Cómo tres agentes de IA ayudaron a vulnerar 27 empresas y robar datos de tarjetas

Una campaña con herramientas de inteligencia artificial atacó a empresas en línea y dejó una cifra especialmente llamativa: más de 600.000 registros de tarjetas de pago robados de dos compañías. Según Gambit Security, un operador de habla china dirigió tres herramientas de código abierto que automatizaron buena parte del trabajo. Al menos 27 empresas fueron comprometidas en distintos grados; eso no significa que todos los objetivos fueran vulnerados. 3712

Tres herramientas para distintas tareas

En vez de depender de un único agente para todo, el operador combinó tres herramientas en una misma cadena de trabajo:

• Strix buscaba vulnerabilidades.
• Cairn intentaba aprovecharlas para conseguir acceso.
• Hermes coordinaba la operación y dirigía la actividad entre las herramientas. 236

La automatización permitió dejar buena parte del proceso en marcha sin supervisión constante, pero no eliminó la intervención humana. Gambit informó que registró 1.951 instrucciones escritas por la persona operadora a lo largo de 260 sesiones. 612

105 proyectos de ataque en cinco días

Entre el 10 y el 15 de septiembre, el operador inició 105 proyectos de ataque. Durante ese periodo, al menos 27 empresas quedaron comprometidas en distintos grados, según Gambit. La cifra describe los casos de intrusión identificados, no el total de objetivos que pudieron haber sido atacados. 312

Los informes sitúan el coste medio en torno a los 25 dólares por análisis completado; una fuente precisa una media de 25,46 dólares. Es un coste por análisis, no una cifra confirmada por cada vulneración exitosa. 710

Sobre los modelos de IA utilizados, los reportes mencionan modelos de DeepSeek y Claude Opus 4.6. Sin embargo, la información disponible no permite establecer con fiabilidad qué modelo estuvo asociado a cada herramienta o tarea. 26

Los datos robados y los «skimmers» de pago

Los más de 600.000 registros de tarjetas se atribuyen a dos de las empresas comprometidas, no a las 27. La campaña también incluyó scripts conocidos como skimmers: código insertado en tiendas en línea que puede captar los datos de pago que las personas ingresan al finalizar una compra. 712

Una rutina de limpieza que destruyó datos

La investigación también describió un efecto colateral grave: una rutina automatizada de limpieza habría destruido datos de la base de datos de una víctima, incluidas copias de seguridad. El caso muestra que una acción automatizada posterior a una intrusión puede afectar información más allá de lo que se pretendía borrar. Las fuentes disponibles no determinan el alcance total de la pérdida. 46

¿Se detuvo la campaña?

Cuando Gambit publicó sus hallazgos, la campaña seguía activa, según los reportes. La información disponible no confirma que haya sido detenida desde entonces ni documenta el resultado de posibles medidas para interrumpirla. 718