Utilizó inteligencia artificial para atacar a más de 100 empresas y robó 600.000 números de tarjetas de crédito

n apenas cinco días, a principios de este mes, un hacker lanzó ciberataques contra hasta 100 empresas con agentes de IA y robó datos de cientos de miles de tarjetas de crédito. Para automatizar la operación, utilizó los modelos DeepSeek y Kimi, ambos de origen chino, además de una versión anterior de Claude de Anthropic. Todo el ataque costó apenas US$ 8.000.

Se trata de uno de los "abusos más graves de la IA con fines de explotación vistos hasta el momento", afirmó Eyal Sela, investigador de ciberseguridad y director de inteligencia de amenazas de Gambit Security, quien descubrió el ataque.

"El ser humano dirige modelos de IA casi totalmente autónomos, que ya son lo suficientemente fuertes como para realizar ciberataques muy sofisticados con rapidez, con una preparación mínima y una altísima tasa de éxito", afirmó Sela. Aunque se desconoce cuántos ataques tuvieron éxito entre las 100 empresas, el hacker consiguió acceso a por lo menos 30 páginas web entre el 10 y el 15 de septiembre, según la investigación de Gambit.

Sela descubrió las brechas de seguridad después de que el hacker dejó expuesta en internet, por error, la infraestructura que utilizó para ejecutar los ataques. Así quedaron al descubierto los datos robados, las herramientas de IA y las instrucciones que utilizó el hacker. El hallazgo mostró un sistema sencillo y económico capaz de lanzar ataques a gran escala con muy poco esfuerzo. El ciberdelincuente todavía no fue identificado y, al parecer, los ataques continúan.

Estas brechas de seguridad marcaron un punto de inflexión en el desarrollo de los ciberataques con IA. A principios de este año, agentes de OpenAI salieron de un entorno de prueba aislado y hackearon Hugging Face, una plataforma muy utilizada por desarrolladores para alojar y probar modelos de IA. En aquel caso, que formó parte de las pruebas internas, los agentes fueron detectados antes de causar daños importantes. Esta vez, en cambio, un hacker malicioso usó IA para atacar múltiples objetivos a una velocidad inusual.

"La cantidad de objetivos… es asombrosa para ese lapso de tiempo". Sa'ar Elias, cofundador de Gambit Security.

Entre las víctimas figuran una multinacional estadounidense del sector hotelero con ingresos anuales superiores a US$ 10.000 millones; una importante aerolínea de ese país, también con ingresos multimillonarios; y un local de ropa online con ingresos superiores a US$ 1.000 millones. El hacker también atacó a varias empresas más pequeñas, entre ellas una armería con sede en Minnesota y un local de productos de belleza en Illinois. 

El servidor del ciberdelincuente contenía información de al menos 618.000 tarjetas de crédito, aunque no está claro si consiguió extraer fondos o usar esos datos para comprar productos. La startup de ciberseguridad Overwatch Data analizó la información y confirmó que correspondía a tarjetas reales y que no se trataba de registros duplicados.

"La cantidad de objetivos y la sofisticación de cada una de las empresas atacadas es asombrosa para tan poco tiempo. Pasé casi una década en respuesta a incidentes... Créanme, no estoy acostumbrado a ver esto", afirmó Elias.

Anthropic confirmó que identificó y bloqueó la cuenta utilizada para perpetrar los ataques. Ni DeepSeek ni Moonshot AI, la empresa creadora de Kimi, respondieron a las consultas al momento de la publicación.

Gambit, una empresa israelí de ciberseguridad especializada en inteligencia artificial, se dedica al monitoreo de sistemas en la nube y nació en 2024. Desde entonces, recaudó US$ 60 millones. La firma descubrió varias campañas de ciberdelincuencia en las que los hackers recurrieron de manera intensiva a la IA. A principios de este año, sus investigadores detectaron que ciberdelincuentes de habla rusa usaron Cursor para infiltrarse en siete empresas.

Según las capturas de pantalla y los registros que Sela mostró a Forbes, hay pruebas de que el hacker comenzó a desarrollar su infraestructura en julio. Para hacerlo, recurrió a varias herramientas de código abierto, entre ellas los orquestadores de agentes de IA Cairn y Hermes, que permiten coordinar distintos agentes y modelos para que ejecuten tareas de manera organizada. 

