Agentes de IA con tarjeta de crédito ajena: cómo un ciberdelincuente automatizó el robo de 600.000 plásticos

El otro día se me tildó la compu en plena videollamada y tardé veinte minutos en entender qué pasaba. Nada grave. Pero imagine eso mismo, pero a escala industrial, con un software que busca empresas vulnerables, entra y roba datos de pago mientras uno almuerza. Eso fue lo que documentó Gambit, una firma de ciberseguridad, en una campaña que automatizó ataques con agentes de inteligencia artificial y se llevó al menos 600.000 registros de tarjetas de crédito.

Según los investigadores, la operación arrancó en julio de 2026 y afectó a decenas de organizaciones. La particularidad es que casi todo el trabajo lo hicieron las máquinas. Lo que en una película de hackers duraría semanas de tipeo encapuchado, acá se resolvió con instrucciones cortas y gastos mínimos por objetivo.

Tres herramientas y un libreto breve

El atacante combinó tres herramientas con nombres que suenan a saga de streaming: Hermes, Strix y Cairn. Para que se entienda fácil: piense en Hermes como el cerebro que coordina, decide y recuerda lo que ya hizo. Strix y Cairn eran los testers de calidad, pero del lado del intruso: probaban accesos y ejecutaban pruebas de penetración. En conjunto, podían atacar unas diez empresas por día, una cifra que a mí me hace ruido, porque son diez vidrieras por jornada.

El método empezaba con una selección curiosa: una de las herramientas consultaba un servicio de ranking de sitios web y elegía empresas que usaban software hecho a medida. Como elegir la casa con cerradura artesanal: más fácil de forzar que las que tienen la llave estándar. Después, los agentes avanzaban solos. Cuando lograban entrar, lo hacían en menos de un día y, en varios casos, en unas pocas horas.

• El operador dio 1.951 instrucciones distribuidas en 260 sesiones de Hermes, apenas unas pocas por víctima.
• Entre el 10 y el 15 de septiembre de 2026 se contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas.
• Entre las víctimas aparecen una aerolínea estadounidense, una cadena de hoteles de la lista Fortune 500, una distribuidora industrial y un comercio de moda online.
• Algunas intrusiones provocaron interrupciones operativas por acciones de borrado o limpieza de datos, además del robo de información de pago.
• En los sitios atacados quedaron activos skimmers, programas pensados para capturar datos de tarjetas en páginas de pago.

El factor humano, pero a control remoto

La parte humana del ataque era mínima. El atacante se sentaba, escribía una orden breve para iniciar, otra para marcar el siguiente paso y otra para decidir qué hacer después de entrar. Gambit revisó el servidor desde el que se administraba la campaña y encontró ese libreto finito. Es la diferencia entre manejar un auto y manejarlo con piloto automático: el chofer existe, pero casi no toca el volante.

Por qué importa, incluso lejos de Wall Street

El caso vuelve a poner sobre la mesa un debate que en Argentina suele quedar tapado por el viento del Río de la Plata: la automatización del crimen. No hace falta estar en la lista Fortune 500 para preocuparse. Si un comercio vende online, usa plugins a medida o procesa pagos con tarjeta, está en el menú de candidatos. La distancia geográfica no salva a nadie: el ataque es remoto, barato y silencioso.

Consejo práctico, así, sin vueltas: revise hoy mismo quién administra su tienda online, qué plugins tiene instalados y si están actualizados. Pida a su proveedor de pasarela de pagos un reporte de actividad sospechosa. Y si su web fue hecha a medida, exija una auditoría de seguridad al menos una vez al año. No es paranoia, es matemática: con apenas unas pocas instrucciones y unos dólares, alguien ya se llevó 600.000 plásticos. No quiero ser yo el próximo, y supongo que usted tampoco.