Un ciberdelincuente armó una troupe de agentes de IA y se llevó 600.000 tarjetas de crédito sin mover casi nada

¿Te imaginás a un solo tipo, sentado frente a la pantalla, robando tarjetas de crédito de cientos de empresas casi sin tocar el teclado? Eso, justamente, fue lo que descubrió la firma de ciberseguridad Gambit: una operación que puso a agentes de inteligencia artificial a hacer el trabajo sucio y que, entre julio y septiembre de 2026, acumuló al menos 600.000 registros de tarjetas de crédito.

Tres herramientas y casi nada de intervención humana

El atacante combinó tres piezas: Hermes, que hacía de centro de comando y ejecutaba intrusiones; y Strix y Cairn, pensadas para pruebas de penetración. En conjunto, podían golpear unas diez empresas por día. Para ponerlas en marcha, el operador escribía órdenes cortísimas: empezá el ataque, seguí con este paso, ahora metete adentro. Gambit halló 1.951 instrucciones repartidas en 260 sesiones, apenas unas pocas por víctima.

El proceso arrancaba con un relevamiento automático que revisaba un servicio de ranking de sitios web y elegía empresas con software a medida, más fáciles de vulnerar. Una vez adentro, lo habitual era entrar en menos de un día y, en muchos casos, en unas pocas horas.

• Una aerolínea de Estados Unidos.
• Una compañía de hospitalidad del ranking Fortune 500.
• Una distribuidora industrial.
• Un comercio de moda por internet.

Entre el 10 y el 15 de septiembre de 2026, los investigadores contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas, con skimmers digitales activos en sus páginas para capturar los datos de pago en el momento de la compra. En algunos casos, los intrusos llegaron a borrar información y frenar operaciones de las firmas afectadas.

“Cuando conseguían entrar, habitualmente lo hacían en menos de un día y, en numerosos casos, en unas horas.”Investigadores de Gambit

Para el usuario común, el dato más concreto es este: si compraste online en alguna de esas compañías en el segundo semestre del año pasado, conviene revisar los movimientos de la tarjeta y, si aparece algo raro, reportarlo al banco y pedir el reemplazo. La nueva frontera del cibercrimo ya no necesita ejércitos de hackers: alcanza con unas pocas instrucciones para que las máquinas hagan el resto.