Un pirata informático suelto: robó 600.000 tarjetas con ayuda de inteligencia artificial y gastó menos que en un café por cada víctima

¿Puede alguien juntar 600.000 tarjetas de crédito y no levantar polvo hasta que es tarde? Eso es justamente lo que descubrió la firma de ciberseguridad Gambit: una operación casi automatizada que funcionó entre julio y septiembre de 2026 y que dejó tendido en la web a decenas de empresas, desde una aerolínea estadounidense hasta una cadena de hoteles de las llamadas Fortune 500.

Te lo cuento en criollo. El ciberdelincuente no se sentó a tipear comandos durante horas. Armó un esquema con tres herramientas basadas en inteligencia artificial y dejó que ellas hicieran el trabajo grueso. La primera buscaba blancos. La segunda entraba. La tercera cosechaba.

Tres herramientas, un mismo cerebro

• Hermes era el centro de mando: coordinaba al resto, recordaba lo que había hecho en ataques previos, tenía agenda de tareas y hasta podía ajustar sus propias habilidades sobre la marcha. También atacaba por su cuenta cuando le indicaban.
• Strix y Cairn eran las "pinzas": estaban pensadas para pruebas de intrusión y hacían el trabajo de campo, probando accesos hasta dar con la puerta abierta.
• En conjunto, el combo permitía golpear alrededor de diez empresas por día, según los investigadores.

La parte que más llama la atención es otra: el operador intervino poco y nada. Gambit revisó el servidor desde el que se manejaba toda la movida y encontró 1.951 instrucciones repartidas en 260 sesiones de Hermes. Traducido: unas pocas líneas de texto por cada víctima. La IA hacía el resto.

¿Y la plata? Gastos mínimos. Hablamos de pocos dólares por objetivo, una cifra que parece sacada de cualquier servicio en la nube. Por eso el caso preocupa: con una inversión chica y un libreto corto, alguien pudo sostener una campaña grande durante meses.

Cómo elegían a quién atacar

Antes de tirar la puerta, los agentes consultaban un servicio de ranking de sitios web para armar la lista de candidatos. El criterio era simple: priorizar empresas con software hecho a medida, ese que es más caro de mantener y, a veces, más fácil de vulnerar porque no se actualiza con el paquete de seguridad estándar.

Una vez que identificaban el blanco, iban derecho. En la mayoría de los casos lograban entrar en menos de un día y, varias veces, en cuestión de horas. Después, el paso siguiente era plantar el skimmer, un programa que se camufla en la página de pagos y va copiando los datos de cada tarjeta que pasa por ahí.

El tamaño del daño

Los especialistas calcularon que, entre el 10 y el 15 de septiembre de 2026, hubo 105 oleadas de ataques y 27 organizaciones comprometidas, con distintos niveles de gravedad. Entre las víctimas aparecen una aerolínea de Estados Unidos, una empresa de hospitalidad del Fortune 500, una distribuidora industrial y un negocio de moda online. En varios casos, los intrusos además borraron archivos o limpiaron registros, lo que complicó la operatoria normal de las compañías.

El saldo final: al menos 600.000 registros de tarjetas de crédito acumulados en poco más de dos meses. Un golpe grande para un esquema que, visto desde el otro lado, funcionaba casi en piloto automático.

La moraleja, en versión tanguera: la inteligencia artificial ya no es sólo una herramienta de los que defienden. También se volvió una aliada barata para los que atacan. Si sos dueño de un negocio con software propio, tomátelo en serio: revisar accesos, limitar permisos y auditar las páginas de pago dejó de ser un opcional. Si te sirve, probalo.