Una operación con agentes de inteligencia artificial permitió robar más de 600.000 tarjetas de crédito en dos meses
La firma de ciberseguridad Gambit identificó una campaña automatizada que buscó víctimas, ejecutó intrusiones e instaló programas para capturar datos de pago. Los ataques, iniciados en julio de 2026, afectaron a decenas de organizaciones con costos mínimos por objetivo.
Buscar empresas vulnerables, ingresar a sus sistemas e instalar programas para interceptar pagos: esas tareas quedaron en manos de agentes de inteligencia artificial en una campaña investigada por la firma de ciberseguridad Gambit. La operación comenzó en julio de 2026 y acumuló al menos 600.000 registros de tarjetas de crédito robados, de acuerdo con el informe difundido por los investigadores.
Un método en tres etapas
El proceso empezaba con la selección de posibles víctimas. Una de las herramientas consultaba un servicio de clasificación de sitios web y priorizaba empresas que utilizaban software hecho a medida. Después, los agentes podían ejecutar casi todas las etapas del ataque con autonomía. Cuando conseguían entrar, habitualmente lo hacían en menos de un día y, en numerosos casos, en unas pocas horas.
El operador combinó tres herramientas denominadas Hermes, Strix y Cairn. Hermes funcionaba como centro de coordinación y también realizaba intrusiones directas, con memoria de actividades anteriores, tareas programadas y habilidades que podía modificar. Strix y Cairn estaban orientadas a pruebas de intrusión. En conjunto, los sistemas permitían atacar unas diez empresas por día, según Gambit.
- Selección automatizada de víctimas mediante un servicio de clasificación de sitios web, con prioridad para empresas con software a medida.
- Intrusión y persistencia ejecutadas por agentes de IA, con tiempos de acceso generalmente inferiores a un día.
- Instalación de skimmers en las páginas afectadas para capturar datos de tarjetas de crédito en tiempo real.
La intervención humana se apoyaba en órdenes cortas para iniciar ataques, indicar el siguiente paso o decidir cómo continuar después de acceder a un sistema. Gambit encontró 1.951 instrucciones del atacante distribuidas en 260 sesiones de Hermes, con apenas unas pocas por objetivo.
Victimas y dimension del daño
Para reconstruir lo ocurrido, los especialistas accedieron al servidor desde el que se administraba la campaña. Allí revisaron instrucciones y registros, y observaron programas de captura de datos de pago, conocidos como skimmers, activos en las páginas afectadas. Entre el 10 y el 15 de septiembre de 2026 contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de afectación.
Entre las víctimas identificadas figuraban una aerolínea estadounidense, una compañía de hospitalidad incluida en el índice Fortune 500, una distribuidora industrial y un comercio de moda por internet. Algunas intrusiones también interrumpieron operaciones empresariales por acciones de eliminación o limpieza de datos.
Los gastos registrados para sostener la operación fueron mínimos: unas pocas decenas de dólares por objetivo, de acuerdo con el análisis de los investigadores, lo que abarató de manera significativa el costo de un ataque coordinado a gran escala.
