Un pirata moderno automatizó el robo de 600.000 tarjetas y casi se burla de todos nosotros

¿De verdad creías que el cybercrime seguía siendo un tipo encorvado en un sótano tecleando a mano? Bueno, no. Ahora son algoritmos con memoria, tareas programadas y una puntería que ya quisiera tu vendedor de la esquina. La firma de ciberseguridad Gambit acaba de mostrar cómo un solo operador coordinó tres agentes de inteligencia artificial para meterse en decenas de empresas y robar al menos 600.000 registros de tarjetas de crédito. La campaña arrancó en julio de 2026 y sigue dando coletazos.

¿Cómo elegían a quién robarle?

Acá viene lo fino: antes de tocar una puerta, los agentes consultaban un servicio de ranking de sitios web para detectar empresas con software a medida, o sea, hechos a medida, no los paquetes genéricos que tienen parches al día. ¿Te suena raro? Pensalo así: si tu casa tiene una cerradura estándar, el cerrajero del barrio la abre en dos minutos; si tenés una puerta hecha a medida, el cerrajero necesita tiempo. Ese tiempo era la invitación. Una vez elegido el blanco, los agentes se lanzaban y solían entrar en menos de un día, muchas veces en horas.

¿Qué herramientas usó el pirata?

Tres nombres propios que conviene aprender: Hermes, Strix y Cairn

• Hermes hacía de cerebro y de manos: coordinaba todo y, de yapa, ejecutaba intrusiones. Tenía memoria de lo que había hecho, tareas programadas y habilidades que el propio operador podía ir ajustando.
• Strix y Cairn eran las pruebas de intrusión, es decir, los programas que buscan agujeros. Funcionaban como un scanner automático, pero con criterio.
• El combo completo permitía atacar unas diez empresas por día. Paremos la pelota: diez por día, no por mes.

¿Y la parte humana? Mínima. Gambit revisó el servidor de la campaña y encontró 1.951 instrucciones repartidas en 260 sesiones de Hermes. Estamos hablando de pocas órdenes por objetivo: arrancar el ataque, indicar el paso siguiente, decidir qué hacer una vez adentro. El resto lo resolvían los agentes solos. Cada intrusión costaba apenas unos pocos dólares al operador, una cifra ridícula al lado de lo que se puede rapiñar. La famosa API de la que tanto se habla (las API son las interfaces que conectan programas entre sí) era el camino: si una empresa las tenía expuestas, los agentes entraban como Pedro por su casa.

¿Cuánto se llevaron y a quiénes?

Entre el 10 y el 15 de septiembre de 2026 los investigadores contabilizaron 105 oleadas y 27 organizaciones afectadas con distintos niveles de daño. En la lista aparecen una aerolínea estadounidense, una cadena de hoteles de las Fortune 500 (las quinientas empresas más grandes de Estados Unidos, para el que recién llega), una distribuidora industrial y hasta un negocio de moda online. Algunas intrusiones no solo robaron datos: también borraron archivos y complicaron la operatoria de las compañías, lo que siempre termina costando plata, tiempo y reputación.

¿Qué significa esto para el usuario de a pie, el que compra con la SUBE en el bolsillo y paga el monotributo desde el celu?

Que el skimmer, ese programita que se cuelga en las páginas de pago y copia los datos de tu tarjeta sin que te enteres, ya no necesita a alguien tecleando de madrugada: lo instala un robot que trabaja gratis y rápido. La firma Gambit accedió al servidor del atacante y vio instrucciones, registros y skimmers activos. Eso confirma que la amenaza no es hipotética ni de película: es un manual de operaciones real, con presupuesto de pochoclos y un rédito obsceno. ¿La lección de siempre? No guardes los datos de la tarjeta en cualquier sitio, mirá la dirección de la página antes de pagar (la famosa URL, que es la dirección de un sitio web, tiene que empezar con https, es decir, con conexión segura) y activá alertas de tu banco, que para eso están. El resto lo hacen las empresas, o deberían hacerlo. Veremos, che.