Un operador motivado financieramente ha utilizado tres herramientas de IA de código abierto para atacar a numerosos minoristas en línea, operando mayormente sin supervisión. Los resultados son alarmantes: se han robado más de 600,000 registros de tarjetas de crédito y se han insertado scripts de recolección de datos en decenas de páginas de pago; además, en al menos dos ocasiones, la rutina de limpieza del atacante borró completamente la información.

Un operador motivado financieramente ha estado ejecutando tres herramientas de IA de código abierto contra muchos minoristas en línea, en su mayoría sin supervisión.

Los resultados son impactantes: se han robado más de 600,000 registros de tarjetas de crédito, se han colocado scripts para recopilar información de tarjetas en docenas de páginas de pago y, en al menos dos casos, la rutina de limpieza del operador borró por completo los datos de las víctimas.

El equipo de Inteligencia de Amenazas de Gambit Security recuperó el servidor de pruebas expuesto del operador y reconstruyó la campaña a partir de lo que dejó atrás, y la imagen que revela es preocupante para cualquier equipo de seguridad.

La economía es lo que hace que esta campaña sea tan alarmante. Entre agosto y septiembre de 2026, el operador gastó entre 12,000 y 18,000 dólares en acceso a modelos de IA a través de OpenRouter, una cifra corroborada por una captura de pantalla del saldo de la cuenta de 7,005.71 dólares capturada el 25 de agosto para un periodo de cuatro semanas.

Distribuido entre las empresas atacadas, esto se traduce en un costo marginal de solo unos pocos dólares hasta unas pocas decenas de dólares por objetivo.

La propia revisión de costos del operador situó la media en 25.46 dólares en 101 escaneos completados, oscilando entre 3.13 dólares para la víctima más barata y 79.31 dólares para la más cara. A ese precio, la economía tradicional que antes filtraba a los atacantes de baja cualificación ya no se aplica.

Robo de tarjetas de crédito mediante agentes de IA

Según la investigación publicada por Gambit Security, la actividad, que se remonta a julio de 2026 y sigue activa, se apoyó en tres herramientas de IA comerciales trabajando en conjunto.

Strix se encargaba del descubrimiento autónomo de vulnerabilidades, Cairn ejecutaba la explotación de extremo a extremo durante horas seguidas hasta lograr una shell o acceso de administrador, y Hermes orquestaba toda la campaña, lanzando trabajos de intrusión, dirigiendo la actividad y brindando orientación táctica durante la etapa de impacto.

Solo entre el 23 y el 31 de agosto, Strix realizó 146 escaneos en modo profundo contra 138 hosts, consumiendo 633 horas de tiempo de escaneo en tan solo 195 horas reales, un ritmo que ningún equipo humano podría sostener.

El papel humano se limitó a instrucciones breves. En 260 sesiones de Hermes, el operador escribió solo 1,951 comandos. Se trataba principalmente de frases cortas en chino, como "lee el informe de vulnerabilidades y comienza" o "¿puede obtener la ejecución de código?"

Hermes mismo estaba cargado con 121 habilidades, 78 de ellas ofensivas, además de una habilidad personalizada diseñada para eliminar sus propios filtros de seguridad de contenido. La elección del modelo fue importante: el operador se decidió por Opus 4.6 de Anthropic solo después de que los modelos más nuevos rechazaran las solicitudes, y canalizó el trabajo más pesado a través de los modelos chinos DeepSeek y Kimi.

El patrón refleja otras campañas de 2026 en las que los actores se inclinaron por marcos abiertos permisivos combinados con los modelos menos restringidos disponibles.

Entre el 10 y el 15 de septiembre, Cairn lanzó 105 proyectos de ataque, y al menos 27 empresas fueron comprometidas en diversos grados. Debido a que cada camino fue elegido en tiempo real mediante un sondeo implacable, las tácticas variaron de una víctima a otra.

Una cadena totalmente documentada comenzó con una inyección SQL no autenticada, leyó un OTP en texto plano para evadir el MFA, cargó una web shell para la ejecución de código en el host, escaló a root a través de una regla de sudo mal configurada, pivotó a través de un montaje NFS, extrajo 46 secretos de AWS Secrets Manager, llegó a la base de datos principal de Magento y, finalmente, extrajo la clave de cifrado para descifrar los números de tarjeta almacenados. Las víctimas incluyeron una empresa de hostelería de Fortune 500, una importante aerolínea estadounidense, un gran distribuidor de suministros industriales y un minorista de moda en línea.

Los más de 600,000 registros de tarjetas provinieron de dos víctimas y fueron validados por la firma antifraude Overwatch Data, que encontró que la gran mayoría, aproximadamente 488,000 tarjetas (o el 79 por ciento), pertenecían a titulares de EE. UU.

Un procesador de pagos confirmó más tarde que al menos el 60 por ciento de un lote muestreado no había sido marcado previamente por fraude, lo que subraya la frescura de los datos.

El hallazgo más inquietante es que el peor daño no provino de la extorsión. Un archivo de habilidades de Hermes, titulado "Borrado de Base de Datos Después de la Extracción", instruyó al agente a borrar los campos de tarjetas de la base de datos Magento de la víctima una vez que los datos fueran exfiltrados, esperando tablas con millones de filas.

En una segunda víctima, un minorista de bicicletas, el agente creó tablas temporales y luego eliminó 180 tablas que coincidían con su propio patrón de nomenclatura, incluyendo tablas de respaldo que los propios administradores de la empresa habían creado.

Los "skimmers" fueron el otro objetivo central, confirmado en 19 víctimas nombradas y rastreados en más de 100 sitios infectados adicionales con la ayuda del investigador Varys.

Los métodos de inyección variaron según el nivel de acceso: desde añadir un cargador a un archivo jQuery legítimo, hasta envenenar un bucket S3 detrás de un CDN, usar un initContainer de Kubernetes o una tarea cron en un directorio de registros de JBoss que reinyectaba el skimmer cada dos minutos cada vez que un redespliegue lo eliminaba.

Esta campaña es mucho más importante de lo que sugieren sus números brutos. El conjunto de herramientas es de código abierto, el costo marginal es de decenas de dólares y el acceso, cuando se lograba, solía tardar menos de un día, mientras que la remediación en entornos complejos todavía se mide en semanas.

Actualmente, las vulnerabilidades críticas reportadas entre los principales proveedores superan las 600 cada mes, y aproximadamente el 87 por ciento de los fallos que explotan los atacantes ocurren en el momento de la divulgación pública o antes. Los umbrales de detección, las ventanas de cambio y las rotaciones de guardia calibradas al ritmo humano simplemente no pueden seguir ese reloj.

Un plan de recuperación que termina en "la base de datos ha sido restaurada" ya no responde a esa pregunta. Gambit afirma haber notificado a muchas organizaciones afectadas y haber trabajado con la Shadowserver Foundation y Cloudflare para desmantelar la infraestructura, aunque el operador la ha reconstruido repetidamente y la campaña continúa.

Fuentes:
https://cybersecuritynews.com/ai-agents-retail-credit-card-theft/