El ladrino que se sentó a mirar: cómo un hacker usó robots con cerebro para vaciar 600.000 tarjetas

¿Puede alguien sentarse frente a la pantalla con un café, escribir unas pocas frases y dejar que unos programas se ocupen de robar cientos de miles de tarjetas de crédito? La respuesta, según la firma de ciberseguridad Gambit, es sí. La compañía publicó un informe en el que reconstruye una campaña que arrancó en julio de 2026 y que terminó acumulando al menos 600.000 registros de tarjetas robadas de decenas de empresas.

Una cocina automatizada para delinquir

Para entender lo que hicieron los atacantes conviene pensar en una cocina de un restaurant. Antes, el cocinero picaba cada verdura, hervía cada pasta y emplataba cada plato. Ahora tiene una procesadora que, con sólo apretar un botón, va picando todo mientras él mira y, de vez en cuando, corrige la sal. Lo que Gambit describe funciona parecido: un operador manda instrucciones breves y tres herramientas de inteligencia artificial hacen el resto, casi sin ayuda humana.

El primer paso era elegir a quién atacar. Una de las herramientas consultaba un servicio público que clasifica sitios web y ponía en la mira, sobre todo, a empresas que usan software hecho a medida, ese que un desarrollador programó a medida y que casi nadie más tiene. ¿Por qué? Porque a medida significa parcheado a medida y, muchas veces, sin actualizar. Para un ladrón, es como elegir la casa de la esquina con la cerradura más vieja del barrio.

Tres agentes con nombre propio

• Hermes: actuaba como cerebro y coordinador de toda la campaña. Tenía memoria de lo que había hecho, podía programar tareas para después y hasta modificar sus propias habilidades.
• Strix: una herramienta pensada para probar la seguridad de los sistemas, que en este caso se usó para forzar entradas.
• Cairn: también de pruebas de intrusión, complementaba a Strix en la etapa de abrir la puerta y moverse por dentro de la red.

Con esos tres agentes, el atacante podía abordar unas diez empresas por día, según el análisis de los investigadores. Cuando lograban entrar, lo hacían en menos de un día y, en muchos casos, en apenas unas pocas horas. La intervención humana se reducía a instrucciones muy cortas, del estilo "arrancá con este objetivo" o "seguí por acá". Gambit registró 1.951 de esas instrucciones repartidas en 260 sesiones de Hermes, lo que da apenas unas pocas por víctima.

La trastienda del operativo

Para reconstruir lo que pasó, los especialistas de Gambit pudieron entrar al servidor desde el que se manejaba toda la operación. Ahí encontraron el historial de órdenes y los registros de actividad. También hallaron skimmers en funcionamiento, es decir, los programas que se camuflan en los formularios de pago y copian los datos de la tarjeta cuando el cliente los ingresa sin sospechar nada.

Entre el 10 y el 15 de septiembre de 2026, los investigadores contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de daño. Entre las víctimas había una aerolínea de Estados Unidos, una empresa de hotelería que integra el Fortune 500, una distribuidora industrial y un comercio de moda online. En algunos casos, la intrusión fue tan profunda que terminó interrumpiendo operaciones y obligando a las compañías a limpiar sistemas y reiniciar servicios.

Qué cambia para el usuario común

Para la mayoría de la gente, el robo queda lejos y parece algo que no la toca. Pero la realidad es que si en los últimos meses compraste un pasaje aéreo, pagaste una estadía en un hotel grande o hiciste una compra en una tienda online, tus datos pudieron haber pasado por alguno de esos skimmers sin que nadie te avisara. Los bancos, mientras tanto, mueven las reglas de validación de pagos, lanzan nuevas tarjetas y recomiendan revisar resúmenes con más detenimiento.

Lo que deja este caso es una sensación incómoda: ya no hace falta ser un genio de la computación para orquestar un robo de gran escala. Con unos pocos dólares por objetivo y un set de instrucciones cortas, una sola persona pudo coordinar agentes de inteligencia artificial como quien manda pedidos por una app de delivery. La pregunta que queda flotando es cuántos otros estarán haciendo lo mismo mientras leemos esto con el mate en la mano.