Agentes de inteligencia artificial ejecutaron un ataque cibernético que comprometió a más de 600.000 tarjetas de crédito en dos meses

La búsqueda de empresas vulnerables, el ingreso a sus sistemas y la instalación de programas para interceptar pagos quedaron en manos de agentes de inteligencia artificial en una campaña documentada por la firma de ciberseguridad Gambit. La operación, que se inició en julio de 2026, acumuló al menos 600.000 registros de tarjetas de crédito robados en alrededor de dos meses y afectó a decenas de organizaciones en distintos rubros.

El procedimiento arrancaba con una fase de selección: una de las herramientas consultaba un servicio de clasificación de sitios web y priorizaba a las compañías que utilizaban software desarrollado a medida, un factor que suele asociarse a entornos más expuestos. Una vez identificados los blancos, los agentes podían avanzar con autonomía por casi todas las etapas del ataque. Cuando conseguían entrar, lo hacían habitualmente en menos de un día y, en numerosos casos, en cuestión de horas. Para dimensionar la velocidad, equivale a lo que ocurre con un horno eléctrico programable: se define la receta, se presiona un botón y el equipo cocina solo hasta terminar el plato.

Tres herramientas y pocas instrucciones humanas

El atacante combinó tres herramientas denominadas Hermes, Strix y Cairn. Hermes funcionaba como centro de coordinación y, al mismo tiempo, realizaba intrusiones directas: conservaba memoria de actividades anteriores, manejaba tareas programadas y podía modificar sus propias habilidades. Strix y Cairn estaban orientadas a pruebas de intrusión, es decir, a. En conjunto, los sistemas permitían atacar unas diez empresas por día, según los cálculos de los investigadores.

La intervención humana se apoyaba en instrucciones breves, del estilo de iniciar un ataque, indicar el siguiente paso o decidir cómo continuar después de acceder a un sistema. Gambit identificó 1.951 instrucciones distribuidas en 260 sesiones de Hermes, con apenas unas pocas por cada objetivo. El gasto promedio por víctima era de pocos dólares, ya que los agentes utilizaban servicios de inteligencia artificial con tarifas bajas por consulta.

• Selección automatizada de víctimas a partir de un ranking de sitios web con software a medida.
• Intrusiones ejecutadas por los propios agentes, en general en menos de 24 horas.
• Instalación de skimmers, programas que copian los datos de pago ingresados en los formularios de compra.
• Coordinación centralizada en Hermes, con Strix y Cairn como apoyo para las pruebas de penetración.
• Control humano mediante unas 1.951 instrucciones distribuidas en 260 sesiones, con pocas indicaciones por objetivo.

Cómo se reconstruyó la campaña

Para reconstruir lo ocurrido, los especialistas accedieron al equipo desde el que se administraba la operación. Allí revisaron instrucciones y registros, y observaron skimmers activos en los sitios comprometidos. Entre el 10 y el 15 de septiembre de 2026 contabilizaron 105 oleadas de ataques y 27 organizaciones afectadas con distintos niveles de compromiso.

Entre las víctimas identificadas figuran una aerolínea estadounidense, una compañía de hospitalidad incluida en el índice Fortune 500, una distribuidora industrial y un comercio de moda por internet. En algunos casos, las intrusiones interrumpieron operaciones empresariales por acciones de eliminación o limpieza de datos, lo que extendió el impacto más allá del robo de información financiera.

Lo que todavía no se sabe

El informe de Gambit deja varias preguntas abiertas. No se conoce la identidad del operador ni su ubicación, ya que las herramientas y los servicios contratados no permiten atribuir el ataque a un grupo específico. Tampoco se difundió el listado completo de empresas afectadas ni el detalle de los gastos totales en infraestructura y consumo de modelos de inteligencia artificial. Por último, resta saber si los 600.000 registros robados ya fueron ofrecidos en mercados clandestinos o si aún no se comercializaron, un dato clave para dimensionar el daño real sobre los titulares de las tarjetas.