia artificial y un “bucle de agentes” para llevar a cabo la operación en forma automatizada.

La conclusión de los especialistas se basa en el hallazgo de una secuencia de comandos con modificaciones ligeras en cada intento y que, además, se ejecutaron en intervalos inusualmente regulares.

El incidente de seguridad se encuadra en una oleada de ataques apoyados en herramientas de IA y, siguiendo el repaso de Bleeping Computer, se da a conocer el mismo día en el que el Centro de Ciberseguridad del Reino Unido (NCSC, por sus siglas en inglés) publicó un informe en el que instó a los sectores con infraestructuras críticas a prepararse para campañas de ransomware automatizadas, que se multiplicarían en el 2028.

¿Cómo fue el ataque con IA a escuelas británicas?

Especialistas de la firma de ciberseguridad Bitdefender detallaron que el actor de amenaza empleó el ransomware 3AM, un software malicioso de tipo extorsivo que cifra los archivos de sistemas o redes y exige un pago para la supuesta liberación del botín. En concreto, bloquearon 37 de los 50 equipos vulnerados.

“No accedimos al equipo desde el cual operó el atacante, por lo que no podemos documentar detalles sobre el modelo de lenguaje en sí: cuál era, si se ejecutaba de forma local o remota, o incluso si una persona estaba copiando y pegando instrucciones y resultados entre el implante y el modelo”, señalaron desde Bitdefender.

Los investigadores agregaron que solo documentaron el comportamiento del atacante, que presentaba características atribuibles a procesos automatizados. De allí la mención al “bucle de agentes”.

En el ataque, se extrajeron y descifraron credenciales almacenadas en servidores, se copió una base de datos de Google Chrome y se buscaron referencias a otras instituciones dentro de carpetas de inicio de sesión. Además, los ciberdelincuentes crearon cuentas de administrador y accedieron a información financiera.

Anteriormente, el ransomware 3AM fue utilizado en un ataque al sistema de salud Kootenai Health, que en agosto de 2024 dejó expuesta información personal de casi 500.000 pacientes.