Seiscientos mil tarjetazos al saco: un pirata moderno dejó a la IA hacer el trabajo sucio

¿De verdad hacía falta un genio para vaciar seiscientas mil tarjetas de crédito? Parece que no: bastó con un tipo con paciencia y un buen set de herramientas con inteligencia artificial. La firma de ciberseguridad Gambit se topó con una operación que automatizó, paso por paso, lo que antes hacía un equipo de piratas durante semanas. Buscar víctimas, meterse en los servidores y plantar programas truchos para capturar pagos quedó en manos de bots con muy poca supervisión humana.

La arrancó en julio del 2026 y, en apenas un puñado de meses, amasó al menos 600.000 registros de tarjetas. La cifra abruma, aunque más abruma el método: los ataques se cocinaban con instrucciones cortitas, tipo chat, y con gastos de unos pocos dólares por objetivo. O sea, el costo de un café con medialunas en cualquier pueblo de la ruta, multiplicado por unas diez empresas por día.

¿Y cómo se repartían el trabajo los bots?

• Hermes: el cerebro de la operación. Hacía de centro de mando, se acordaba de lo que había hecho antes, tenía agenda de tareas y hasta podía aprender habilidades nuevas. También entraba él mismo en los sistemas cuando le daban la orden.
• Strix: la herramienta pensada para probar intrusiones, o sea, ver dónde estaba la puerta abierta.
• Cairn: otra de pruebas, complementaria de Strix. Juntas cubrían el abanico de formas de entrar.

El operador no necesitaba ser un hacker de Hollywood. Le bastaba con escribir frases cortas, del estilo "arrancá" o "seguí por acá". Gambit revisó el servidor desde el que se manejaba todo y encontró 1.951 instrucciones repartidas en 260 sesiones de Hermes. Promedio: unas pocas por víctima. Es como delegarle el mandado a alguien que, además, conoce el barrio.

La selección de objetivos la hacía otro de los agentes, que consultaba un servicio de ranking de sitios web. Iba directo a las empresas que usaban software a medida, sin los paquetes comerciales ya parchados. Dicho en criollo: atacaba al que tenía la tranquera abierta con un candado comprado en la ferretería del pueblo.

Una vez adentro, el asunto iba rápido. Los agentes lograban el acceso inicial en menos de un día y, en varios casos, en horas. Entre el 10 y el 15 de septiembre del 2026, Gambit registró 105 oleadas de ataques que comprometieron a 27 organizaciones. Entre las víctimas había una aerolínea estadounidense, una cadena de hotelería de las Fortune 500, una distribuidora industrial y un comercio de ropa online. Algunas quedaron con operaciones interrumpidas porque los intrusos se dedicaron a borrar o limpiar datos, un clásico: si vas a robar, tratá de que no te descubran.

En los servidores comprometidos aparecieron skimmers activos, esos programitas que se plantan en las páginas de pago y copian los datos de la tarjeta mientras el desprevenido completa el formulario. La diferencia es que, esta vez, los skimmers los desplegaba un bot obediente.

Los gastos registrados por la campaña eran mínimos comparados con el botín: unos pocos dólares diarios para sostener las consultas a los modelos de IA. La ecuación es de manual: poca inversión, automatización a full y un botín de seis cifras en plásticos ajenos.

¿Qué deja esta historia para el resto de los mortales?

Que el cibercrimen ya no es cosa de genios encerrados en sótanos. Ahora cualquier paciente con acceso a los modelos adecuados puede armar un equipo de piratas digitales por el precio de unas horas de GPU. Para las empresas, la cuenta es clara: el software a medida necesita mantenimiento serio, los skimmers no aparecen solos y el tiempo entre "te descubrí" y "te vacié" se mide en horas. Para los usuarios, lo de siempre: revisar resúmenes, activar alertas y no cargar la tarjeta en cualquier esquina digital. Mientras tanto, seguimos esperando la fibra.