Un bot, un click y 600.000 tarjetas en la calle

A mí me pasó la semana pasada: quise pagar un café con el celular, la billetera virtual se colgó y terminé firmando el posnet como en 2005. Imaginate eso, pero a lo grande y con 600.000 tarjetas en juego. La firma de ciberseguridad Gambit detectó una campaña donde un ciberdelincuente automatizó casi todas las etapas del ataque con agentes de inteligencia artificial, desde la selección de víctimas hasta el robo de datos de pago. La operación arrancó en julio de 2026 y sigue activa.

Tres herramientas y muy pocas teclas apretadas

El método fue, técnicamente, brillante y éticamente repudiable. Para que se entienda sin tecnicismos: los famosos agentes de IA son programas que, en vez de esperar que les des cada orden paso a paso, reciben una instrucción general y la ejecutan solos, como un cadete al que le decís "andá a comprar pan" y vuelve con el pan, la factura y un chisme. En este caso, el atacante usó tres: Hermes, Strix y Cairn.

• Hermes hacía de cerebro y manos: coordinaba tareas, recordaba qué hizo antes, programaba actividades y hasta se metía él mismo en sistemas ajenos.
• Strix y Cairn eran los testers, es decir, los que probaban si la puerta estaba abierta antes de entrar. En criollo: los que tanteaban la cerradura antes de forzar la ventana.
• Entre las tres, según Gambit, podían atacar unas diez empresas por día.

Lo más llamativex, si me perdés la grosería, es la desproporción entre el esfuerzo humano y el resultado. Los investigadores encontraron 1.951 instrucciones repartidas en 260 sesiones de Hermes. O sea, el tipo escribía poco y la máquina laburaba mucho. Las órdenes eran frases cortas tipo "empezá el ataque" o "avanzá con el siguiente paso". Vamos, menos texto que un chat de WhatsApp.

Así se elegía a las víctimas

La selección no fue al azar. Una de las herramientas consultaba un servicio de ranking de sitios web y, perdón,… repito:aba las empresas que usaban software a medida. ¿Por qué? Porque el código propio suele tener menos ojos puestos que un producto masivo, y eso es una invitación servida para quien busca entrar sin hacer ruido. Después, los agentes entraban rápido: en general, menos de un día desde el primer contacto y, en varios casos, en cuestión de horas.

Una vez adentro, instalaban skimmers, que en buen cristiano son programas que se cuelgan de un sitio de comercio electrónico y copian los datos de la tarjeta en el mismo momento en que el cliente los carga. Como un mozo que anota tu número de tarjeta mientras creés que está pasando la bandejita. Entre el 10 y el 15 de septiembre de 2026, Gambit registró 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de daño.

Entre las víctimas aparecen una aerolínea de Estados Unidos, una cadena de hoteles de la lista Fortune 500 (el ranking de las quinientas empresas más grandes del país, para los que no están en tema), una distribuidora industrial y un comercio de ropa online. En algunos casos, además del robo, los intrusos borraron datos o limpiaron sistemas, lo que dejó a las empresas con operaciones interrumpidas y con el doble dolor de cabeza.

“Yo, que me considero un usuario promedio, miro esto y pienso: si hasta un equipo chico, con tres herramientas y unas pocas instrucciones, puede mover 600.000 registros, el problema ya no es la tecnología sino el lugar donde se la usa.”Reflexión del editor

Lo que te conviene hacer a vos, hoy

• Activá alertas de movimientos en tu tarjeta y el banco, y revisalas al menos una vez por semana.
• Evitá guardar los datos de tarjeta en sitios que no usás seguido y, si podés, pagá con métodos tokenizados, que son los que reemplazan tu número real por un código temporal.
• No entres a links que llegaron por mail o WhatsApp aunque tengan el logo del banco: andá siempre a la página oficial tipeando la dirección a mano.
• Si comprás en un comercio chico o poco conocido, fijate que la dirección empiece con https y tenga el candadito, y desactivá el guardado automático de tarjetas en el navegador.