¿Te imaginás a un solo ciberdelincuente moviendo 600.000 tarjetas de crédito sin apenas tocar el teclado? Pasó. La firma de ciberseguridad Gambit describió una campaña en la que un operador coordinó agentes de inteligencia artificial para elegir víctimas, entrar en sus sistemas y plantar skimmers, esos programas que copian los datos de pago cuando uno termina una compra online. Lo contó en su informe y lo resumo acá, en criollo.

La idea es sencilla y a la vez alarmante: las máquinas hicieron casi todo el trabajo sucio. Una de las herramientas consultaba un ranking de sitios web y se quedaba con empresas que usaban software a medida, justamente las más expuestas. Después venía la intrusión, que en muchos casos se completó en pocas horas. En total, según Gambit, los sistemas podían atacar unas diez empresas por día.

Tres herramientas y un operador con instrucciones cortas

El arsenal se repartía entre tres nombres: Hermes, Strix y Cairn. Hermes oficiaba de centro de comando: tenía memoria de ataques previos, tareas programadas y podía incluso modificar sus propias habilidades. Strix y Cairn se enfocaban en probar accesos. Juntas eran el equipo, y el atacante apenas intervenía para dar el empujón inicial o decidir el siguiente paso.

• 1951 instrucciones del operador repartidas en 260 sesiones de Hermes, con apenas unas pocas por víctima.
• 105 oleadas de ataques entre el 10 y el 15 de septiembre de 2026, con 27 organizaciones afectadas en distinto grado.
• Entre las víctimas, una aerolínea estadounidense, una cadena de hoteles de la lista Fortune 500, una distribuidora industrial y un comercio de moda online.

Como en una cosecha enorme hecha con una sola persona arriba de la cosechadora, el daño lo multiplica la automatización. Para confirmar lo que estaba ocurriendo, los investigadores entraron al servidor desde donde se manejaba la campaña, revisaron el log de instrucciones y encontraron los skimmers activos en los sitios comprometidos. La investigación sigue, pero el mensaje ya está sobre la mesa: con unos pocos dólares por objetivo y un puñado de instrucciones cortas, se puede juntar un botín gigante. Si te sirve, probalo: revisá hoy mismo qué software usás en tu negocio y, sobre todo, qué datos de tarjeta guardás.