Un ciberdelincuente utilizó agentes de IA para atacar más de 100 empresas, logrando robar más de 600.000 registros de tarjetas de crédito con un coste mínimo, demostrando cómo la IA automatiza y escala los ciberataques reduciendo la intervención humana.

Ciberdelincuente utiliza agentes de IA para el robo masivo de tarjetas bancarias

La firma de seguridad Gambit Security ha revelado el descubrimiento de una operación cibernética donde un solo atacante utilizó herramientas de inteligencia artificial para vulnerar a decenas de empresas. El descubrimiento ocurrió fortuitamente, ya que el criminal dejó expuestos sus propios servidores de coordinación.

En tan solo cinco días, el atacante dirigió agentes de IA contra más de 100 organizaciones, logrando comprometer al menos 27 de ellas. Como resultado, se robaron más de 600.000 registros de tarjetas de crédito, la gran mayoría pertenecientes a ciudadanos de Estados Unidos. Lo más alarmante es que el costo operativo fue mínimo: apenas 25 dólares en servicios de IA por cada empresa objetivo.

Para ejecutar estos ataques, el delincuente empleó un ecosistema de tres herramientas principales:

• Hermes: Un agente autónomo configurado con una personalidad de "Operador de Red Team" que coordinaba las acciones y eliminaba filtros de seguridad.
• Strix: Utilizada para realizar escaneos profundos y pruebas de penetración masivas.
• Cairn: Un motor autónomo diseñado para obtener accesos de administrador o shells en los dominios objetivo.

El operador coordinaba todo el proceso mediante instrucciones breves en chino, delegando la ejecución técnica a los modelos de IA (incluyendo versiones de Claude y modelos chinos). Esta metodología permitió automatizar la instalación de código malicioso en numerosas tiendas online para capturar datos financieros.

Este caso evidencia que la IA ha reducido drásticamente los costos y el tiempo necesarios para lanzar ataques a gran escala, elevando el riesgo para cualquier comercio electrónico. A pesar de los esfuerzos de Cloudflare y la Fundación Shadowserver por desactivar la infraestructura, se sospecha que la actividad maliciosa aún persiste.

Fuente: Gambit | Forbes.com