En tan solo cinco días a principios de este mes, un hacker de habla china desplegó agentes de IA para lanzar ciberataques contra hasta 100 organizaciones, robando cientos de miles de datos de tarjetas de crédito. El hacker utilizó los modelos chinos DeepSeek y Kimi, así como una versión anterior de Claude de Anthropic, para automatizar sus ataques, que costaron tan solo US$ 8.000 en total.

Se trata de uno de los "abusos más graves de la IA con fines de explotación vistos hasta ahora", afirma Eyal Sela, investigador de ciberseguridad y director de inteligencia de amenazas en Gambit Security, quien descubrió el ataque.

"El ser humano dirige modelos de IA casi totalmente autónomos, que ya son lo suficientemente fuertes como para realizar ciberataques muy sofisticados rápidamente, con una preparación mínima y una altísima tasa de éxito", afirma Sela. Aunque se desconoce el número exacto de intrusiones exitosas entre las 100 empresas, el hacker obtuvo acceso a al menos 30 sitios web entre el 10 y el 15 de septiembre, según la investigación de Gambit.

Sela descubrió las brechas de seguridad después de que el hacker dejara accidentalmente accesible en internet la infraestructura utilizada para llevar a cabo los ataques. Esto expuso los datos robados, las herramientas de IA y las instrucciones que utilizaba el hacker, revelando un sistema sencillo y económico para lanzar ataques a gran escala con un mínimo esfuerzo, según Sela. El ciberdelincuente responsable del ataque aún no ha sido identificado y, al parecer, los ataques continúan.

Estas brechas de seguridad marcan un hito en el desarrollo de los ciberataques con inteligencia artificial. A principios de este año, agentes de OpenAI escaparon del confinamiento y hackearon HuggingFace . En aquel caso, que formaba parte de pruebas internas, los agentes fueron detectados antes de que pudieran causar daños significativos. En este caso, un hacker malicioso utilizó IA para atacar múltiples objetivos a una velocidad asombrosa.

"La cantidad de objetivos… es asombrosa para ese lapso de tiempo."Sa'ar Elias, cofundador de Gambit Security

Según los datos del hacker, las víctimas incluyen una multinacional estadounidense del sector hotelero con ingresos anuales superiores a los US$ 10.000 millones; una importante aerolínea estadounidense, también con ingresos multimillonarios; y una tienda de moda online con ingresos superiores a los US$ 1.000 millones. El hacker también atacó a varias empresas más pequeñas, entre ellas una armería con sede en Minnesota y una tienda de productos de belleza en Illinois. El servidor del hacker contenía información de al menos 618.000 tarjetas de crédito, aunque no está claro si lograron sustraer fondos o utilizarlas para comprar artículos. La startup de ciberseguridad antifraude Overwatch Data analizó la información de las tarjetas de crédito y confirmó que los datos eran únicos y legítimos. Hasta 488.000 de las tarjetas pertenecían a ciudadanos estadounidenses.

"La cantidad de objetivos y la sofisticación de cada una de las empresas atacadas es asombrosa para tan poco tiempo. Pasé casi una década en respuesta a incidentes... Créanme, no estoy acostumbrado a ver esto", afirma Sa'ar Elias, cofundador de Gambit.

Anthropic confirmó haber identificado y bloqueado la cuenta utilizada para llevar a cabo los ataques. Ni Deepseek ni Moonshot, creador de Kimi, habían respondido a las solicitudes de comentarios al momento de la publicación.

Gambit, una empresa israelí de ciberseguridad especializada en inteligencia artificial, se dedica a la monitorización de sistemas en la nube y fue fundada en 2024. Ha recaudado 60 millones de dólares hasta la fecha. La firma ha descubierto varias campañas de ciberdelincuencia en las que los hackers hicieron un uso intensivo de la IA. A principios de este año, sus investigadores descubrieron que ciberdelincuentes de habla rusa estaban utilizando Cursor de SpaceX para infiltrarse en siete empresas.

