Un ataque automatizado con agentes de inteligencia artificial robó 600.000 tarjetas de crédito en tres meses
La firma de ciberseguridad Gambit detectó una campaña que usó tres herramientas autónomas para seleccionar víctimas, ingresar a sus sistemas e instalar programas de captura de pagos entre julio y septiembre de 2026. El costo por objetivo fue de pocos dólares.
Qué, dónde y cuándo: un ciberdelincuente coordinó tres agentes de inteligencia artificial para robar al menos 600.000 registros de tarjetas de crédito a decenas de organizaciones entre julio y septiembre de 2026, según el informe de la firma de ciberseguridad Gambit divulgado este lunes.
Un ataque con pocas instrucciones humanas
La campaña combinó tres herramientas denominadas Hermes, Strix y Cairn. Hermes actuaba como centro de coordinación y ejecutaba intrusiones directas, con memoria de actividades previas, tareas programadas y capacidad para modificar sus habilidades. Strix y Cairn estaban especializadas en pruebas de intrusión. En conjunto, los agentes podían comprometer alrededor de diez empresas por día.
El operador humano intervenía con instrucciones breves para iniciar ataques, marcar el siguiente paso o decidir cómo continuar una vez adentro de un sistema. Gambit relevó 1.951 instrucciones distribuidas en 260 sesiones de Hermes, con apenas unas pocas por objetivo.
La selección de víctimas
El proceso arrancaba con una herramienta que consultaba un servicio de clasificación de sitios web y priorizaba empresas con software hecho a medida. Cuando los agentes conseguían entrar, lo hacían en menos de un día y, en numerosos casos, en unas pocas horas.
Víctimas y modalidad de robo
Entre las organizaciones afectadas figuran una aerolínea estadounidense, una compañía de hospitalidad incluida en el ranking Fortune 500, una distribuidora industrial y un comercio de moda por internet. En los sitios comprometidos, los investigadores detectaron skimmers, programas que capturan datos de pago en el momento en que el cliente los ingresa.
Gambit accedió al servidor desde el que se administraba la campaña y reconstruyó el cronograma. Entre el 10 y el 15 de septiembre de 2026 contabilizó 105 oleadas de ataques y 27 organizaciones comprometidas, con distintos niveles de afectación. Algunas intrusiones provocaron la interrupción de operaciones por acciones de eliminación o limpieza de datos.
“Las intrusiones se completaban habitualmente en menos de un día y, en numerosos casos, en unas pocas horas.”Gambit, firma de ciberseguridad
- La operación usó tres agentes de inteligencia artificial: Hermes (coordinación e intrusión), Strix y Cairn (pruebas de intrusión).
- Los agentes podían atacar unas diez empresas por día, según los investigadores.
- Entre el 10 y el 15 de septiembre de 2026 se registraron 105 oleadas y 27 organizaciones comprometidas.
- Entre las víctimas se identificaron una aerolínea estadounidense, una firma de hospitalidad del Fortune 500, una distribuidora industrial y un comercio minorista de moda.
