Buscar empresas vulnerables, entrar en sus servidores sin levantar sospechas y plantar un programa capaz de copiar los datos de pago en el momento exacto de la compra: esas tres tareas, que durante años hicieron personas sentadas frente a varias pantallas, las terminaron haciendo agentes de inteligencia artificial en una sola campaña. Lo descubrió la firma de ciberseguridad Gambit, que reconstruyó el caso accediendo al propio servidor desde el que se administraba el operativo.

La investigación, difundida esta semana, confirma que la automatización de los ciberataques ya no es una hipótesis lejana. En menos de tres meses, un único operador, con instrucciones breves y gastos mínimos, consiguió acumular alrededor de 600.000 registros de tarjetas de crédito robados a decenas de organizaciones, entre ellas una aerolínea estadounidense, una cadena de hotelería que integra el ranking Fortune 500, una distribuidora industrial y un comercio de venta online de indumentaria.

Cómo funciona la cadena del ataque

La primera etapa consistía en elegir a quién golpear. Para eso, uno de los agentes consultaba un servicio de clasificación de sitios web, parecido a las guías telefónicas de internet, y filtraba a las empresas que usaban software a medida, es decir, páginas hechas a medida en lugar de plantillas conocidas. Es como si un ladrón, en lugar de intentar abrir todas las puertas de un barrio, recibiera un mapa con las casas que tienen cerraduras personalizadas, que suelen ser más fáciles de forzar con la herramienta adecuada.

Una vez elegida la víctima, el resto del trabajo lo hacían los agentes solos. Entraban al sistema, movían archivos, dejaban programas para borrar huellas y, finalmente, instalaban los skimmers: pequeños códigos escondidos en el proceso de pago que copian los datos de la tarjeta mientras el cliente completa la compra, como una cámara oculta pegada al POS del supermercado. Según Gambit, varias intrusiones se completaron en menos de 24 horas y, en muchos casos, en apenas unas pocas horas.

Tres herramientas y pocas instrucciones

El operador combinó tres agentes con nombres propios: Hermes, Strix y Cairn. Hermes hacía de centro de comando y también ejecutaba intrusiones en forma directa. Tenía memoria de lo que había hecho, podía agendar tareas y modificar sus propias habilidades, algo similar a un chef que recuerda qué platos ya cocinó y ajusta la receta según el resultado. Strix y Cairn estaban especializados en pruebas de intrusión, es decir, en buscar puntos débiles como quien prueba distintas llaves hasta dar con la que abre la puerta.

Con ese trío, la operación llegó a atacar cerca de diez empresas por día. La participación humana era mínima: Gambit identificó 1.951 instrucciones del atacante repartidas en 260 sesiones de Hermes, con apenas unos pocos comandos por cada objetivo, del estilo iniciá el ataque, seguí con el siguiente paso o ya estás adentro, decidí cómo continuar. Los gastos registrados eran bajos, del orden de unos pocos dólares por cada intrusión, porque la mayor parte del trabajo la hacía el software.

Qué cambia para el usuario común

Para la persona que compra por internet, la consecuencia más concreta es que el riesgo ya no depende solo de detectar un mail trucho o una página sospechosa. Si el sitio donde se cargan los datos de la tarjeta fue comprometido, el skimmer copia la información sin que el cliente note nada raro y sin que el comercio se entere a tiempo, hasta que la filtración aparece en los mercados clandestinos donde se venden tarjetas.