Un delincuente usó tres herramientas de IA de código abierto para atacar a cientos de tiendas en línea y otras empresas, informó The Register. Se llevó más de 600.000 registros de tarjetas de crédito e instaló skimmers, scripts que roban los datos de pago en el checkout, y todo a un costo mínimo.

La empresa de seguridad de IA Gambit recuperó el servidor de preparación del operador humano y con ese acceso reconstruyó la campaña. Entre las víctimas hay una empresa hotelera del Fortune 500, una gran aerolínea de Estados Unidos, un gran distribuidor privado de insumos industriales de ese país y una tienda de moda en línea estadounidense.

Entre el 10 y el 15 de septiembre el atacante lanzó al menos 105 ataques y comprometió, "en distintos grados", a por lo menos 27 empresas, escribió Eyal Sela, director de inteligencia de amenazas de Gambit, en una alerta publicada el martes.

El operador, de habla china, usó tres entornos de agentes de IA de código abierto (Strix, Cairn y Hermes) para correr ataques casi autónomos que alcanzaban a "decenas" de empresas por día.

"Donde se logró acceso, por lo general tomó menos de un día, y en muchos casos apenas unas horas", escribió Sela. "También detectamos instrucciones en el manual del atacante que podían interrumpir las operaciones de una empresa por borrado de datos o por procedimientos de limpieza que ejecutaba el agente, y eso efectivamente ocurrió en algunas de las intrusiones".

¿Cuánto costó la campaña?

El operador accedía a los modelos de IA a través de OpenRouter. Según el saldo de su cuenta al 25 de agosto, había gastado 7.005,71 dólares en las cuatro semanas previas. Después siguió atacando otras tres semanas, con el doble de llamadas diarias a los modelos. Gambit calcula que el costo total de la campaña está entre 12.000 y 18.000 dólares.

La propia revisión de costos del operador daba un gasto medio de 25,46 dólares en 101 escaneos completos. El más barato costó 3,13 dólares y el más caro, 79,31.

Hermes, el orquestador

Cada uno de los tres entornos cumplía un papel distinto, y Hermes dirigía la campaña. Es un asistente de IA siempre encendido que ejecuta por su cuenta tareas de varios pasos, maneja flujos de trabajo y puede escribir y editar sus propias habilidades.

El operador cargó en Hermes una personalidad de sistema en chino titulada "SOUL - Red Team Operator", con 121 habilidades. De ellas, 78 eran de ataque. Una incluso eliminaba los filtros de seguridad de contenido del propio entorno.

Hermes corría sobre Claude Opus 4.6, de Anthropic. Gambit informa que los modelos más nuevos rechazaron las solicitudes de ataque. El operador escribió 1.951 instrucciones en chino a lo largo de 260 sesiones. Traducidas, incluyen las siguientes.

  • Ve si la carga de archivos del informe puede dar ejecución de código
  • Lee el informe de vulnerabilidades, prueba primero la contraseña de sudo
  • Lee el informe, ¿hay algo que valga la pena hacer acá?
  • Entra al backend web
  • ¿Puede conseguir ejecución de código?

Strix busca, Cairn entra

El atacante usó Strix, una herramienta abierta de pruebas de penetración, para buscar vulnerabilidades explotables en las organizaciones elegidas. La corrió por OpenRouter primero sobre GLM 5.2 y después sobre DeepSeek v4 Pro. Entre el 23 y el 31 de agosto ejecutó Strix 146 veces en "modo profundo" contra 138 hosts, lo que sumó 633 horas de escaneo en 195 horas de reloj.

Una vez encontradas las vulnerabilidades, Strix le pasaba la siguiente etapa a Cairn, otra herramienta autónoma de pruebas de penetración con IA, que corría sobre DeepSeek v4.1 Flash. Cairn recibe los dominios objetivo y una meta de ataque, como instalar una shell o conseguir acceso de administrador. Luego funciona hasta cumplir el objetivo, hasta que se agota el tiempo o hasta que una persona lo detiene. Entre el 10 y el 15 de septiembre, Cairn lanzó 105 proyectos de ataque.

La IA elegía cada ruta de ataque "en tiempo real mediante sondeos e intentos de explotación extensos, lo que produjo tácticas, técnicas y procedimientos dinámicos y en su mayoría distintos entre las víctimas", escribió Sela.

En un caso, el agente usó una inyección SQL, obtuvo una contraseña de un solo uso en texto plano y entró a un panel web. Desde ahí subió una web shell, escaló privilegios aprovechando una regla de sudo mal configurada y llegó a credenciales de AWS. Terminó volcando 46 secretos que sumaban 102 KB.

Tarjetas y skimmers

En dos de estos ataques casi autónomos, las IA sacaron más de 600.000 registros de tarjetas de crédito de solo dos empresas víctimas.

Inyectar scripts de robo de tarjetas en las páginas de pago de tiendas en línea era otro de los objetivos principales del operador. Según Gambit, el atacante ordenó instalar skimmers contra al menos 27 víctimas identificadas, y los scripts se confirmaron en 19 sitios web. El investigador de seguridad Varys ayudó además a detectar más de 100 sitios infectados vinculados a la campaña. El método más común para instalar el código fue agregarlo al final de un archivo JavaScript existente.

Para Gambit, la campaña muestra cuánto se acortó el plazo que tienen las organizaciones para detectar una intrusión y corregir sus vulnerabilidades.

"Los entornos corrían a un ritmo que ningún operador humano sostiene, con la persona reducida a instrucciones breves entre ejecuciones autónomas", dijo Sela. "Cuando la explotación llega a las pocas horas de la exposición, la velocidad de parcheo deja de ser la única palanca, y la pregunta pasa a ser qué tan rápido se pueden recuperar los servicios de los que depende una empresa".