Un hacker con IA automatizó el robo de 600.000 tarjetas y el costo fue tan bajo como un café

A ver, piénselo un segundo. Usted entra a una tienda online, pone su tarjeta, compra y se va. Del otro lado, mientras usted elige el talle, un programa capaz de copiar sus datos ya se llevó su número, su vencimiento y ese código de tres dígitos de atrás. Bienvenido al fútbol del siglo XXI, donde los ciberdelincuentes contratan mano de obra artificial y trabajan a escala industrial.

La firma de ciberseguridad Gambit publicó una investigación que parece sacada de una película de espías, pero con la diferencia de que acá no hay dobles agentes: hay bots. Según el informe, un operador coordinó tres herramientas de inteligencia artificial bautizadas Hermes, Strix y Cairn para automatizar casi todo el proceso de un ataque: elegir la víctima, entrar al sistema y plantar los programas conocidos como skimmers, que son esos capturadores de datos de pago que se esconden en los sitios web como un carterista en una estación de tren.

Un ejército de tres que avanza a razón de diez por día

Las siglas, para que se entiendan, IMHO son lo de menos. Hermes hacía de cerebro y de portero al mismo tiempo: coordinaba las tareas y, cuando le parecía, entraba él mismo a los servidores. Strix y Cairn eran los especialistas en probar cerraduras. Los tres juntos podían llegar a unas diez empresas por jornada, según Gambit. Para dimensionarlo de modo casero: como tener una banda de tres que prueba diez cerraduras por día, sin dormir y sin comer.

El proceso arrancaba con un servicio que clasifica sitios web de acuerdo con la tecnología que usan. La IA priorizaba a las víctimas con software a medida, o sea, sistemas propios que suelen estar menos parchados que los productos comerciales. Una vez elegida la presa, el ataque se ejecutaba en piloto automático. La mayoría de las intrusiones se completaban en menos de un día y, en muchos casos, en cuestión de horas. Vamos, más veloz que cualquier plomero cuando lo llama la suegra.

El humano, casi de adorno

Acá viene el dato que más frío le va a dejar a uno. Los analistas revisaron el servidor desde el que se manejaba toda la operación y encontraron 1.951 instrucciones del atacante repartidas en 260 sesiones de Hermes. Traducido: el humano escribía unas pocas líneas por víctima para arrancar el ataque, pedir el siguiente paso o decidir cómo seguir después de entrar. El resto lo hacían las máquinas.

• Entre el 10 y el 15 de septiembre de 2026 se registraron 105 oleadas de ataques.
• 27 organizaciones quedaron comprometidas, con distintos niveles de daño.
• Entre los blancos había una aerolínea de Estados Unidos, una empresa de hotelería de la lista Fortune 500, una distribuidora industrial y un comercio de moda online.
• Algunas intrusiones provocaron cortes de operaciones por acciones de borrado o limpieza de datos.

Lo que cuesta y lo que conviene hacer

El material de Gambit también menciona los gastos asociados a la campaña. El informe detalla que el costo por objetivo atacado se medía en pocos dólares, una cifra ridícula si se la compara con los 600.000 registros de tarjetas de crédito que se llevaron. Yo, cada vez que leo este tipo de cifras, me acuerdo de cuando pagaba un café con monedas y me parecía caro: hoy, con esa misma plata, alguien le roba los datos a medio país.

Tampoco conviene entrar en pánico. Este caso muestra que el delito se industrializó, pero también deja algunas lecciones a la vista. Si sos dueño de un comercio online, auditá el código de tu sitio con gente que sepa, no te confíes en que porque funciona bien ya está seguro. Si sos usuario, revisá los resúmenes de la tarjeta con la misma rigurosidad con la que revisa la lista del super. Y, por las dudas, activá los avisos por mail o por la app del banco cada vez que hagas una compra, porque la diferencia entre un aviso a tiempo y un descubierto a fin de mes es exactamente esa notificación que muchos dejan pasar por alto.