Un operador combinó tres herramientas de inteligencia artificial para automatizar ciberataques y obtener 600.000 tarjetas de crédito

Una investigación de la firma de ciberseguridad Gambit documentó una campaña en la que un ciberdelincuente utilizó agentes de inteligencia artificial para automatizar la búsqueda de víctimas, las intrusiones a sus sistemas y la instalación de programas destinados a capturar información de tarjetas de crédito. Según consta en el informe, la operación se inició en julio de 2026 y permitió acumular alrededor de 600.000 registros de tarjetas hasta mediados de septiembre de ese año.

Un esquema coordinado con tres herramientas

El operador combinó tres herramientas denominadas Hermes, Strix y Cairn. Hermes actuaba como centro de coordinación y también ejecutaba intrusiones directas. El sistema contaba con memoria de actividades previas, tareas programadas y la capacidad de incorporar nuevas habilidades. Strix y Cairn estaban orientadas a pruebas de intrusión, es decir, a detectar y explotar vulnerabilidades en los sistemas atacados. En conjunto, las tres herramientas permitían lanzar ataques contra unas diez empresas por día.

La selección de los objetivos comenzaba con la consulta a un servicio de clasificación de sitios web. A partir de esa información, los agentes priorizaban organizaciones que utilizaban software desarrollado a medida, una característica que suele presentar más puntos vulnerables que los paquetes comerciales estandarizados. Una vez identificada la víctima, los agentes podían avanzar de manera autónoma por las distintas etapas del ataque.

• La intrusión inicial se concretaba en menos de un día y, en numerosos casos, en cuestión de horas.
• El operador enviaba instrucciones breves para iniciar cada ataque, indicar el paso siguiente o decidir cómo continuar tras acceder a un sistema.
• Gambit identificó 1.951 instrucciones distribuidas en 260 sesiones de Hermes, con apenas unas pocas por objetivo.

Reconstrucción a partir del servidor del atacante

Para reconstruir el funcionamiento de la campaña, los especialistas accedieron al servidor desde el que se administraban las operaciones. Allí hallaron instrucciones, registros de actividad y rastros de programas conocidos como skimmers, instalados en los sitios afectados para interceptar los datos de pago. Entre el 10 y el 15 de septiembre de 2026 registraron 105 oleadas de ataques y 27 organizaciones comprometidas, con distintos niveles de afectación.

Entre las víctimas identificadas figuran una aerolínea estadounidense, una compañía de hospitalidad incluida en la lista Fortune 500, una distribuidora industrial y un comercio de moda por internet. En algunos casos, las intrusiones llegaron a interrumpir operaciones empresariales, ya fuera por la actividad de los propios atacantes o por acciones de eliminación y limpieza de datos dentro de los sistemas comprometidos.