Una red de agentes de inteligencia artificial automatizo un robo de 600.000 tarjetas de credito y expuso la fragilidad del comercio electronico

Buscar empresas vulnerables, ingresar a sus sistemas y colocar programas capaces de copiar los datos de pago quedo en manos de agentes de inteligencia artificial en una campaña que la firma de ciberseguridad Gambit comenzo a investigar a mediados de 2026. La operacion, que se extiende desde julio de ese año, acumulo al menos 600.000 registros de tarjetas de credito, una cifra que vuelve relevante el episodio incluso para lectores que no siguen el dia a dia de la seguridad informatica.

Lo singular del caso no es solo el volumen de datos capturados sino la arquitectura del ataque. El operador combino tres herramientas -Hermes, Strix y Cairn- y las uso como si fueran un equipo de auxiliares que ejecutan las tareas manuales mientras el jefe de la banda se limita a dar ordenes cortas. Hermes actuaba como centro de coordinacion y hacia intrusiones por su cuenta, ademas de conservar memoria de actividades anteriores, manejar tareas programadas y modificar sus propias habilidades. Strix y Cairn estaban pensadas para pruebas de intrusion, es decir, para encontrar la puerta abierta antes de entrar.

Como funciona la cadena automatizada

El proceso empezaba con la seleccion de victimas. Una de las herramientas consultaba un servicio de clasificacion de sitios web -funciona como una guia telefonica gigante que ordena millones de paginas segun su popularidad- y priorizaba empresas que utilizaban software hecho a medida, mas expuesto que los paquetes comerciales ya auditados. Despues, los agentes ejecutaban casi todas las etapas del ataque con autonomia: reconocian la red, identificaban fallas, explotaban la vulnerabilidad y, una vez adentro, instalaban skimmers, pequenos fragmentos de codigo que copian la informacion que el usuario carga al pagar, como si un carterista virtual estuviera parado al lado del formulario de checkout.

Cuando conseguian entrar, lo hacian en menos de un dia y, en numerosos casos, en unas pocas horas. El ritmo era sostenido: Gambit estima que los sistemas permitian atacar unas diez empresas por dia. Entre el 10 y el 15 de septiembre de 2026 contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de afectacion, desde el robo de datos hasta la interrupcion total del servicio por acciones de borrado.

• Una aerolinea estadounidense que sufrio el robo de datos de pago de sus clientes.
• Una compania de hospitalidad incluida en el ranking Fortune 500, que agrupa a las mayores empresas del pais.
• Una distribuidora industrial y un comercio de moda por internet, dos casos que ilustran la diversidad de rubros alcanzados.
• Varias organizaciones que ademas del robo de tarjetas vieron sus operaciones interrumpidas por limpieza de servidores.

La intervencion humana, contra lo que podria imaginarse, fue minima. Los investigadores accedieron al servidor desde el que se administraba la campana y encontraron 1.951 instrucciones del atacante distribuidas en 260 sesiones de Hermes, apenas unas pocas por objetivo. Eran ordenes del tipo iniciar ataque, avanzar al siguiente paso o decidir como continuar despues de acceder a un sistema, comparables a las indicaciones breves que un supervisor daria por radio a un equipo de tecnicos en el campo. Los gastos registrados tambien llamaron la atencion: el atacante movia unos pocos dolares por objetivo, una fraccion minuscule del dano economico que despues generaba cada intrusion.

Que falta para que llegue a la gente

El caso deja varias preguntas abiertas que aun no tienen respuesta publica. Gambit no detallo si los 600.000 registros terminaron a la venta en mercados clandestinos ni a que precio, aunque investigaciones previas sobre skimmers suelen ubicar esos lotes en valores que dependen del pais de emision y del tipo de tarjeta. Tampoco se conoce la identidad del operador ni si hubo capturas. Lo que si queda claro es que la automatizacion bajo costo y esfuerzo humano bajo al minimo historico para una campana de este porte, un dato que obliga a empresas y plataformas de pagos a revisar con urgencia la auditoria de sus formularios y a los usuarios a extremar los controles sobre sus resumos bancarios, porque la barrera de entrada para el delito cayo.

Mientras no se difundan las listas completas de sitios afectados y se confirme si los skimmers ya fueron retirados, conviene asumir que cualquier transaccion realizada en los meses recientes en paginas de comercio electronico puede requerir un seguimiento mas estricto. La recomendacion clasica -revisar movimientos, activar alertas y reemplazar la tarjeta ante cualquier cobro no reconocido- vuelve a ser la primera linea de defensa de un consumidor que, por ahora, sigue siendo el ultimo eslabon de una cadena que los agentes de inteligencia artificial acaban de volver mas riesgosa.