La automatización del cibercrimen: cómo un atacante usó agentes de inteligencia artificial para vaciar casi 600 mil tarjetas de crédito

Durante años, los ciberataques más sofisticados se cocinaban a fuego lento: un equipo de especialistas, semanas de trabajo manual y decisiones humanas en cada paso. Esa imagen empezó a quedar vieja. La firma de ciberseguridad Gambit documentó una campaña en la que un solo operador, coordinado por herramientas de inteligencia artificial conocidas como agentes, logró robar al menos 600.000 registros de tarjetas de crédito entre julio y septiembre de 2026, con intrusiones que en muchos casos se completaban en pocas horas.

Un atacante, tres herramientas y muy pocas indicaciones

Un agente de inteligencia artificial, vale aclarar, es un programa capaz de ejecutar tareas complejas con poca supervisión humana: decide qué pasos dar, qué consultar y qué probar a partir de un objetivo general. En esta campaña el atacante combinó tres. La principal, llamada Hermes, hacía de centro de mando: guardaba memoria de lo hecho en otras intrusiones, tenía tareas programadas y hasta podía modificar sus propias habilidades. Las otras dos, Strix y Cairn, estaban pensadas como herramientas de prueba de intrusión, es decir, para detectar y explotar debilidades en sistemas ajenos.

Según Gambit, con ese combo el atacante podía moverse unas diez empresas por día. Lo llamativo es el nivel de intervención humana que quedaba: poco. En el servidor que administraba la operación se encontraron 1.951 instrucciones distribuidas en 260 sesiones de Hermes, con apenas unas pocas indicaciones por víctima.

Cómo elegían a las víctimas y qué buscaban

• Consulta a un servicio de clasificación de sitios web para detectar empresas con software hecho a medida.
• Priorización de esos blancos, ya que el código personalizado suele esconder fallas menos conocidas que los productos comerciales.
• Explotación de esas fallas para entrar en los sistemas.
• Instalación de skimmers, programas que se colocan en páginas de pago y copian los datos de las tarjetas en el momento del checkout.

Los skimmers son viejos conocidos del fraude online: son pequeños pedazos de código que se inyectan en un sitio legítimo y se llevan la información mientras el comprador cree estar cargando sus datos en una página segura. Lo que cambia en este caso es la escala: la automatización permitió probar decenas de víctimas por semana y mantener los skimmers activos en simultáneo.

Entre el 10 y el 15 de septiembre de 2026, Gambit registró 105 oleadas de ataques contra 27 organizaciones. Entre las víctimas identificadas hay una aerolínea estadounidense, una empresa de hotelería que figura en el ranking Fortune 500, una distribuidora industrial y un comercio de indumentaria por internet. En varios casos, los atacantes no solo se llevaron datos: también eliminaron archivos y provocaron interrupciones operativas como efecto colateral.

Qué cambia para las empresas y para quienes compran online

El episodio deja una lectura incómoda: ya no hace falta un ejército de hackers para intentar un ataque grande, alcanza con un operador con buenas herramientas y unos pocos dólares por objetivo. Para los consumidores argentinos, la consecuencia práctica es directa. Si compraste en alguna de las empresas afectadas entre julio y septiembre de 2026, lo razonable es revisar los movimientos de tu tarjeta, cambiar la clave del banco o pedir un reemplazo del plástico, y activar alertas de consumo en la app del banco, una capa extra que muchos home banking ya ofrecen y que avisa por cada compra.

A las empresas el caso les plantea un punto concreto: tener un sitio web a medida, algo habitual en PyMEs y grandes firmas, dejó de ser un escudo y pasó a ser un punto débil, porque el código propio suele tener fallas que los hackers descubren antes que los propios desarrolladores. La recomendación que repiten los investigadores después de cada caso así es la misma: revisar el código con auditorías externas, monitorear los sitios de pago en busca de cambios no autorizados y separar el ambiente donde se procesan pagos del resto del sistema, de modo que un skimmer insertado en una vitrina online no llegue directo a los datos sensibles.

Gambit accedió al servidor desde el que se administraba la campaña y reconstruyó las instrucciones casi como quien lee el cuaderno de bitácora de un atacante. En la investigación faltan algunos tramos del reporte original, pero el cuadro general es claro: la automatización ya no es promesa, es herramienta disponible, y el crimen online la está adoptando a la misma velocidad que las empresas. Lo que viene depende de que la defensa se actualice al mismo ritmo. La advertencia, en una línea, es esta: asumir que un sitio puede ser tocado, revisar los movimientos de tarjeta sin esperar el resumen, y no confiar en que el proveedor de ecommerce ya se ocupa de todo.