Cuando el ladrón ya no tipea: 600.000 tarjetas cayeron y todo lo apretó un bot

Arrancá la mañana con la tarjeta rechazada en el súper y, antes de que te enteres, ya hay un tipo al otro lado del mundo cobrando por tu café con leche. Algo así, pero a lo grande, fue lo que descubrió la firma de ciberseguridad Gambit: un ciberdelincuente usó agentes de IA, o sea programas que actúan solos siguiendo instrucciones, para robar al menos 600.000 registros de tarjetas de crédito entre julio y septiembre de 2026.

Lo llamativo no es tanto el volumen, sino el método. El atacante no se sentaba frente a la pantalla a tipear comandos durante horas: dejaba que tres herramientas, bautizadas Hermes, Strix y Cairn, hicieran el trabajo sucio. Hermes oficiaba de cerebro y mano a la vez: coordinaba, probaba ingresos a sistemas y hasta iba aprendiendo de cada intento. Strix y Cairn eran los scouts, especialistas en buscar la manera de entrar. En conjunto, la troupe podía masticarle unas diez empresas por día, según los investigadores.

El ataque, paso a paso

• Primero, un agente revisaba un ranking de sitios web y elegía víctimas que usaran software a medida, porque suele estar peor protegido.
• Después, los agentes buscaban la puerta de entrada. Si la encontraban, lo hacían en menos de un día, y muchas veces en cuestión de horas.
• Una vez adentro, instalaban skimmers, pequeños programas que copian los datos de pago cuando alguien completa un formulario en la página.
• El operador humano, mientras tanto, apenas escribía: Gambit contabilizó 1.951 instrucciones repartidas en 260 sesiones, o sea menos de diez por objetivo.

Entre el 10 y el 15 de septiembre la cosa se puso brava: los investigadores detectaron 105 oleadas de ataques y 27 organizaciones comprometidas, entre ellas una aerolínea estadounidense, una cadena de hoteles de las grandes que cotiza en el índice Fortune 500 (la lista de las quinientas empresas más grandes de Estados Unidos), una distribuidora industrial y un comercio de ropa online. Algunas de esas intrusiones incluso les complicaron el funcionamiento normal a las empresas, porque el intruso borraba datos para tapar huellas, como cuando uno tira el mantel y se lleva los platos.

Y acá viene la perlita que a mí, como simple mortal, me deja helado: el costo por víctima. Hablamos de apenas unos pocos dólares por objetivo. Sí, leíste bien: gastar lo que vale un café con medialunas para meterse en una empresa y salir con datos de tarjetas. Yo, que cada mes peleo con el home banking del banco, me siento bastante torpe en comparación.

El caso es un espejo de lo que viene. La automatización con IA no distingue entre el que escribe un mail de trabajo y el que orquesta un robo masivo: las mismas herramientas que ahorran horas a un programador sirven para que un criminal escale su negocio sin contratar cómplices. La defensa, claro, también va a tener que animarse a usar la misma vara, porque a mano ya no se compite.

“No subestimes a un atacante que automatiza: si tu sistema no se defiende solo, te comes un garrón por unos pocos dólares.”Lectura de Iván Guiñazú

Qué hacer, en criollo

• Activá el aviso de movimientos en la app del banco y revisalo al menos una vez por semana.
• Si compraste online entre julio y septiembre de 2026 en tiendas grandes, monitoreá cargos chicos: los skimmers suelen probar con uno primero.
• Usá tarjetas virtuales o de un solo uso para compras en sitios que no conocés.
• Mantené actualizado el sistema de tu celular y la app del banco: muchos ataques pasan por software viejo.
• Y, si podés, pagá con billeteras digitales o contactless, porque no exponen el número de la tarjeta directamente.