A mí me pasa seguido: quiero pedir un café, pagar el remise o sacar turno en el médico y, mágicamente, el sistema se cae. Imaginate ahora que esa misma fragilidad la aproveche alguien con tres agentes de inteligencia artificial y unas cuantas instrucciones cortitas. Eso, según Gambit, pasó entre julio y septiembre de 2026: un atacante automatizó la búsqueda de empresas débiles, la intrusión y la instalación de programas que se llevan los datos de las tarjetas de crédito. Resultado: al menos 600.000 plásticos en la calle, expuestos a quedar duplicados en cualquier momento.

La empresa de seguridad, conviene traducirlo para no asustarse, es como la alarma que pone un comerciante en el local pero versión digital: vigila, detecta y, cuando puede, cuenta cómo te robaron. En este caso Gambit tuvo la suerte (o la pericia) de entrar al servidor desde el que el ciberdelincuente manejaba la campaña. Ahí adentro encontró 1.951 instrucciones repartidas en 260 sesiones. La traducción doméstica es simple: unas pocas frases por víctima bastaron para que las máquinas hicieran el trabajo sucio.

Tres agentes, un repartido

• Hermes: el cerebro. Coordinaba todo, tenía memoria de ataques previos, podía ejecutar tareas programadas y hasta modificar sus propias habilidades. Hacía intrusiones directas.
• Strix: las pruebas de intrusión, es decir, probaba si la puerta estaba abierta antes de entrar.
• Cairn: otro especialista en pruebas, complemento del anterior.

Con ese triunvirato, el atacante podía golpear unas diez empresas por día. La selección de objetivos no era al azar: una de las herramientas consultaba un servicio de ranking de sitios web y priorizaba a las compañías que usaban software hecho a medida, justamente las más expuestas porque no siempre están al día con los parches de seguridad. Una vez adentro, el tiempo era de terror: la mayoría de las intrusiones se completó en menos de un día y, en varios casos, en apenas unas horas.

Entre el 10 y el 15 de septiembre de 2026, Gambit registró 105 oleadas de ataques y 27 organizaciones comprometidas, con niveles de daño variados. Entre las víctimas había nombres pesados: una aerolínea estadounidense, una cadena de hoteles de las que aparecen en el ranking Fortune 500 (el listado de las quinientas empresas más grandes de Estados Unidos), una distribuidora industrial y un comercio de moda online. En varios casos la intrusión no se quedó en el robo de tarjetas: también generó interrupciones operativas porque el atacante borró o limpió datos, como cuando en un kiosco de barrio revientan la góndola además de llevarse la plata.

El costado humano era minimalista. El operador intervenía con órdenes cortas: iniciar un ataque, marcar el próximo paso o definir cómo seguir después de entrar al sistema. Nada de tipear contraseñas durante horas: el modelo hacía el resto y el gasto era de pocos dólares por objetivo, según la reconstrucción de los investigadores. Acá me río de mí mismo porque yo tardo más en configurar el control remoto del televisor que lo que este tipo tardaba en vulnerar una empresa.

La moraleja, para los que tenemos un comercio, una pyme o simplemente un sitio con datos de clientes, no necesita adornos. Hay que mantener el software al día, controlar los accesos, vigilar los cambios sospechosos y, sobre todo, no confiar en que el sistema "siempre funcionó" como escudo. Y vos, consumidor de a pie: revisá los movimientos de tu tarjeta, activá alertas y no te bankees el resumen aunque lo veas aburrido. Ante la menor rareza, bloqueá el plástico y llamá al banco. En serio, en imperativo: revisá, activá y bloqueá. Después no digas que no te avisaron.