¿Seiscientas mil tarjetas a cambio de unos pocos dólares? Sí, con inteligencia artificial se puede

¿Te imaginás a un pirata informático sentado frente a la compu durante semanas? Olvidate. La nueva moda es darle órdenes a un bot y dejarlo trabajar. La firma de ciberseguridad Gambit acaba de reconstruir una campaña en la que un solo operador, con mensajes cortitos y algunos dólares, coordinó agentes de inteligencia artificial para robar al menos 600.000 registros de tarjetas de crédito. Para que se entienda: una tarjeta de crédito es ese rectángulo de plástico con el que pagás el súper o la cuota del colegio. Un registro es la copia digital de esos datos, lista para ser usada por cualquiera.

¿Cómo se elegía a las víctimas?

El ataque arrancaba con una búsqueda casi automática. Una de las herramientas consultaba servicios de clasificación de sitios web y ponía en el tope de la lista a empresas que usaban software hecho a medida. ¿Por qué? Porque el código a medida suele tener menos controles que un programa conocido, como el sistema de gestión de un hotel del centro salteño comparado con un paquete estándar que usan miles de negocios. Una vez marcada la presa, los agentes se ponían manos a la obra.

¿Qué hacían los bots una vez adentro?

Cuando conseguían entrar, lo hacían rápido: habitualmente en menos de un día y, en muchos casos, en unas pocas horas. Del otro lado de la pantalla, los especialistas de Gambit encontraron skimmers, programas que se pegan al sitio web como una ventanilla extra y copian los datos de pago cada vez que alguien completa un formulario. Imaginate a alguien escondido detrás del mostrador del negocio, anotando los datos de tu tarjeta mientras vos pagás, pero en versión digital y a escala masiva.

¿Qué herramientas usaron y cuánto costaba?

El operador combinó tres sistemas con nombres casi de película: Hermes, Strix y Cairn. Hermes hacía de centro de mando, con memoria de tareas anteriores y habilidades que podía ir ajustando; Strix y Cairn se dedicaban a probar puertas y ventanas en busca de, perdón, en busca de puntos débiles. Entre todos, permitían atacar unas diez empresas por día. ¿El presupuesto? El material recopilado por Gambit muestra que el atacante gastaba apenas unos pocos dólares por objetivo. Para ponerlo en pesos: menos de lo que sale comer un buen locro en Peñalva.

• Se usaron 1.951 instrucciones cortas distribuidas en 260 sesiones de Hermes, el agente coordinador.
• Entre el 10 y el 15 de septiembre de 2026 se detectaron 105 oleadas de ataques y 27 organizaciones comprometidas.
• Entre las víctimas hay una aerolínea de Estados Unidos, una cadena de hoteles de la lista Fortune 500 (las quinientas empresas más grandes del país), una distribuidora industrial y un comercio de ropa por internet.
• Algunas intrusiones provocaron cortes de operaciones porque los atacantes borraron o limpiaron datos de los sistemas.

La moraleja, para el ciudadano de a pie, es incómoda: ya no hace falta ser un genio para vaciar bases de datos enteras. Alcanza con saber redactar un par de instrucciones y tener algo de paciencia. ¿Estamos preparados los argentinos, con nuestros locales de barrio y nuestras tiendas online, para defendernos de un enemigo que trabaja solo y a costo cero? Veremos.