Con estas herramientas pudo integrar modelos de algunos de los principales laboratorios de IA, como Claude Opus 4.6, una versión anterior de uno de los modelos más avanzados de Anthropic, y DeepSeek v4.1-flash, presentado por la empresa con sede en Pekín a principios de este mes. Según los datos obtenidos por Gambit, cada ataque costó entre US$ 3 y US$ 180 por objetivo.

Los registros detallados que quedaron en el servidor del hacker mostraron que, cuando intentó usar versiones más recientes de Claude, el sistema las bloqueó. Esto indica que las medidas de seguridad incorporadas en los últimos modelos de Anthropic funcionan para impedir un uso tan evidente por parte de ciberdelincuentes.

Para ejecutar el ataque, el hacker asignó a sus agentes un sitio web como objetivo y les dio instrucciones para buscar vulnerabilidades. Además, le dijo a Claude que realizaba pruebas de penetración, una práctica conocida como pentesting que busca detectar fallas de seguridad antes de que un atacante las aproveche. 

En un chat, le escribió a un bot de Claude: "Cuando se bloquea una ruta principal, piensa lateralmente: ¿Hay puntos de entrada adyacentes? ¿Se pueden explotar las relaciones de confianza? ¿Hay brechas en la cadena de suministro?". En otra indicación, escribió: "Después de extraer y descargar todos los datos de la tarjeta, borra los campos de origen por lotes". Esto sugiere que intentó borrar sus huellas.

Elias declaró a Forbes que los agentes demostraron una persistencia y un ingenio extraordinarios al encontrar vulnerabilidades. "Lo que me impresionó fue la enorme cantidad de vectores que las herramientas lograron identificar y localizar de forma individual para cada objetivo", afirmó. "Cada objetivo recibió un tratamiento personalizado y… la IA aplicó estrategias distintas a cada empresa para obtener el mismo resultado", agregó.

Si conseguían acceder al servidor web elegido, los agentes tenían instrucciones para robar datos e instalar los llamados "skimmers", programas maliciosos que capturan la información de las tarjetas de crédito cuando una persona la ingresa en un formulario web, en los sistemas de venta online. Después, debían borrar cualquier evidencia de su acceso al sitio. 

Arjun Bisen, cofundador y CEO de Overwatch Data, afirmó que su empresa envió la información a las compañías de tarjetas de crédito. En uno de los casos, un procesador de pagos confirmó que al menos el 60% de las tarjetas revisadas no figuraban, hasta ese momento, como afectadas por fraude. "Esto sugiere que los hallazgos contribuyeron a prevenir una cantidad significativa de posibles fraudes", remarcó.

Sela y su equipo avisaron a las empresas afectadas sobre las brechas de seguridad. Algunas reconocieron el ataque, según los emails consultados por Forbes, aunque ninguna confirmó su gravedad. Gambit también contactó a Cloudflare, la empresa que presta servicios de seguridad y de distribución de contenido en internet, cuya infraestructura usó el atacante para alojar sus servidores. La compañía confirmó que comenzó a desactivar los sistemas vinculados al hacker. Sin embargo, los delincuentes instalaron nuevos servidores con rapidez.

Este avance acelerado encendió las alarmas. Anthropic ya informó sobre ciberdelincuentes que usaron sus herramientas para lanzar ataques y, como respuesta, restringió la distribución de sus modelos más avanzados a un grupo reducido de usuarios autorizados. Después del incidente de Hugging Face y de las advertencias de empleados y exempleados sobre el posible desarrollo de sistemas de IA maliciosos capaces de poner en riesgo a la humanidad, Anthropic y OpenAI pidieron desacelerar el ritmo de desarrollo.

Sin embargo, los ciberdelincuentes no necesitan acceder a los modelos más potentes para causar daños. Como mostró este caso, el uso conjunto de modelos estadounidenses más antiguos e IA china de código abierto puede darles a los ciberdelincuentes herramientas suficientes para automatizar ataques complejos a gran escala

*Esta nota fue publicada originalmente en Forbes.com.