Agentes de inteligencia artificial al servicio del delito: así se gestó el robo de 600.000 tarjetas de crédito

Lo que hasta hace poco parecía ciencia ficción ya tiene su caso testigo en el mundo del cibercrimen. Un operador combinó tres agentes de inteligencia artificial para recorrer, de punta a punta, el camino que va desde elegir una víctima hasta cobrar su botín: buscar empresas vulnerables, entrarles en el sistema y plantar programas capaces de capturar datos de tarjetas de crédito en el momento justo en que un cliente las tipea. El saldo, según la firma de ciberseguridad Gambit, fue de al menos 600.000 registros robados en apenas unas semanas.

Cómo se cocinó el ataque

La campaña arrancó en julio de 2026 y se desplegó con una lógica casi industrial. El primer paso lo daba una herramienta que consultaba un servicio de clasificación de sitios web, esos ranking que ordenan a las páginas según su tráfico, y se quedaba con las que parecían más jugosas: empresas que usaban software a medida, es decir, sistemas propios, a veces con costuras flojas. Piensen en una casa hecha a medida: si le entra una gotera, no hay un manual genérico para arreglarla, y el plomero tiene que improvisar; lo mismo pasa con el software a medida, que muchas veces esconde vulnerabilidades que ni su dueño conoce.

Una vez elegida la víctima, los agentes tomaban la posta y ejecutaban en autonomía casi todas las etapas del ataque. Cuando conseguían ingresar, lo habitual era que lo lograran en menos de un día y, en muchos casos, en pocas horas. El ritmo, siempre según Gambit, era de unas diez empresas atacadas por día.

Tres nombres propios: Hermes, Strix y Cairn

El operador manejaba tres herramientas con tareas bien repartidas. Hermes hacia las veces de centro de mando y, además, se animaba con intrusiones directas. Contaba con memoria de lo que había hecho en otras operaciones, agendaba tareas para más tarde y hasta podía modificar sus propias habilidades sobre la marcha. Strix y Cairn, en tanto, estaban pensadas para probar entradas: probar cerraduras, buscar ventanas abiertas, tantear por dónde colarse. Juntas, funcionaban como un equipo que no necesita dormir.

El humano, apenas un director de orquesta

Lo más llamativo para los investigadores fue ver cuánta diferencia marcaba una persona en silla de mando. Revisaron el servidor desde el que se administraba la campaña y encontraron 1.951 instrucciones del atacante repartidas en 260 sesiones de Hermes. Es decir, unas pocas órdenes por objetivo: frases cortas para arrancar el ataque, marcar el siguiente paso o decidir qué hacer una vez adentro. Como un jefe de cocina que solo dice "ahora el postre" y deja que los robots cocineros se arreglen solos.

• Una aerolínea estadounidense.
• Una compañía de hospitalidad incluida en la lista Fortune 500.
• Una distribuidora industrial.
• Un comercio de moda por internet.

La huella en el terreno

Entre el 10 y el 15 de septiembre de 2026, Gambit contabilizó 105 oleadas de ataques y 27 organizaciones comprometidas, con distintos niveles de daño. En los sitios afectados se encontraron skimmers activos, esos programas que se esconden detrás del formulario de pago y copian los datos de la tarjeta mientras el cliente cree que está comprando tranquilo. Algunas intrusiones, además, terminaron en interrupciones del servicio o en la limpieza maliciosa de datos, lo que agravó el costo para las víctimas.

Le pregunté a Sofía, una becaria que está haciendo sus primeras armas en el área de seguridad informática, cómo se explica que algo así haya pasado tan desapercibido. Me dijo, casi enojada: "es que los agentes de IA no duermen, no se aburren y no piden vacaciones; si les dás una lista, la trabajan entera". Tiene razón: lo que cambia con esta clase de herramientas no es la picardía del atacante, sino la escala a la que puede operar con el mismo esfuerzo de antes.

¿Y eso para qué sirve? Para entender que la barrera de entrada al cibercrimen profesional se está bajando a velocidad alarming, y que las empresas, sobre todo las que tienen sistemas a medida sin mantenimiento al día, necesitan tomar en serio la higiene digital básica: parches al día, monitoreo de formularios de pago, alertas tempranas y, sobre todo, gente capaz de mirar el tráfico web con la misma desconfianza con la que uno mira un cajero sospechoso. La tecnología que puso en jaque a estas compañías es la misma que cualquiera puede usar para bien; el desafío es no quedarse dormido mientras el otro ya automatizó el ataque.