Una campaña con agentes de inteligencia artificial comprometió a 600.000 tarjetas de crédito en menos de tres meses

La identificación de la campaña quedó a cargo de la compañía de ciberseguridad Gambit, que documentó al menos 600.000 registros de tarjetas de crédito robados entre julio y septiembre de 2026. De acuerdo con el informe, un único operador coordinó tres herramientas de inteligencia artificial para ejecutar tareas que hasta hace poco requerían equipos especializados: la búsqueda de empresas vulnerables, la intrusión en sus sistemas y la instalación de programas conocidos como skimmers, diseñados para interceptar información de pago en sitios de comercio electrónico.

Una cadena de ataque casi autónoma

El proceso comenzaba con la selección de posibles víctimas. Una de las herramientas consultaba un servicio de clasificación de sitios web y priorizaba empresas que utilizaban software desarrollado a medida, un indicio habitual de superficies de ataque menos estandarizadas. A partir de allí, los agentes podían ejecutar de forma autónoma casi todas las etapas del ataque, desde el reconocimiento hasta la persistencia en los sistemas comprometidos. Según Gambit, cuando los intrusos conseguían acceder, lo hacían habitualmente en menos de un día y, en numerosos casos, en unas pocas horas.

El operador combinó tres herramientas denominadas Hermes, Strix y Cairn. Hermes funcionaba como centro de coordinación y, al mismo tiempo, realizaba intrusiones directas: mantenía memoria de actividades anteriores, tareas programadas y habilidades que podía modificar de manera dinámica. Strix y Cairn estaban orientadas a pruebas de intrusión y complementaban las capacidades de Hermes. En conjunto, los sistemas permitían atacar unas diez empresas por día, un volumen que los investigadores describieron como inusitado para operaciones de un solo operador.

La intervención humana, según reconstruyó Gambit, se apoyaba en instrucciones cortas: iniciar un ataque, indicar el siguiente paso o decidir cómo continuar después de acceder a un sistema. Los especialistas accedieron al servidor desde el que se administraba la campaña y encontraron 1.951 instrucciones distribuidas en 260 sesiones de Hermes, con apenas unas pocas por objetivo. Esa dinámica confirma, a juicio de los investigadores, un cambio cualitativo: la inteligencia artificial no solo acelera tareas conocidas, sino que reduce la barrera de entrada para operaciones de gran escala.

Víctimas y dimensiones del operativo

• Una aerolínea estadounidense, cuyo nombre no fue divulgado en el informe.
• Una compañía de hospitalidad incluida en el índice Fortune 500.
• Una distribuidora industrial con operaciones en múltiples países.
• Un comercio de moda por internet orientado al consumidor final.
• Otras 27 organizaciones comprometidas entre el 10 y el 15 de septiembre de 2026, con distintos niveles de afectación.

Entre el 10 y el 15 de septiembre de 2026, Gambit contabilizó 105 oleadas de ataques y verificó la presencia de skimmers activos en las páginas afectadas. Algunas intrusiones, además del robo de datos, provocaron la interrupción de operaciones empresariales a partir de acciones de eliminación o limpieza de datos, lo que amplificó el impacto económico más allá del fraude con tarjetas.

Los gastos registrados por el operador para sostener la campaña resultaron llamativamente bajos. El informe de Gambit señaló que el costo por objetivo se medía en pocos dólares, una cifra que incluyó el consumo de créditos de los modelos de inteligencia artificial y los servicios auxiliares de clasificación de dominios. Esa ecuación, según los investigadores, redefine la relación entre esfuerzo y beneficio en el cibercrimen: por primera vez, una operación de esta magnitud pudo ser sostenida por una sola persona con presupuestos comparables a los de cualquier usuario avanzado de herramientas digitales.

Qué cambia a partir de este caso

El caso documentado por Gambit se inscribe en una tendencia que los especialistas venían anticipando: la incorporación de agentes de inteligencia artificial a campañas de intrusión a gran escala. Hasta ahora, la automatización de tareas ofensivas se concentraba en etapas puntuales, como el reconocimiento de objetivos o la generación de correos de phishing. La novedad, según la investigación, es la integración de múltiples herramientas con memoria persistente y capacidad de adaptación, lo que acerca el modelo a una operación profesional con un solo operador al mando. Para los equipos de defensa, el desafío consiste en asumir que el tiempo entre la detección de una vulnerabilidad y su explotación efectiva se está acortando, al mismo tiempo que el costo de montar un ataque se reduce. Eso obliga, entre otras medidas, a reforzar lamonitorización continua de los sitios de comercio electrónico, a auditar con mayor frecuencia el software a medida y a tratar los skimmers como una amenaza persistente y no como un incidente aislado.