Un ciberataque con IA automatizada robó datos de 600.000 tarjetas de crédito: cómo operó la red descubierta por Gambit

¿Puede un programa de inteligencia artificial elegir una empresa, meterse en su sistema y robar datos de pago sin que una persona toque el teclado en cada paso? Eso fue lo que reconstruyó la firma de ciberseguridad Gambit tras investigar una campaña que comenzó en julio de 2026 y acumuló al menos 600.000 registros de tarjetas de crédito robados. En criollo: alguien dejó que la IA hiciera casi todo el trabajo sucio.

El mecanismo era simple de explicar y preocupante de dimensionar. Un software consultaba un servicio de clasificación de sitios web y ponía en la cima de la lista a las empresas que usaban plataformas hechas a medida, es decir, desarrollos propios más fáciles de vulnerar. A partir de ahí, los agentes de IA ejecutaban las distintas etapas del ataque con autonomía: reconocimiento, intrusión y colocación de skimmers, que son programas que copian los datos que el usuario carga al pagar.

Tres herramientas, un solo operador

El atacante combinó tres sistemas con nombres en código: Hermes, Strix y Cairn. Hermes hacía de centro de mando: guardaba memoria de lo que había hecho en otras operaciones, tenía tareas programadas y la capacidad de sumar nuevas habilidades. Strix y Cairn estaban especializadas en pruebas de intrusión, o sea, en buscar la puerta de entrada. Juntas, las herramientas permitían atacar unas diez empresas por día, según el análisis de Gambit.

La participación humana existía, pero era mínima. Los investigadores revisaron el servidor desde el que se administraba la campaña y encontraron 1.951 instrucciones del atacante repartidas en 260 sesiones de Hermes, con apenas unas pocas órdenes por objetivo. Las indicaciones eran frases cortas: empezar un ataque, pasar al paso siguiente o decidir cómo seguir una vez adentro.

Qué pasó cuando entraron

Una vez dentro, la velocidad fue otro dato que llamó la atención. Los agentes conseguían acceso en menos de un día y, en muchos casos, en unas pocas horas. Entre el 10 y el 15 de septiembre de 2026, Gambit contabilizó 105 oleadas de ataques y 27 organizaciones comprometidas, con distintos niveles de afectación.

• Una aerolínea estadounidense.
• Una empresa de hotelería y turismo incluida en el índice Fortune 500, el ranking de las quinientas compañías más grandes de Estados Unidos.
• Una distribuidora de productos industriales.
• Un comercio de venta de indumentaria por internet.
• Varias firmas que sufrieron interrupciones operativas por acciones de borrado o limpieza de datos dentro de sus sistemas.

Para reconstruir lo ocurrido, los especialistas accedieron al servidor de comando de la campaña. Allí revisaron instrucciones y registros, y confirmaron que los skimmers estaban activos en las páginas de pago afectadas en el momento de la investigación. El gasto declarado por el atacante fue bajo: la operación movía unos pocos dólares por cada objetivo, ya que los modelos de IA que usaba funcionaban con suscripciones baratas o versiones de prueba.

Para qué sirve esto en La Rioja

El caso deja una conclusión práctica para cualquier comercio oPyME de la provincia que venda por internet o guarde datos de tarjetas. Si un atacante con conocimientos medios puede automatizar la elección de víctimas y el ataque con herramientas de IA accesibles, la defensa ya no puede depender solo de un antivirus actualizado. Tres recomendaciones concretas: revisar a fondo cualquier plataforma de pagos propia o de terceros para descartar skimmers ocultos; activar la autenticación en dos pasos en todos los accesos administrativos, porque muchas intrusiones empiezan por contraseñas débiles o filtradas; y auditar los sitios web con frecuencia, sobre todo los que usan desarrollos a medida, que son los que esta campaña priorizaba. En un escenario donde la IA abarata y acelera los ataques, la prevención es la única ventaja que sigue dependiendo de una decisión humana.