La firma de ciberseguridad Gambit identifico una operacion que automatizo con agentes de inteligencia artificial la busqueda de victimas, las intrusiones y la instalacion de programas para capturar informacion de pago, y que en poco mas de dos meses acumulo al menos 600.000 registros de tarjetas de credito robados, segun el informe difundido por la compania.

Como operaba la cadena de herramientas

El proceso, segun reconstruyo Gambit, empezaba con la seleccion de posibles victimas mediante un servicio de clasificacion de sitios web que priorizaba a las empresas que utilizaban software hecho a medida, una condicion que hacia mas viable la intrusion. Una vez identificados los blancos, los agentes ejecutaban de manera autonoma casi todas las etapas del ataque y, cuando conseguian entrar, lo hacian habitualmente en menos de un dia y, en numerosos casos, en unas pocas horas. En criollo: el ciberdelincuente delego en software de inteligencia artificial el trabajo que antes requeria un equipo humano con conocimientos especializados y lo hizo a una velocidad inalcanzable para una operacion manual.

• Hermes actuaba como centro de coordinacion y tambien realizaba intrusiones directas, con memoria de actividades anteriores, tareas programadas y habilidades modificables.
• Strix y Cairn estaban orientadas a pruebas de intrusion y complementaban a Hermes en las etapas previas al acceso.
• En conjunto, los sistemas permitian atacar unas diez empresas por dia, de acuerdo con los investigadores.

La intervencion humana se apoyaba en ordenes cortas para iniciar ataques, indicar el siguiente paso o decidir como continuar despues de acceder a un sistema. Gambit encontro 1.951 instrucciones del atacante distribuidas en 260 sesiones de Hermes, con apenas unas pocas por objetivo, lo que da cuenta del nivel de autonomia delegado en los agentes.

La evidencia reunida por los investigadores

Para reconstruir lo ocurrido, los especialistas accedieron al servidor desde el que se administraba la campana, donde revisaron instrucciones y registros, y observaron programas de captura de datos de pago, conocidos como skimmers, activos en las paginas afectadas. Entre el 10 y el 15 de septiembre de 2026 contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de afectacion. Comparado con un ano antes, cuando la mayor parte de estas campañas todavia dependia de operadores manuales, el caso muestra un salto cualitativo en la escala y en la velocidad con que se puede sostener un robo masivo de datos financieros.

Entre las victimas identificadas figuraban una aerolinea estadounidense, una compania de hospitalidad incluida en el indice Fortune 500, una distribuidora industrial y un comercio de moda por internet, mientras que algunas intrusiones tambien interrumpieron operaciones empresariales por acciones de eliminacion o limpieza de datos. Segun Gambit, el costo operativo de la campana fue de pocos dolares por objetivo, un dato que refuerza la preocupacion del sector sobre la facilidad con la que herramientas de inteligencia artificial de bajo costo pueden sostener ataques de gran envergadura.