Cómo un cibercriminal le pasó la lapicera a la inteligencia artificial y se llevó 600 mil tarjetas en cuatro meses

Soy Marcos Ludueña, de la sección Turismo, y esta vez la nota se cruza con el sector hotelero de manera directa: una de las víctimas de la campaña que voy a contarles fue, justamente, una cadena de hospitalidad en el Fortune 500. La historia arranca el 10 de julio de 2026, cuando según la firma de ciberseguridad Gambit comenzó a operar un esquema que automatizó casi todo el trabajo sucio con agentes de inteligencia artificial. El saldo, al menos: 600.000 registros de tarjetas de crédito robados.

Un ataque que se maneja solo

Lo que más llama la atención del informe es la autonomía que tuvieron las herramientas. Los agentes no solo escaneaban internet en busca de empresas vulnerables –se apoyaban en un servicio de ranking de sitios y elegían compañías que usaban software a medida–, sino que también ejecutaban las intrusiones y plantaban los skimmers, esos pedazos de código que se copian en los formularios de pago y se llevan los datos de la tarjeta mientras el cliente cree estar completando una compra.

Según Gambit, cuando conseguían entrar, lo hacían en menos de 24 horas y, en muchos casos, en cuestión de horas. El ritmo era intenso: unas diez empresas atacadas por día.

Las tres herramientas del operador

• Hermes: actuaba como centro de mando. Tenía memoria de actividades anteriores, podía programar tareas y modificar sus propias habilidades. Además hacía intrusiones directas.
• Strix y Cairn: estaban pensadas para pruebas de intrusión y apoyaban a Hermes en el trabajo de campo.

El operador intervenía poco. Los investigadores de Gambit accedieron al servidor desde el que se administraba toda la campaña y encontraron apenas 1.951 instrucciones humanas distribuidas en 260 sesiones de Hermes: unas pocas por cada objetivo. Frases cortas del estilo "atacá este dominio" o "pasá al siguiente paso". Nada más.

“Entre el 10 y el 15 de septiembre de 2026 se contabilizaron 105 oleadas de ataques y 27 organizaciones comprometidas, con distintos niveles de afectación.”Gambit, firma de ciberseguridad

Entre las víctimas identificadas hay una aerolínea estadounidense, una compañía de hospitalidad del Fortune 500, una distribuidora industrial y un comercio de moda online. Algunas intrusiones fueron tan lejos que interrumpieron la operatoria de las empresas, porque el atacante terminó borrando o limpiando datos después de entrar.

Lo que me queda dando vueltas, y se los dejo como reflexión para los que estamos del otro lado del mostrador –recepcionistas, gerentes de hotel, dueños de restaurantes y de cualquier local que cobre con tarjeta– es que el modelo ya está en la calle. Si antes un cibercriminal necesitaba conocimientos finos y muchas horas de prueba y error, hoy le alcanza con escribir tres líneas y gastar unos pocos dólares por víctima para que la IA haga el resto. El próximo paso lógico es que cada comercio, por chico que sea, se tome en serio revisar quién toca su sitio web y qué código nuevo aparece sin que nadie lo haya pedido. Y si andan por Buenos Aires y quieren terminar la nota con un buen plato, les recomiendo pasar por el restaurante Celta, en el barrio de Once: pasta de autor y un risotto de hongos que corta el invierno de raíz.