La filtración de SM Entertainment dejó fuera datos bancarios, números de registro de residente y datos de contratos de empleados de tres empresas del mismo grupo. SM Entertainment, la agencia de K-pop detrás de nombres que llenan estadios, confirmó este 8 de noviembre que un atacante externo entró a sus sistemas corporativos y sacó documentos guardados. El aviso llegó cuatro días después del acceso.
El golpe no tocó una tienda ni una aplicación abierta al público. Entró por el sistema de aprobación electrónica, esa herramienta interna donde circulan documentos para firma, contratos y expedientes de personal. Ahí dormía el botín completo: nombres, números de teléfono móvil, domicilios, números de cuenta bancaria, el número de registro de residente —el documento de identidad surcoreano— y parte de la información escrita en contratos.
DearU y Dream Maker Entertainment quedaron dentro del mismo incidente. DearU es la filial de tecnología que opera Bubble, la aplicación de comunicación entre artistas y seguidores. Dream Maker se dedica a la producción de conciertos del grupo. Las tres empresas publicaron avisos con el mismo relato: la salida de archivos ocurrió alrededor del 4 de noviembre y cada persona tiene un nivel distinto de exposición, porque depende de los documentos concretos que el atacante alcanzó.
La puerta fue una herramienta de oficina
SM contó que detectó el acceso durante su monitoreo interno de seguridad. La respuesta inmediata tuvo tres piezas: bloquear las direcciones IP y las rutas de acceso usadas en el ataque, reemplazar las claves de acceso comprometidas y cerrar el paso para frenar nuevos ataques y nuevas salidas de datos. Quien firma el aviso pide perdón por la preocupación causada y anuncia una investigación detallada con autoridades del Gobierno surcoreano y agencias especializadas externas, más una revisión completa de sus sistemas.
Ese detalle del sistema de aprobación importa más de lo que parece. Una plataforma para seguidores guarda correos y contraseñas, datos que se cambian con un clic. Un archivo de aprobaciones junta otra cosa: el contrato firmado, el número de cuenta donde cae el sueldo, el domicilio y un número de identidad que en Corea del Sur acompaña a la persona toda la vida y no se renueva como una contraseña. Con ese paquete, un estafador no necesita inventar un cuento raro. Tiene nombre, teléfono, banco y cargo para armar una llamada creíble.
La propia SM advirtió de ese riesgo al personal afectado. En el aviso reproducido por Star News Korea, la empresa pidió cautela frente a llamadas y mensajes fraudulentos de voz y texto, el tipo de engaño que usa datos reales para pedir dinero o códigos. La notificación a cada afectado va por partes, por correo electrónico o mensaje de texto, mientras la empresa termina de identificar a cada persona y el dato exacto que salió en su caso.
De momento, el número total de afectados no se ha publicado. SM tampoco ha confirmado daño secundario por uso indebido de la información robada. Son dos datos concretos que faltan y que pesan: sin cifra de afectados, el tamaño real del incidente queda medido solo por la lista de campos expuestos, y esa lista ya es larga.
Corea suma dos brechas en la misma semana
El calendario surcoreano viene cargado. Días antes, la corredora Mirae Asset Securities reveló accesos externos del 4 y el 5 de noviembre que tocaron cerca de 3.800 números de cuenta de clientes y los datos de 35.255 empleados actuales, antiguos y contratistas. El contraste ayuda a leer el caso de SM: Mirae publicó cifras de alcance desde su aviso, con nombres, correos, móviles y contraseñas cifradas de su plantilla en la lista; la agencia de entretenimiento todavía no pone número a su incidente. El hackeo a Mirae Asset dejó los datos de empleados como botín central, con un patrón parecido al de esta semana.
Hay otra diferencia que un lector de Latinoamérica capta rápido. Mirae mueve dinero de clientes y opera bajo supervisión financiera estricta, con la obligación de contar lo ocurrido casi al detalle. Una agencia de espectáculos maneja un activo distinto: contratos de artistas, proveedores y giras, documentos que valen por lo que revelan de acuerdos comerciales y por la identidad de quienes los firman. El atacante que entra a ese archivo no busca un saldo. Busca palanca.
Burbujas aparte, Bubble merece una precisión. DearU confirmó el mismo tipo de acceso a sus sistemas de trabajo, los corporativos. Los avisos reproducidos este domingo hablan de datos de empleados y de personas vinculadas a las tres compañías, y ninguno de los textos publicados hasta esta tarde en Seúl detalla una caída de la base de usuarios de la aplicación. La empresa sigue verificando alcance con la filial que opera los sistemas y con las autoridades, y las notificaciones individuales seguirán saliendo de forma escalonada.
El refuerzo prometido por SM apunta a controles de acceso y monitoreo de los sistemas internos, con identificación de la causa como tarea pendiente declarada por la propia empresa. El dato que cerrará esta historia todavía no existe en público: cuántas personas recibieron, o recibirán, ese correo de aviso con su nombre en la lista.
Fuente: Seoul Economic Daily
