El hacker que le pasó el trabajo a una IA y se llevó 600.000 tarjetas de crédito

A veces pienso que los titulares de ciberseguridad suenan a película, pero lo que destapó la firma Gambit esta semana tiene la precisión de un informe forense: un solo operador, sentado frente a una pantalla, logró que un puñado de agentes de inteligencia artificial hicieran por él el trabajo sucio de hackear decenas de empresas y llevarse, al menos, seiscientos mil registros de tarjetas de crédito en cuestión de semanas. Yo, Noelia Sajama, te lo cuento como si te lo estuviera explicando en la cocina, porque cuando lo entendés de corrido, te das cuenta de que la amenaza ya no es la de un joven genio en una guarida, sino la de cualquier persona con conexión a internet y unas pocas instrucciones bien puestas.

La campaña arrancó en julio de 2026 y se extendió hasta mediados de septiembre, según reconstruyeron los investigadores a partir del propio servidor desde el que se administraba el ataque. Ahí adentro encontraron un mapa completo de la operación: instrucciones del atacante, registros de actividad y, lo más revelador, los programas conocidos como skimmer —en criollo, skimmers, que son esos softwares maliciosos que se instalan en los sitios de pago para copiar los datos de la tarjeta mientras el usuario cree que está comprando tranquilo— activos en las páginas de las víctimas.

Cómo se elegía a la víctima y cómo se entraba

El primer paso era casi —perdón, quise decir casi limpio: una de las herramientas consultaba un servicio público de clasificación de sitios web, parecido a los rankings que se usan para medir tráfico, y se quedaba con las empresas que usaban software hecho a medida, es decir, desarrollos propios que suelen tener menos parches de seguridad que los paquetes comerciales. Una vez elegida la presa, los agentes se movían solos: buscaban la vulnerabilidad, explotaban la puerta de entrada y, en muchos casos, estaban adentro en menos de un día, a veces en cuestión de horas. Eso es lo que más me llamó la atención, porque habla de una velocidad de intrusión que antes requería equipos enteros y hoy la maneja una sola persona coordinando máquinas.

• software a medida, sin actualizaciones automáticas conocidas
• sitios con software a medida, más expuestos a fallas sin parches
• software hecho a medida, con mantenimiento desparejo

Tres herramientas y unas pocas palabras por objetivo

El operador combinó tres piezas: Hermes, que oficiaba de centro de mando con memoria de ataques anteriores, tareas programadas y hasta la capacidad de modificar sus propias habilidades; Strix y Cairn, enfocadas en pruebas de intrusión para abrirse paso en los sistemas. En conjunto, según Gambit, los agentes podían atacar unas diez empresas por día. La intervención humana era mínima y casi telegráfica: Gambit contabilizó mil novecientas cincuenta y una instrucciones del atacante repartidas en doscientas sesenta sesiones de Hermes, con apenas unas pocas por cada objetivo. Ordenar, decidir el próximo paso, seguir adelante: eso bastaba para que la maquinaria siga rodando.

Las víctimas y el alcance del golpe

Entre el 10 y el 15 de septiembre de 2026 los investigadores detectaron ciento cinco oleadas de ataques que comprometieron a veintisiete organizaciones con distintos niveles de afectación. En la lista aparecen una aerolínea estadounidense, una empresa de hotelería yhospitalidad —el término hospitalidad, que en la jerga empresarial abarca hoteles, resorts y cadenas de alojamiento— incluida en el Fortune 500, una distribuidora industrial y un comercio de moda online. En varios casos los intrusos no solo robaron datos: también borraron o limpiaron información para borrar huellas, lo que interrumpió operaciones reales de las compañías y dejó a usuarios sin servicio durante horas o días.

Lo que viene y lo que queda por discutir

Lo más inquietante del informe, y te lo digo con la franqueza que me caracteriza, es la escala chica del esfuerzo humano contra la escala enorme del daño. Un atacante, instrucciones breves, gastos mínimos por objetivo y un botín de seiscientos mil registros de tarjetas: esa ecuación es la que tiene que empujar a las empresas argentinas a tomarse en serio las auditorías de software a medida y a los usuarios a revisar los resúmenes de cuenta como si fueran la última línea de defensa. La comunidad que mira estos casos —la de profesionales de seguridad, la de usuarios de a pie y la de los pequeños comerciantes que procesan pagos online— le está pidiendo a las autoridades regulatorsias y a las cámaras empresarias que actualicen los estándares de protección y que obliguen a reportar incidentes en tiempo real, porque cuando un skimmer pasa semanas adentro de un sitio, la diferencia entre un susto y una catástrofe se mide en centavos de dólar por objetivo.