600 mil tarjetas en bandeja: un pirata suelto con IA y la billetera abierta

¿Se acuerdan cuando un hacker era aquel tipo encapuchado que tipeaba código durante horas? Bueno, abrocha el cinturón porque esa imagen ya quedó en blanco y negro. La firma de ciberseguridad Gambit acaba de mostrar cómo un ciberdelincuente armó una especie de fábrica del delito con agentes de inteligencia artificial y se llevó, en pocas semanas, al menos 600.000 registros de tarjetas de crédito de decenas de empresas. La campaña arrancó en julio de 2026 y el nivel de automatización es de esos que dan escalofríos, incluso a los que laburamos en tecnología.

¿Cómo se elige a la víctima cuando la máquina hace el trabajo sucio?

El primer paso delata la lógica: una de las herramientas consultaba un servicio de clasificación de sitios web, o sea un ranking que evalúa la popularidad o el tráfico de cada dominio (algo así como el ránking de facturación del barrio), y se quedaba con empresas que usaban software hecho a medida. ¿Por qué? Porque lo a medida suele ser más desprolijo en seguridad que un producto de góndola. Dicho de otra forma: atacaban la tranquera con la tranquera abierta. A partir de ahí, los agentes de IA podían ejecutar casi todas las etapas del ataque solos. Cuando conseguían entrar, lo hacían en menos de un día y, en muchos casos, en apenas unas horas.

El combo se apoyaba en tres herramientas con nombres casi de película: Hermes, Strix y Cairn. Hermes hacía de cerebro y también de manos: coordinaba tareas, tenía memoria de operaciones anteriores, agendaba trabajos y hasta podía sumar habilidades nuevas. Strix y Cairn estaban más orientadas a probar si la puerta tenía llave. Juntas, las tres permitían atacar unas diez empresas por día. Traducido: a este ritmo, en un mes podés pasarle por encima a varias cuadras de Pymes sin despeinarte.

¿Qué hizo el humano en todo esto?

Acá viene lo más fino del informe. El operador no se sentaba a programar exploits (programas que aprovechan fallos de seguridad para colarse en un sistema); apenas tiraba instrucciones cortas para arrancar un ataque, indicar el siguiente paso o decidir cómo seguir después de meterse. Gambit revisó el servidor de la campaña y encontró 1.951 instrucciones repartidas en 260 sesiones de Hermes. O sea: unas pocas líneas por objetivo, casi un chat de WhatsApp. La idea es simple y por eso preocupa: la IA ejecutaba, el humano decidía el próximo movimiento con un mensaje.

¿A quiénes les vaciaron la caja?

Entre las víctimas identificadas hay nombres pesados: una aerolínea de Estados Unidos, una cadena de hoteles de las Fortune 500 (la lista anual de las 500 empresas más grandes del país, publicada por la revista homónima), una distribuidora industrial y un comercio de moda online. Algunas intrusiones fueron tan a fondo que terminaron en acciones de borrado de datos y en operaciones interrumpidas. Es decir: no solo robaron tarjetas, también rompieron mostrador.

¿Y cuánto salía cada golpe? El informe resalta que el gasto por objetivo era de pocos dólares. Cuando el costo de cada ataque baja a esa altura, la matemática deja de ser delito y empieza a ser volumen. Multiplicá objetivos por monedas chicas y entendés por qué 600.000 registros no sorprenden: están dentro de cualquier cálculo razonable. Gambit reconstruyó todo accediendo al propio servidor del atacante, donde estaban los registros de actividad y hasta los skimmers activos en los sitios comprometidos. Una rareza: pocas veces los investigadores se sientan a leer el cuaderno del ladrón con esa claridad.

Mientras tanto, la señal sigue sin llegar.