Agentes autónomos de inteligencia artificial participaron en el robo de más de 600.000 registros de tarjetas de crédito y en la distribución de skimmers de pago en al menos 119 sitios web, según investigadores de ciberseguridad que han seguido la campaña.
Claves del caso
- Más de 600.000 registros válidos de tarjetas de crédito fueron robados a dos empresas, incluidos 488.372 pertenecientes a clientes estadounidenses.
- Los investigadores confirmaron la presencia de skimmers en 19 víctimas identificadas por su nombre y vincularon más de 100 sitios web adicionales infectados a la misma campaña.
- La operación tuvo un coste estimado de entre 12.000 y 18.000 dólares, lo que supone unos 25 dólares por objetivo.
Ataques con agentes de IA
Gambit Security señaló que la operación empleó tres frameworks de IA de código abierto —Strix, Cairn y Hermes— para escanear objetivos, explotar vulnerabilidades y gestionar la actividad posterior a la intrusión. La campaña comenzó en julio y siguió activa al menos hasta el 22 de septiembre, con un presunto operador de origen chino que proporcionaba instrucciones básicas a los agentes y después los dejaba trabajar de forma casi autónoma.
Según los investigadores, el atacante obtuvo datos válidos de tarjetas de pago de dos compañías, entre ellos 488.372 tarjetas de clientes de Estados Unidos. Gambit indicó por separado que se ordenó la colocación de skimmers contra al menos 27 víctimas identificadas y que pudo confirmar su presencia en 19 de ellas durante la investigación.
Con la ayuda de otro especialista en seguridad, Gambit identificó más de 100 sitios web adicionales que alojaban código de skimmer asociado a la misma campaña. BleepingComputer situó el alcance confirmado en al menos 119 sitios web, una cifra que se refiere a páginas infectadas y no necesariamente a 119 empresas distintas.
Entre las organizaciones afectadas figuraban una compañía hotelera del Fortune 500, una gran aerolínea estadounidense, un distribuidor de suministros industriales y un minorista de moda online. Los atacantes incrustaron skimmers en archivos JavaScript, páginas de checkout, almacenamiento en la nube, bases de datos y despliegues en Kubernetes, mientras que tareas programadas (cron jobs) podían restaurar el código malicioso tras su eliminación.
Una de las capacidades de Hermes ordenaba al sistema: “Después de extraer y descargar todos los datos de tarjetas, borra los campos de origen por lotes”. Según Gambit, ese proceso de limpieza provocó pérdida de datos y disrupciones operativas en varios comercios.
También puede interesarte: Ethereum podría captar nueva demanda de pagos de IA, según BlackRock
El coste de los ataques de IA
Gambit calculó que el coste total de la campaña osciló entre 12.000 y 18.000 dólares, lo que equivale a unos 25 dólares por objetivo. La propia revisión del operador arrojó una cifra similar, con un coste medio de 25,46 dólares a partir de 101 escaneos completados y objetivos individuales que fueron desde 3,13 hasta 79,31 dólares.
Los investigadores advirtieron de que la combinación de automatización y bajos costes operativos puede permitir que atacantes con habilidades limitadas ejecuten campañas mucho más amplias.
En algunos casos, las herramientas de IA lograron acceso en cuestión de horas tras recibir solo instrucciones breves entre ejecuciones autónomas.
La campaña ilustra además cómo la IA “agentica” puede ir más allá de asistir a los atacantes en tareas aisladas y pasar a coordinar de forma integral el escaneo, la explotación, la persistencia y el robo de datos. La actividad rastreada desde julio hasta el 22 de septiembre sugiere que la operación evolucionó hacia una campaña sostenida, mientras que el bajo coste por objetivo hizo económicamente viable repetir los ataques.
Lee a continuación: Claude detecta un misterioso sistema similar a CRISPR oculto en ADN viral
