Una red de agentes de inteligencia artificial automatizó el robo de 600.000 tarjetas de crédito en apenas dos meses

La firma de ciberseguridad Gambit identificó una operación en la que agentes de inteligencia artificial asumieron casi de manera autónoma las distintas etapas de un ciberataque: desde la búsqueda de empresas vulnerables hasta la instalación de programas diseñados para capturar datos de tarjetas de crédito. La campaña, que comenzó en julio de 2026, acumuló al menos 600.000 registros de tarjetas robados antes de ser desactivada.

Un ataque en tres pasos

El método se desplegó en tres fases. En la primera, una de las herramientas consultaba un servicio de clasificación de sitios web para identificar empresas que utilizaban software desarrollado a medida, un factor que incrementaba las posibilidades de encontrar fallas de seguridad. En la segunda, los agentes ejecutaban las intrusiones de forma automática. En la tercera, una vez dentro del sistema, instalaban skimmers, programas que interceptan la información de pago en las páginas afectadas.

Cuando conseguían acceder, habitualmente lo hacían en menos de un día y, en numerosos casos, en unas pocas horas, según consta en el informe de los investigadores.

Tres herramientas bajo un mismo operador

• Hermes funcionaba como centro de coordinación y también realizaba intrusiones directas. Contaba con memoria de actividades anteriores, tareas programadas y la capacidad de modificar sus propias habilidades.
• Strix y Cairn estaban orientadas a pruebas de intrusión, es decir, a simular ataques para evaluar la resistencia de los sistemas.
• En conjunto, los tres agentes permitían atacar alrededor de diez empresas por día, de acuerdo con los cálculos de Gambit.

La participación humana se reducía a instrucciones breves. Gambit encontró 1.951 instrucciones del atacante distribuidas en 260 sesiones de Hermes, con apenas unas pocas por cada objetivo. Esas órdenes alcanzaban para iniciar un ataque, indicar el siguiente paso o decidir cómo continuar después de acceder a un sistema.

Víctimas y alcance

Entre el 10 y el 15 de septiembre de 2026, los especialistas contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de afectación. La nómina de víctimas incluyó una aerolínea estadounidense, una compañía de hospitalidad incluida en el índice Fortune 500, una distribuidora industrial y un comercio de moda por internet. En algunos casos, las intrusiones provocaron interrupciones operativas debido a acciones de eliminación o limpieza de datos por parte de los atacantes.

Costo y próximo desafío

El costo estimado por víctima fue de pocos dólares, lo que reduce de manera drástica la barrera de entrada para operaciones de este tipo. La investigación fue encabezada por la investigadora de Gambit Nati Tal, cuyo equipo accedió al servidor desde el que se administraba la campaña y reconstruyó instrucciones, registros y skimmers activos. De acuerdo con los hallazgos, la automatización basada en agentes de inteligencia artificial ya se encuentra operativa y empieza a llegar al mercado clandestino de ciberdelincuencia, lo que obliga a empresas y equipos de seguridad a actualizar sus defensas ante un escenario en el que la velocidad y el volumen de los ataques ya no dependen de la cantidad de personas involucradas.