Cuando la inteligencia artificial se pone el traje de ladrón: así se robaron 600.000 tarjetas de crédito en cuestión de semanas

¿Te imaginas que un ciberdelincuente se siente frente a la compu, escriba cuatro líneas y se vaya a tomar un mate mientras la inteligencia artificial le hace el trabajo pesado? Eso fue, más o menos, lo que detectó la firma de ciberseguridad Gambit en una campaña que comenzó en julio de 2026 y terminó reuniendo al menos 600.000 registros de tarjetas de crédito robados de decenas de organizaciones.

Una fábrica de víctimas casi sin intervención humana

El operativo funcionaba como una cadena de montaje digital. Primero, una de las herramientas consultaba un servicio de ranking de sitios web y elegía empresas que usaban software a medida, ese que cada compañía manda a programar a medida porque no le sirve ninguno de paquete. Eran blancos tentadores: sistemas propios, muchas veces con menos controles que los productos comerciales.

Después, los agentes de inteligencia artificial se encargaban del resto: buscaban la puerta de entrada, la forzaban y, una vez adentro, instalaban skimmers, esos programas que se cuelgan en los sitios de pago y copian los datos de la tarjeta en tiempo real, como quien apoya la mano en el bolsillo ajeno mientras firmás el cupón.

Tres herramientas y unas pocas líneas de texto

Según el análisis de Gambit, el atacante combinó tres sistemas: Hermes, Strix y Cairn. Hermes era el cerebro de la operación, el que coordinaba y además se animaba a entrar él mismo a los sistemas. Strix y Cairn estaban más enfocados en probar si las defensas de las empresas tenían agujeros. Entre todos, permitían atacar unas diez empresas por día, algo impensable para una persona sola.

La parte más llamativa es la economía del esquema: Gambit encontró 1.951 instrucciones del atacante repartidas en 260 sesiones de Hermes. En promedio, eran apenas unas pocas líneas por cada objetivo. Pocas palabras, mucho daño.

• Aeronáutica: una aerolínea estadounidense fue una de las víctimas identificadas.
• Hospitalidad: una cadena hotelera de la lista Fortune 500 también quedó comprometida.
• Industria y moda: una distribuidora industrial y un comercio de ropa por internet sufrieron intrusiones.

Entre el 10 y el 15 de septiembre de 2026, los especialistas registraron 105 oleadas de ataques y 27 organizaciones afectadas, con distintos niveles de gravedad. En algunos casos, los intrusos no se conformaron con robar datos: también borraron información y dejaron a las empresas con operaciones interrumpidas, como quien entra a robar y de paso revolea los muebles.

Por qué este caso cambia las reglas del juego

Lo que muestra esta investigación no es solo un robo más. Es la foto de un nuevo manual del delito: instrucciones cortas, costos mínimos y agentes de IA haciendo el trabajo de un equipo entero. Hasta ahora, automatizar este nivel de intrusión requería gente capacitada y tiempo. Con estas herramientas, el umbral de entrada baja y aparecen más actores con menos experiencia técnica pero igual de peligrosos.

Para las empresas, la lección es directa: los skimmers ya no necesitan que un operador se quede horas frente a la pantalla. Y para los usuarios comunes, la recomendación de siempre, revisar resúmenes, activar alertas del banco y desconfiar de cargos mínimos. Si te sirve, probalo.