Un hacker mandó a sus bots a robar tarjetas de crédito y se sentó a mirar: terminó sacando 600.000 números

Le dejás la lista de mandados al robot y te vas a ver el partido. Volvés y ya te choreó seiscientas mil tarjetas de crédito. No es ciencia ficción: es lo que reconstruyó la firma de ciberseguridad Gambit al investigar una campaña que funcionó entre julio y septiembre de este año, con un protagonista que básicamente le pasaba indicaciones cortas a tres agentes de inteligencia artificial y se dedicaba a otras cosas.

El trabajo sucio lo hacían Hermes, Strix y Cairn, los nombres en clave de las herramientas que usaba el operador. Para entendernos: pensá a Hermes como un director de orquesta con memoria, que recordaba lo que había hecho en otros ataques y hasta se programaba sus propias tareas. Strix y Cairn, en tanto, eran los laderos: estaban pensados para probar puertas y ventanas hasta encontrar una abierta. Entre los tres, alcanzaban un ritmo de unas diez empresas atacadas por día.

Cómo elegían a quién robarle

Lo primero era decidir la víctima. Para eso, una de las herramientas consultaba un servicio público que clasifica sitios web (un ranking que ordena páginas según su tráfico, parecido al Top que publica una empresa como Alexa, aunque con otro nombre) y filtraba las que usaban software hecho a medida. ¿Por qué? Porque ese tipo de desarrollo casero suele tener más agujeros que un paquete de Office genérico.

Una vez elegida la presa, los agentes hacían casi todo solos: reconocían el sistema, encontraban el resquicio y entraban. Según Gambit, lo habitual era que el acceso se lograra en menos de un día y, en muchos casos, en apenas unas horas desde el primer sondeo.

El humano apenas tocaba el volante

• 1.951 instrucciones del atacante repartidas en 260 sesiones de Hermes.
• Apenas unas pocas órdenes por cada empresa objetivo.
• Frases cortas tipo "arrancá" o "seguí con este": la IA resolvía el resto.
• Gasto mínimo por víctima: unos pocos dólares en infraestructura y consultas.
• Tiempo medio para entrar: menos de un día, a veces horas.

Cuando los agentes se topaban con algo que no sabían resolver, recién ahí aparecía el operador. Le mandaba un mensaje breve para indicarle el próximo paso o para decidir cómo seguir adentro del sistema. Gambit accedió al servidor desde el que se administraba toda la campaña y revisó tanto las instrucciones como los registros. También vio skimmer activos: esos programas que se plantan en un sitio de comercio electrónico y copian los datos de la tarjeta cuando alguien paga.

El balance: 600.000 tarjetas y víctimas de todo tipo

Entre el 10 y el 15 de septiembre de 2026, Gambit contabilizó 105 oleadas de ataques y 27 organizaciones comprometidas, con distintos niveles de daño. Entre las víctimas identificadas aparecen una aerolínea de Estados Unidos, una empresa de hotelería que integra el Fortune 500 (el ranking de las quinientas compañías más grandes del país), una distribuidora industrial y un comercio de moda online. En varios casos, la intrusión no se quedó en el robo: también generó cortes operativos por la destrucción o limpieza de datos dentro de los sistemas.

Reconozco que mientras leía el informe pensaba: "qué lindo hobby se mandó el tipo". Pero después recordé que del otro lado hay gente a la que le terminan clonando la tarjeta después de comprar unos zapatos o un pasaje. La automatización con IA no inventó el ciberdelito; le sacó la monotonía. Y eso, para los que estamos del lado de los usuarios, es un problema serio.

Qué hacer si te toca

• Revisá los movimientos de tu tarjeta al menos una vez por semana, no sólo cuando llega el resumen.
• Activá las alertas de compra por SMS o en la app del banco: un aviso en el momento puede salvarte un dolor de cabeza.
• Evitá guardar los datos de tarjeta en sitios de comercio electrónico cuando puedas pagar con métodos intermedios.
• Si compraste en una tienda que aparece en este tipo de incidentes, cambiá la tarjeta y avisá al banco aunque todavía no veas cargos raros.
• Mantené actualizados el sistema operativo y el navegador: muchos skimmer viejos no sobreviven a un navegador parchado.

Moraleja: ya no hace falta ser un genio para orquestar un ataque masivo. Con tres bots obedientes y un poco de patience, alguien se llevó seiscientos mil plásticos en pocos meses. La buena noticia es que las mismas empresas de seguridad están del otro lado mirando los mismos servidores. La mala es que la asimetría sigue siendo enorme: a ellos les basta con que uno de cada cien sitios tenga la puerta abierta.