Agentes de inteligencia artificial al servicio del cibercrimen: cómo una campaña automatizada robó 600.000 tarjetas de crédito

Te lo resumo como si estuviéramos en la cocina de casa: alguien encendió la hornalla, dejó que la IA cocinara sola y se fue a mirar el partido. El resultado fue un desastre. La firma de ciberseguridad Gambit detectó una campaña en la que un ciberdelincuente coordinó agentes de inteligencia artificial para robar, al menos, 600.000 registros de tarjetas de crédito. La diferencia con los ataques clásicos es que acá la máquina hizo casi todo el trabajo sucio.

La operación arrancó en julio de 2026 y siguió escalando. Los agentes se encargaban de buscar empresas vulnerables, probar distintos puntos de entrada y, una vez adentro, instalar programas para capturar datos de pago, esos maliciousitos conocidos como skimmers. Cuando conseguían entrar, lo hacían en menos de un día y, en muchos casos, en apenas unas horas. La velocidad es lo que asusta.

Tres herramientas y unas pocas instrucciones

El operador combinó tres piezas: Hermes, Strix y Cairn. Para que se entienda fácil, Hermes era como el director técnico del equipo, el que miraba el partido entero y decidía a quién marcar. Strix y Cairn eran los delanteros, los que probaban una y otra vez hasta encontrar la vaya. En conjunto, podían atacar unas diez empresas por día.

La intervención humana, según los investigadores, se reducía a instrucciones cortitas: arranquen, sigan por acá, limpien esto. Gambit encontró 1.951 órdenes del atacante repartidas en 260 sesiones de Hermes, apenas unas pocas por objetivo. Poca letra, mucho daño.

• Selección de víctimas: una herramienta consultaba un servicio de clasificación de sitios web y priorizaba empresas con software hecho a medida, más fácil de vulnerar.
• Intrusión: los agentes ejecutaban de manera autónoma casi todas las etapas del ataque, desde el reconocimiento hasta la instalación de skimmers.
• Skimmers activos: entre el 10 y el 15 de septiembre de 2026 se detectaron 105 oleadas de ataques y 27 organizaciones comprometidas.

Para reconstruir lo que pasó, los especialistas accedieron al servidor desde el que se administraba la campaña. Ahí revisaron instrucciones y registros, y comprobaron que los skimmers estaban vivos en las páginas afectadas, robando datos de pago en vivo y en directo.

“Cuando conseguían entrar, habitualmente lo hacían en menos de un día y, en numerosos casos, en unas pocas horas.”Informe de Gambit

Quiénes quedaron en la mira

Entre las víctimas identificadas hay nombres pesados: una aerolínea estadounidense, una empresa de hospitalidad que integra el Fortune 500, una distribuidora industrial y un comercio de moda online. En varios casos, las intrusiones llegaron a interrumpir operaciones empresariales porque los atacantes borraron o limpiaron datos, un modo clásico de cubrir huellas.

Platicado con un becario del equipo de investigación, lo que más le llamó la atención fue el costo. Cada intento de intrusión costaba apenas unos pocos dólares en uso de modelos y herramientas. Con esa ecuación, apuntó, el margen para el atacante es enorme: gastar poco, automatizar todo y escalar rápido. ¿Y eso para qué sirve? Sirve para entender que la próxima campaña similar no va a buscar un banco a fuerza de bruta, sino que va a pedirle a una IA que le arme la lista de la suerte y le vaya avisando puerta por puerta dónde se puede colar.