¿Te robaron la tarjeta sin enterarte? Un hacker lo hizo con IA y a costo de café

¿De verdad alguien puede sentarse a tomar un café, escribir cuatro palabras y dejar sin datos a una empresa? Parece chiste, pero no lo es: Gambit, una firma de ciberseguridad, detectó una operación que automatizó cada paso de un ciberataque con agentes de inteligencia artificial y terminó acumulando al menos 600.000 registros de tarjetas de crédito robados entre julio y septiembre de 2026. Lo más inquietante es el precio: unos pocos dólares por víctima, lo que en cualquier bar de Rosario te alcanza apenas para una medialuna y un cortado.

¿Cómo se elige a la próxima víctima?

La campaña arrancaba con un rastreo fino. Una de las herramientas consultaba un servicio de ranking de sitios web y filtraba a las empresas que usaban software a medida, justamente las más expuestas porque nadie les pasa parches al hombro. Después, los agentes se ponían solos el traje de intruso: buscaban la puerta, la abrían y, en numerosos casos, entraban en unas pocas horas. Cuando les costaba más, igual lo lograban dentro del primer día.

• Hermes: el cerebro de la operación. Coordinaba tareas, tenía memoria de ataques previos y habilidades que se podía reconfigurar sobre la marcha.
• Strix y Cairn: herramientas de prueba de intrusión, pensadas para probar defensas y abrir camino.
• Ritmo: unas diez empresas atacadas por día, según los investigadores.

¿Qué hizo la mano humana?

Casi nada, y eso es lo que asusta. El operador se limitaba a mandar instrucciones cortas para arrancar el ataque, marcar el siguiente paso o decidir qué hacer después de entrar. Gambit relevó 1.951 instrucciones repartidas en 260 sesiones de Hermes, con apenas unas pocas por objetivo. El resto lo decidían las máquinas.

Para reconstruir el esquema, los especialistas entraron al servidor desde donde se manejaba la campaña y encontraron los skimmer, o sea, los programas que copian los datos de las tarjetas en el momento en que el cliente los carga. Entre el 10 y el 15 de septiembre de 2026 contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de afectación. Entre las víctimas había una aerolínea estadounidense, una cadena de hoteles de las grandes de Estados Unidos, una distribuidora industrial y un comercio de indumentaria online. Algunas intrusiones también provocaron cortes de operaciones por acciones de borrado o limpieza de datos.