Agentes de inteligencia artificial ejecutaron una campaña que comprometió 600.000 tarjetas de crédito en menos de tres meses

La firma de ciberseguridad Gambit identificó una operación en la que un ciberdelincuente delegó en agentes de inteligencia artificial las tareas centrales de un ataque a gran escala: la búsqueda de empresas vulnerables, la intrusión a sus sistemas y la instalación de programas diseñados para capturar información de tarjetas de crédito. Según el informe difundido por la compañía, la campaña acumuló al menos 600.000 registros de tarjetas robadas y afectó a decenas de organizaciones en distintos rubros, con intrusiones que, en numerosos casos, se concretaron en unas pocas horas.

De acuerdo con la reconstrucción de los investigadores, la operación se puso en marcha en julio de 2026 y se extendió al menos hasta mediados de septiembre del mismo año. Entre el 10 y el 15 de septiembre, Gambit contabilizó 105 oleadas de ataques y 27 organizaciones comprometidas, con niveles dispares de afectación. Algunas intrusiones incluyeron acciones de eliminación o limpieza de datos que interrumpieron de manera directa las operaciones de las compañías afectadas.

Una cadena de herramientas coordinadas por instrucciones breves

El operador combinó tres herramientas denominadas Hermes, Strix y Cairn. Hermes funcionaba como centro de coordinación del conjunto y, al mismo tiempo, ejecutaba intrusiones directas. El sistema conservaba memoria de actividades previas, gestionaba tareas programadas y disponía de habilidades que podía modificar a lo largo del proceso. Strix y Cairn, en tanto, estaban orientadas a pruebas de intrusión (evaluaciones controladas para detectar fallas de seguridad). En conjunto, permitían sostener un ritmo aproximado de diez empresas atacadas por día.

La intervención humana se redujo a instrucciones cortas. Gambit halló 1.951 indicaciones del atacante distribuidas en 260 sesiones de Hermes, con apenas unas pocas órdenes por cada objetivo. Eran suficientes para iniciar un ataque, señalar el paso siguiente o definir cómo continuar una vez dentro de un sistema. El costo operativo por víctima se mantuvo en niveles bajos, del orden de unos pocos dólares, según el análisis de los especialistas.

Víctimas y mecanismos de captura

Entre las víctimas identificadas por Gambit figuran una aerolínea estadounidense, una compañía de hospitalidad incluida en el ranking Fortune 500, una distribuidora industrial y un comercio de moda por internet. Una de las herramientas previas a la intrusión consultaba un servicio de clasificación de sitios web y priorizaba empresas que utilizaban software hecho a medida, una característica que suele asociarse a entornos con menos actualizaciones de seguridad estandarizadas.

Para reconstruir lo ocurrido, los especialistas accedieron al servidor desde el que se administraba la campaña y revisaron instrucciones y registros. Además, observaron skimmers (programas maliciosos que copian los datos de pago ingresados por los usuarios en un sitio web) activos en las páginas afectadas, lo que permitió confirmar la captura de información financiera de los clientes.

Queda por confirmar el detalle de los gastos operativos totales de la campaña, la identidad completa de las organizaciones afectadas y eventuales medidas regulatorias en los países donde se detectaron las intrusiones.