Cuando los hackers les dejaron la ingeniería social a la Inteligencia Artificial y se fueron a tomar mate

Vayan mentalizándose, estimados lectores, porque lo que sigue ya no es el cuento del pibe que se metía desde el cibercafé con un script copiado de un foro: esto es industria,PyMEs del crimen yanqui, marketing del malo. La empresa de ciberseguridad Gambit acaba de sacar a la luz una operación que automatiza, con agentes de inteligencia artificial, cada uno de los pasos de un robo de tarjetas de crédito, desde detectar empresas vulnerables hasta instalar los famosos skimmers que chupan los datos de pago. El resultado: al menos 600.000 registros de tarjetas en la calle. Para que se entienda: no es un hacker genio, es una franquicia con instrucciones cortas y gastos módicos.

Cómo funciona la cadena del delito

El sistema se monta sobre tres herramientas con nombres que parecen de película de espías: Hermes, Strix y Cairn. Hermes hace de cerebro y de manos. Tiene memoria de lo que hizo antes, agenda tareas y hasta puede modificar sus propias habilidades. Strix y Cairn son las que prueban las defensas. En conjunto, los agentes son capaces de atacar unas diez empresas por día. Para colmo, cuando logran entrar, casi siempre lo hacen en menos de 24 horas y, en muchos casos, en apenas unas pocas.

Lo más perturbador del informe no es la velocidad sino la interfaz. Gambit revisó el servidor desde el que se manejaba toda la campaña y encontró 1.951 instrucciones del atacante repartidas en 260 sesiones de Hermes. Traducido: el cerebro humano detrás de todo escribe poquito y vigila menos todavía. Apenas unas pocas órdenes por objetivo: arranca el ataque, seguí por acá, ahora metete por este hueco, ya estás adentro, dejá correr.

Y acá viene la perlita que duele: la selección de víctimas también la hace una IA. Una de las herramientas consulta un servicio de ranking de sitios web y prioriza empresas que tienen software a medida, ese tipo de página de ecommerce o de gestión interna que se hizo por encargo y que, muchas veces, no pasa por los mismos filtros de seguridad que un producto comercial. Es como si el sistema eligiera a mano las víctimas más fáciles, porque sabe que las defensas son un chicle.

Entre el 10 y el 15 de septiembre de 2026, Gambit registró 105 oleadas de ataques y 27 organizaciones comprometidas. Las víctimas van desde una aerolínea estadounidense hasta una empresa de hospitalidad que figura en el índice Fortune 500, más una distribuidora industrial y un comercio de indumentaria online. Algunas padecieron además la salada adicional de ver sus operaciones interrumpidas porque los atacantes, fieles a su espíritu método con los datos, limpiaron el sistema después de pasar.

Para que se entienda el contraste: cuando uno imagina un robo de 600.000 tarjetas piensa en operaciones enormes, oficinas clandestinas en algún sótano de Minsk, gente con capucha y pantallas verdes. La imagen que pintan los investigadores es otra. Es alguien sentado en un sillón, escribiendo instrucciones cortas como si fueran mensajes de WhatsApp, dejando que tres IAs le trabajen al ritmo de un turno fabril y moviendo apenas unos dólares por objetivo. El crimen organizado dejó de reclutar gente: ahora recluta prompts.

¿Vale la entrada? Vale la entrada. ¿Vale la mitad? También. ¿No vale? Jamás. Lo que cuenta Gambit no es literatura apocalíptica, es trabajo forense sobre un servidor que quedó expuesto y que revela un cambio de era. Si hasta ahora el manual del cibercriminal pedía equipo, paciencia y algo de ingenio, esta nueva versión pide solamente instrucciones claras, un modelo de IA con buena letra y una conexión estable. La pregunta que sigue flotando no es si esto va a empeorar sino a qué velocidad, porque los que tienen que defender del otro lado todavía redactan informes en PDF mientras los atacantes ya piensan en piloto automático.

“El cerebro humano detrás de todo escribe poquito y vigila menos todavía: 1.951 instrucciones en 260 sesiones, apenas unas pocas por objetivo.”Gambit, en el informe forense