Un operador usa agentes de IA para infectar 119 webs con skimmers y robar 600.000 tarjetas

Un atacante con motivación económica ha montado una cadena de ataque con tres agentes de IA de código abierto y ha robado más de 600.000 registros de tarjetas de crédito en cientos de comercios online. La campaña llevaba activa desde al menos julio y seguía en marcha el 22 de septiembre. En solo cinco días comprometió al menos 27 empresas y lanzó más de 100 ataques.

Los datos son del análisis de Gambit, una startup de seguridad que consiguió acceso a un servidor de staging del atacante y recuperó evidencia directa del operativo. En total, 119 sitios web han quedado con skimmers de tarjetas inyectados. Entre las víctimas hay una empresa de hostelería del Fortune 500, una aerolínea grande de Estados Unidos, un distribuidor industrial y un minorista de moda online.

Tres herramientas y un operador

El operador, que según los investigadores parece chino, da instrucciones breves y deja que los agentes hagan el resto. Strix es el framework de pentesting: escanea y busca vulnerabilidades. Cairn es el motor de explotación autónoma, encargado de conseguir una shell o acceso de administrador. Hermes orquesta la campaña, toma decisiones tácticas y dirige el post-explotación apoyándose en claude-opus-4.6. Ojo con el nombre de Cairn: no tiene nada que ver con la herramienta homónima de análisis de malware que Cisco Talos publicó el día anterior.

Entre el 23 y el 31 de agosto, Strix se ejecutó 146 veces contra 138 hosts y acumuló 633 horas de escaneo. Hermes lleva una persona ficticia ("SOUL - Red Team Operator") y 121 skills, 78 de ellas relacionadas con ataque. Del 10 al 15 de septiembre el atacante lanzó 105 oleadas distintas y tuvo éxito, en distinto grado, en al menos 27.

Para inyectar los skimmers usó lo que tuviera a mano según el acceso y la arquitectura de cada sitio: añadir código malicioso a ficheros JavaScript legítimos, meter etiquetas script en páginas de pago o en bloques de Google Tag, envenenar contenido en S3/CDN y cachés de servidor, tocar campos de base de datos, modificar despliegues de Kubernetes o dejar cron jobs que reinstalan el skimmer después de borrarlo. Para elegir objetivos tiró de un servicio de ranking de tráfico web y priorizó los que corrían software propio, presumiblemente porque son más propensos a acumular fallos.

El coste: 25 dólares por víctima

Gambit encontró una cuenta de OpenRouter con 7.005,71 dólares gastados en unas cuatro semanas a 25 de agosto. Con el uso posterior, estiman entre 12.000 y 18.000 dólares en total, unos 25 por objetivo. "Repartido entre las empresas atacadas, es un coste marginal de unos pocos dólares a unas pocas decenas de dólares por compañía atacada", explica la empresa. El propio recuento del operador da una media de 25,46 dólares sobre 101 escaneos completados, desde 3,13 dólares el objetivo más barato hasta 79,31 el más caro.

Hay un detalle que conviene tener en cuenta al defender: el agente tiene instrucciones de limpiar. Uno de los ficheros de skills de Hermes contiene esta orden literal:

After extracting and downloading all card data, wipe the source fields in batches.

Es decir, borra los campos de tarjeta en las bases de datos Magento después de exfiltrarlos. Eso ha provocado pérdidas de datos y cortes operativos en varios comercios, y los investigadores advierten de que la defensa tiene que contemplar ese escenario, no solo el robo.