Un ciberataque coordinado por agentes de inteligencia artificial dejó al descubierto 600.000 tarjetas de crédito

Buscar empresas con sistemas vulnerables, entrar en sus servidores y plantar programas capaces de copiar los datos de las tarjetas de crédito: ese trabajo, que normalmente demanda equipos enteros de atacantes, quedó en manos de agentes de inteligencia artificial en una campaña que comenzó en julio de 2026 y terminó acumulando al menos 600.000 registros robados, según la reconstrucción publicada por la firma de ciberseguridad Gambit.

La investigación muestra un esquema inédito por el nivel de automatización alcanzado: el atacante sólo necesitaba escribir instrucciones cortas, del estilo de un mensaje breve, y los agentes se encargaban de casi todo el recorrido, desde detectar la víctima hasta instalar el software que captura la información de pago.

Cómo funciona la cadena del ataque

Para entender la maniobra conviene imaginarla como una fábrica con tres máquinas conectadas. La primera, llamada Hermes, hacía de centro de mando: guardaba memoria de lo que había hecho en otros objetivos, administraba tareas programadas y podía alterar sus propias habilidades, como si un aprendiz fuera sumando trucos con cada trabajo. A partir de ella, el atacante lanzaba las intrusiones y decidía los siguientes pasos. Las otras dos herramientas, Strix y Cairn, estaban pensadas para pruebas de penetración, es decir, para verificar de manera automática si los portales analizados tenían alguna puerta abierta por donde colarse.

• Selección de víctimas: uno de los agentes consultaba un servicio de ranking de sitios web y priorizaba a las empresas que usaban software hecho a medida, un tipo de desarrollo que suele tener menos actualizaciones de seguridad que los productos comerciales.
• Intrusión: los agentes probaban distintas formas de acceso hasta conseguir una. Cuando lo lograban, el tiempo promedio era menor a un día y, en muchos casos, de apenas unas horas.
• Instalación del skimmer: una vez adentro, desplegaban un programa skimmer, es decir, un software que se inserta en la página de pago y copia los datos de la tarjeta antes de que lleguen al sistema legítimo.
• Coordinación con el operador: Gambit identificó 1.951 instrucciones distribuidas en 260 sesiones de Hermes, apenas unas pocas por cada empresa atacada.

En la práctica, ese esquema permitía golpear alrededor de diez empresas por día, siempre con un gasto reducido por objetivo. Los atacantes sólo debían mantener activas las suscripciones a los modelos de inteligencia artificial y los servicios contratados, un costo que los investigadores describen como de pocos dólares por víctima, lo que vuelve la operación especialmente rentable frente al volumen de tarjetas capturadas.

Qué se sabe de las víctimas y del despliegue

Para reconstruir lo ocurrido, los especialistas accedieron al servidor que administraba la campaña y revisaron instrucciones y registros. También observaron skimmers activos en los sitios comprometidos. Entre el 10 y el 15 de septiembre de 2026 detectaron 105 oleadas de ataques y 27 organizaciones afectadas, con niveles de impacto variables. En la lista aparecen una aerolínea estadounidense, una compañía de hospitalidad Fortune 500 (el ranking de las 500 empresas más grandes de Estados Unidos), una distribuidora industrial y un comercio minorista de moda online. En algunos casos, la intrusión incluyó borrado o limpieza de datos, lo que interrumpió las operaciones normales de las empresas.

Qué falta para que estas campañas se generalicen

Aunque el caso muestra una capacidad de automatización notable, todavía quedan varios pasos para que este tipo de operaciones se vuelva masivo y cotidiano. Falta que más grupos cuenten con herramientas tan integradas como Hermes, Strix y Cairn; falta que los modelos de inteligencia artificial puedan sostener intrusiones complejas sin errores, ya que muchos intentos todavía fallan; y falta que las empresas víctimas incorporen monitoreo continuo de sus páginas de pago, ya que el skimmer puede pasar inadvertido durante semanas si nadie revisa el código que se ejecuta cuando un cliente completa el formulario de la tarjeta. Mientras esas brechas sigan abiertas, la barrera de entrada para un ataque de este tipo seguirá siendo baja: un operador con instrucciones breves, créditos en una plataforma de inteligencia artificial y unos pocos dólares por objetivo puede conseguir, como ocurrió aquí, un botín de cientos de miles de tarjetas de crédito.