Un bot, mil tarjetas y cero vergüenza: la nueva era del robo automatizado

A esta altura, todavia nos asombramos de que alguien pueda sacarnos la plata con una llamada telefonica. Pero el crimen se actualizo, y ya no necesita un genio del mal sentado frente a una pantalla: le alcanza con una serie de ordenes escritas y un par de agentes de inteligencia artificial (esos programas que actuan medio solos, como un asistente con iniciativa) que hacen el trabajo sucio. La pregunta es inevitable: cuanto falta para que cualquier chico con una notebook y algo de ingenio pueda montar un robo asi? Porque lo que conto la firma Gambit es, cuanto menos, inquietante.

Como se cocinaba el golpe, paso a paso

• Seleccion: una herramienta consultaba un ranking de sitios web y se quedaba con empresas que usaban software a medida, o sea, sistemas propios, no plantillas conocidas. Mas artesanales, mas vulnerables.
• Intrusion: los agentes entraban solos. En algunos casos, en cuestion de horas; en la mayoria, en menos de un dia.
• Skimmers: ya dentro, instalaban programas que chupan los datos de las tarjetas cuando la gente paga. Clasico, pero a escala industrial.

El operador de esta banda uso tres herramientas con nombre de super heroes de la informatica: Hermes, Strix y Cairn. Hermes era el cerebro, coordinaba todo y ademas metia mano directo en los servidores; Strix y Cairn haciaan las pruebas de intrusion (las pruebas que sirven para ver donde esta la puerta abierta). Entre las tres, podian atacar unas diez empresas por dia, segun Gambit.

Y aca viene lo que mas duele: la mano del hombre (o de la mujer) era minima. Los investigadores encontraron 1.951 instrucciones del atacante repartidas en 260 sesiones de Hermes. Pocas por victima. Traducido al castellano de la calle: unos pocos mensajes de texto fueron suficientes para que los agentes hicieran casi todo. No hacia falta ser un hacker de Hollywood.

Que encontraron los investigadores

Los especialistas de Gambit pudieron meterse en el servidor desde donde se manejaba toda la operacion y ahi vieron de primera mano lo que pasaba. Entre el 10 y el 15 de septiembre de 2026, contaron 105 oleadas de ataques y 27 organizaciones comprometidas, cada una con su nivel de daño. Algunas, incluso, vieron interrumpidas sus operaciones porque los intrusos borraron datos como parte de su limpieza.

La lista de victimas identificadas tiene peso: una aerolinea de Estados Unidos, una compania de hoteleria que figura en el indice Fortune 500 (el ranking de las quinientas empresas mas grandes del pais), una distribuidora industrial y un comercio de moda online. En total, Gambit estimo que se robaron al menos 600.000 registros de tarjetas de credito. Y ojo, porque los ataques empezaron en julio de 2026, asi que la cifra podria crecer.

Cuanto sale montar algo asi? Una fortuna

El material detalla que los gastos registrados fueron bajos. Esto significa que, con unos pocos dolares por objetivo, alguien coordino una operacion que saco del medio a empresas grandes y chicas. El dato es el que mas incomoda, porque rompe el mito de que estos golpes requieren presupuestos millonarios. Si lo que se dice es cierto, la barrera de entrada al cibercrimen profesional bajo de manera preocupante.

Mientras tanto, las empresas afectadas y los dueños de las 600.000 tarjetas todavia estan digiriendo la noticia. En el Valle de Concha, como en cualquier otra esquina del pais, la recomendacion de siempre sigue valiendo: revisar los resúmenes, activar alertas en el banco y desconfiar de cargos pequenos que parecen un error pero pueden ser la punta del iceberg. Porque si antes el phishing (el mail trucho que te pide la clave) ya era un dolor de cabeza, ahora los ataques se industrializaron. Veremos cuanto tarda en aparecer el proximo caso.