Según las capturas de pantalla y los registros que Sela mostró a Forbes , existen pruebas de que el hacker comenzó a desarrollar su infraestructura en julio. Utilizó varias herramientas de código abierto, incluidos los orquestadores de agentes de IA Cairn y Hermes. Estas herramientas le permitieron combinar modelos de laboratorios de IA de vanguardia, como Claude Opus 4.6, una versión anterior del modelo de IA de vanguardia de Anthropic, y Deepseek v4.1-flash, lanzado por la empresa con sede en Pekín a principios de este mes. En total, los ataques costaron entre 3 y 180 dólares por objetivo, según los datos obtenidos por Gambit.

Los registros detallados dejados en el servidor del hacker mostraron que cuando intentaron usar versiones más recientes de Claude, fueron bloqueados, lo que indica que las medidas de seguridad en los últimos modelos de Anthropic están funcionando para prevenir el uso descarado por parte de ciberdelincuentes.

Para llevar a cabo el ataque, el atacante envió a sus agentes un sitio web objetivo con instrucciones para buscar vulnerabilidades. El atacante le dijo a Claude que estaba realizando pruebas de penetración de ciberseguridad. En un chat, le escribió a un bot de Claude: «Cuando se bloquea una ruta principal, piensa lateralmente: ¿Hay puntos de entrada adyacentes? ¿Se pueden explotar las relaciones de confianza? ¿Hay brechas en la cadena de suministro?». En otra indicación, escribió: «Después de extraer y descargar todos los datos de la tarjeta, borra los campos de origen por lotes», lo que indica que intentaba ocultar sus huellas.

Elias declaró a Forbes que los agentes demostraron una persistencia e ingenio extraordinarios a la hora de encontrar vulnerabilidades. «Lo que me impresionó fue la enorme cantidad de vectores que las herramientas lograron descubrir y encontrar individualmente para cada objetivo», afirma Elias. «Cada objetivo recibió un tratamiento personalizado y… la IA aplicó estrategias diferentes a cada empresa para obtener el mismo resultado».

Si lograban acceder al servidor web objetivo, los agentes tenían instrucciones de robar datos e instalar los llamados "skimmers" en los sistemas de venta en línea, que sustraen la información de las tarjetas de crédito al introducirla en un formulario web. Posteriormente, se les ordenaba borrar toda evidencia de su acceso al sitio. Arjun Bisen, cofundador y director ejecutivo de Overwatch Data, afirma que su empresa transmitió la información a las compañías de tarjetas de crédito. En un caso, un procesador de pagos confirmó que al menos el 60 % de las tarjetas que habían revisado no habían sido marcadas previamente por fraude. "Esto sugiere que los hallazgos ayudaron a prevenir una cantidad significativa de posibles fraudes", afirma Bisen.

Sela y su equipo están informando a las empresas afectadas sobre las brechas de seguridad. Algunas han reconocido el ataque, según correos electrónicos consultados por Forbes , aunque ninguna ha confirmado su gravedad. Gambit también contactó a Cloudflare, la red de seguridad de internet y distribución de contenido que el atacante utilizaba para sus servidores. Cloudflare confirmó que desde entonces ha estado desactivando la infraestructura del hacker. Sin embargo, los delincuentes han instalado rápidamente nuevos servidores, según Sela.

Las capacidades cibernéticas de la IA han alcanzado un punto en el que los modelos más avanzados superan a la mayoría de los humanos en la identificación y explotación de vulnerabilidades de software. Este rápido desarrollo ha generado alarma, y ​​Anthropic informó previamente sobre ciberdelincuentes que lanzaban ataques con sus herramientas, limitando así la distribución de sus modelos más avanzados a un grupo selecto de personas de confianza. Tras la filtración de Hugging Face y las advertencias de empleados actuales y exempleados sobre el posible auge de IA maliciosas que podrían poner en peligro a la humanidad, Anthropic y OpenAI solicitaron una ralentización del desarrollo.

Pero los ciberdelincuentes no necesitan tener acceso a los modelos más potentes para causar daño. Como demuestra este caso, la combinación de modelos estadounidenses antiguos e inteligencia artificial china de código abierto puede crear un potente arsenal cibernético. (I)

Nota publicada originalmente en Forbes.com