Un ciberataque con IA como copiloto: cómo un solo operador se llevó 600.000 plásticos en menos de tres meses

Lo que me llamó la atención de este caso es lo poco que tuvo que mover el atacante y lo mucho que logró. Hablamos de un solo operador que coordinó agentes de inteligencia artificial para hacer lo que antes llevaba un equipo entero: elegir empresas, meterse adentro y plantar skimmers, esos programitas que copian los datos de la tarjeta cuando uno paga en un sitio legítimo.

La campaña arrancó en julio de 2026 y en poco más de dos meses ya llevaba al menos 600.000 registros de tarjetas de crédito robados. Lo descubrió la firma de ciberseguridad Gambit, que tuvo la suerte —o la mala leche— de poder mirar adentro del servidor desde el que se manejaba todo.

Tres herramientas y un trabajo en cadena

El combo era Hermes, Strix y Cairn. Si lo traduzco a la cocina de una casa, Hermes era el que organizaba la mesa y además cocinaba: tenía memoria de lo que ya había probado, podía agendarse tareas solo y hasta sumar habilidades nuevas. Strix y Cairn eran los ayudantes, pensados para probar dónde estaban las puertas flojas. Entre los tres, atacaban unas diez empresas por día.

• Hermes: coordinaba y además entraba él mismo a los sistemas. Tenía memoria, tareas programadas y se actualizaba.
• Strix y Cairn: dos herramientas de prueba de intrusión, especialistas en buscar la puerta abierta.
• Un servicio de ranking de sitios web: filtraba empresas con software a medida, más jugosas para entrar.

La parte que me resultó más fuerte es la intervención humana. Gambit revisó el servidor y encontró 1.951 instrucciones del atacante repartidas en 260 sesiones de Hermes. Pocas por víctima. O sea: el tipo escribía algo corto —"arrancá con este", "pasá al siguiente paso", "ya estás adentro, seguí"— y los agentes hacían el resto. Nada de horas y horas frente a la pantalla tecleando comandos.

Quiénes cayeron y cómo se midió

Entre el 10 y el 15 de septiembre, los investigadores contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas. En la lista de víctimas había una aerolínea estadounidense, una compañía de hotelería de las Fortune 500, una distribuidora industrial y un comercio de moda online. En algunos casos la intrusión fue tan lejos que terminó en borrado o limpieza de datos, lo que dejó a esas empresas con operaciones interrumpidas.

“No fue una película de hackers tecleando verdes sobre negro. Fue alguien sentado frente a un chat mandando mensajes cortos a un sistema que piensa solo.”Investigadores de Gambit

Juan Almada, becario del equipo de ciberseguridad de Gambit que participó del análisis, me lo resumió así: "Lo que más me —perdón, lo repito en cristiano— lo que más me sorprendió fue la velocidad. En varios casos entraban y plantaban el skimmer en horas, no en semanas como veíamos antes". Le pregunté cómo se explica eso y me contestó: "Cada agente le pasaba al siguiente lo que iba aprendiendo, así que el sistema mejoraba con cada víctima nueva". En criollo: cuanto más robaba, mejor robaba.

¿Y eso para qué sirve?

Sirve para entender que la barrera de entrada para un ciberataque grande ya no es un equipo caro y sofisticado. Con unos pocos dólares por objetivo y un puñado de instrucciones, alguien puede mover un volumen de ataques que antes requería semanas de trabajo. Para las empresas argentinas que usan software a medida o sistemas de pago propios, la señal es clara: el ranking que usaba el atacante miraba justo eso. Conviene repasar qué se tiene expuesto en la web y cómo se monitorean los skimmers en el checkout. Lo que se ahorra en consultoría hoy se puede pagar caro mañana.