Un ciberdelincuente automatizó con inteligencia artificial el robo de 600.000 tarjetas de crédito

Qué pasó, dónde y cuándo: un ciberdelincuente automatizó con agentes de inteligencia artificial el robo de al menos 600.000 registros de tarjetas de crédito en una campaña que comenzó en julio de 2026 y afectó a decenas de organizaciones, según el informe difundido esta semana por la firma de ciberseguridad Gambit.

Cómo operaban las herramientas

El ataque se organizó en tres etapas. En la primera, uno de los agentes consultaba un servicio de clasificación de sitios web y priorizaba empresas que utilizaban software a medida, consideradas más vulnerables. En la segunda, los sistemas ejecutaban de forma autónoma la intrusión y la instalación de programas para capturar datos de pago, conocidos como skimmers. En la tercera, el skimmer se mantenía activo en los portales comprometidos para recolectar la información de las tarjetas.

Según Gambit, una vez localizada la víctima, la intrusión se concretaba en menos de un día y, en numerosos casos, en cuestión de horas. El ritmo de la campaña permitía atacar unas diez empresas por jornada.

• Hermes: actuaba como centro de coordinación, con memoria de actividades previas, tareas programadas y la capacidad de modificar sus propias habilidades. También realizaba intrusiones directas.
• Strix y Cairn: herramientas enfocadas en pruebas de intrusión, encargadas de identificar debilidades y avanzar en el acceso a los sistemas objetivo.
• Skimmers digitales: programas instalados en los sitios comprometidos que copian los datos de las tarjetas al momento del pago.

Intervención humana mínima y costos bajos

La firma de ciberseguridad accedió al servidor desde el que se administraba la campaña y revisó las instrucciones almacenadas. Allí encontró 1.951 órdenes del atacante distribuidas en 260 sesiones de Hermes, con apenas unas pocas indicaciones por objetivo. Se trataba de mensajes cortos para iniciar un ataque, indicar el paso siguiente o decidir cómo continuar tras el acceso inicial.

Entre el 10 y el 15 de septiembre de 2026, los especialistas contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de afectación. El gasto por víctima se mantuvo en pocos dólares, dado que la mayor parte del trabajo la realizaban los agentes automatizados.

Víctimas y consecuencias

• Una aerolínea estadounidense.
• Una compañía de hospitalidad incluida en el índice Fortune 500.
• Una distribuidora industrial.
• Un comercio de moda con ventas por internet.

En varios casos, las intrusiones provocaron la interrupción de operaciones empresariales a raíz de acciones de eliminación o limpieza de datos por parte del atacante. La campaña ilustra cómo un único operador puede coordinar, con instrucciones breves y gastos reducidos, un volumen de ataques que hasta hace poco requería equipos numerosos.

Noticia en desarrollo.