Un ciberdelincuente le soltó la mano a la IA y se quedó mirando: 600.000 tarjetas robadas mientras él tomaba mates

Lo que empezó como una intrusión manual se transformó en una fábrica de tarjetas robadas. La firma de ciberseguridad Gambit identificó a un operador que, con ayuda de agentes de inteligencia artificial, automatizó casi todas las etapas del ataque y terminó acumulando al menos 600.000 registros de tarjetas de crédito. La campaña arrancó en julio de 2026 y afectó a decenas de empresas en distintos países, entre ellas una aerolínea estadounidense, una cadena de hoteles de la lista Fortune 500, una distribuidora industrial y un comercio de moda online.

Para dimensionar el método conviene pensar en un pueblo santacruceño chico, digamos Tres Lagos. Si alguien quisiera entrar a robar a la proveeduría del lugar, antes tenía que caminar horas para elegir el local, forcejear la cerradura y revolver hasta dar con la plata. Ahora, con la IA haciendo de cómplice, alcanza con decirle al agente 'buscá los negocios más desprotegidos' y, en cuestión de minutos, el sistema elige el blanco, abre la puerta y empieza a juntar el botín. Así, más o menos, funcionaba esta operación.

Cómo se elegía a las víctimas

El primer paso delata el nivel de automatización. Una de las herramientas consultaba un servicio de ranking de sitios web y filtraba a las empresas que usaban software a medida, es decir, plataformas con medidas de seguridad menos estandarizadas. Después, los agentes se lanzaban solos a probar vulnerabilidades, ejecutar exploits y, una vez adentro, instalar skimmers: esos pequeños programas que se cuelgan en los sitios de pago y copian los datos de la tarjeta cada vez que alguien compra.

• Hermes hacía de cerebro de la operación: coordinaba tareas, recordaba actividades anteriores, programaba acciones y hasta modificaba sus propias habilidades según lo que iba encontrando.
• Strix y Cairn eran las herramientas de apoyo, pensadas para pruebas de intrusión y para reforzar a Hermes cuando atacaba un objetivo más difícil.
• El combo completo permitía atacar unas diez empresas por día, según los cálculos de los investigadores.
• Cuando lograban entrar, lo hacían en menos de 24 horas y, en muchos casos, en cuestión de horas.

El papel del operador humano

Acá viene lo que más me llamó la atención. El atacante no escribía largas líneas de código ni ejecutaba comandos complejos. Gambit revisó el servidor desde el que se administraba todo y encontró 1.951 instrucciones distribuidas en 260 sesiones de Hermes, con apenas unas pocas por víctima. Eran indicaciones cortas del estilo 'empezá el ataque', 'pasá al siguiente paso' o 'ya estoy adentro, seguí'. El resto lo decidían los propios agentes.

Entre el 10 y el 15 de septiembre de 2026, los especialistas observaron 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de afectación. En varias de ellas, la intrusión incluyó acciones de borrado o limpieza de datos que interrumpieron operaciones normales de las empresas, lo que muestra que el daño no se limitó al robo de tarjetas.

El operativo entero dejó al descubierto un punto incómodo: ya no hace falta ser un programador brillante para coordinar un ciberataque masivo. Con unos pocos dólares por objetivo y un set de instrucciones breves, una sola persona pudo manejar una red de intrusiones que compromete la información financiera de medio millón de personas. La pregunta es cuándo los reguladores y las empresas van a empezar a tratar a estos agentes de IA como lo que son: herramientas con la misma responsabilidad que cualquier software que toca datos sensibles.