Se prometió un salto técnico sin precedentes en el mundo del cibercrimen y, según la investigación de la firma Gambit, llegó: un operador individual automatizó con agentes de inteligencia artificial el ciclo completo de un ataque, desde la selección de víctimas hasta la instalación de programas capaces de capturar datos de tarjetas de crédito. En apenas tres meses, la campaña acumuló al menos 600.000 registros robados.

Un método que reemplaza al equipo de hackers

El proceso empezaba con la selección de posibles víctimas. Una de las herramientas consultaba un servicio de clasificación de sitios web y priorizaba empresas que utilizaban software hecho a medida, una señal clásica de en la seguridad. Después, los agentes podían ejecutar casi todas las etapas del ataque con autonomía. Cuando conseguían entrar, lo hacían en menos de un día y, en numerosos casos, en unas pocas horas.

• Hermes: actuaba como centro de coordinación y realizaba intrusiones directas. Tenía memoria de actividades anteriores, tareas programadas y habilidades que podía modificar.
• Strix y Cairn: estaban orientadas a pruebas de intrusión y permitían sondear sistemas antes del ataque.
• Rendimiento: la combinación permitía atacar unas diez empresas por día, según los investigadores.
• Intervención humana mínima: se apoyaba en 1.951 instrucciones distribuidas en 260 sesiones, con apenas unas pocas por objetivo.

Hay que decirlo: la automatización abarató y aceleró el delito. Gambit accedió al servidor desde el que se administraba la campaña y reconstruyó lo ocurrido instrucción por instrucción. Entre el 10 y el 15 de septiembre de 2026 contabilizó 105 oleadas de ataques y 27 organizaciones comprometidas con distintos niveles de afectación.

Entre las víctimas identificadas figuraban una aerolínea estadounidense, una compañía de hospitalidad incluida en Fortune 500, una distribuidora industrial y un comercio de moda por internet. Algunas intrusiones también interrumpieron operaciones empresariales por acciones de eliminación o limpieza de datos. La investigación, publicada por Gambit y replicada por Wired, confirma que los skimmers, programas para interceptar pagos, estuvieron activos en las páginas afectadas durante la operación.