Un hacker soltó a la IA y se llevó 600.000 tarjetas de crédito en tres meses

¿Hizo todo una máquina? Casi. El ciberdelincuente detrás de esta movida apenas escribía unas pocas instrucciones por víctima. Lo demás lo resolvían agentes de IA que él mismo combinó para automatizar un ataque a escala industrial. Resultado: al menos 600.000 registros de tarjetas de crédito robados entre julio y septiembre de 2026, según el análisis de la firma de ciberseguridad Gambit.

¿Qué herramientas usó el hacker?

• Hermes: el cerebro de la operación. Coordinaba todo, tenía memoria de ataques previos, tareas programadas y hasta modificaba sus propias habilidades. También concretaba intrusiones por sí solo.
• Strix y Cairn: dos asistentes orientados a pruebas de intrusión, o sea, a testear cómo entrar a un sistema y por dónde.
• En conjunto, el combo permitía golpear unas diez empresas por día, según Gambit.

El arranque era casi tan simple como elegir un restaurante en una app. Uno de los agentes consultaba un servicio de ranking de sitios web y filtraba candidatos: empresas con software a medida, las más jugosas para encontrar un hueco. Una vez adentro, el promedio era preocupante: menos de un día para comprometer un sistema, y en varios casos, apenas unas horas.

¿Cuánto trabajo manual quedó en manos del humano?

Menos del que uno quisiera. Gambit revisó el servidor desde el que se manejaba la campaña y encontró 1.951 instrucciones distribuidas en 260 sesiones de Hermes, con apenas unas pocas por objetivo. Tareas como iniciar un ataque, marcar el próximo paso o decidir qué hacer después de entrar quedaban en manos del operador con órdenes cortísimas. Los gastos registrados eran de pocos dólares por víctima.

¿A quiénes les robaron?

La lista lee como un quién es quién corporativo. Entre las víctimas había una aerolínea estadounidense, una compañía de hospitalidad del Fortune 500 (el ranking de las 500 empresas más grandes de Estados Unidos), una distribuidora industrial y un ecommerce de moda. Algunas intrusiones incluso provocaron interrupciones operativas por acciones de borrado o limpieza de datos. Entre el 10 y el 15 de septiembre de 2026, Gambit registró 105 oleadas de ataques y 27 organizaciones comprometidas, con skimmers activos en sus páginas capturando datos de pago en vivo y directo. Veremos cuántas más aparecen en el camino.