En tan solo horas, hackers lograron apoderarse de unas 600,000 tarjetas de crédito
Más de un centenar de firmas internacionales afectadas, unas 600,000 tarjetas de crédito vulneradas y cientos de miles de usuarios perjudicados, es el resultado preliminar de lo que ha sido considerado como el mayor ciberataque registrado en el 2026.
La ofensiva -que le tomó a un solo atacante solo cinco días en perpetrarla a un 100%- se desarrolló mediante la utilización de los agentes de inteligencia artificial Anthropic, DeepSeek, Moonshot y Kimi. Gracias a ello, lograron automatizar el ataque.
Una investigación de Gambit Security, determinó que entre las víctimas se encuentran una multinacional estadounidense del sector hotelero con ingresos anuales superiores a los US$10,000 millones de dólares,
También fue afectada una importante aerolínea estadounidense con ingresos multimillonarios; y una tienda de moda online con ingresos superiores a los 1.000 millones de dólares. También se atacó a varias empresas más pequeñas, como una armería con sede en Minnesota y una tienda de productos de belleza en Illinois.
“El servidor del hacker contenía información de al menos 618.000 tarjetas de crédito, aunque se desconoce si lograron sustraer fondos o utilizarlas para realizar compras. La empresa emergente de ciberseguridad antifraude Overwatch Data analizó la información de las tarjetas de crédito y confirmó que los datos eran únicos y legítimos. Hasta 488.000 de estas tarjetas pertenecían a ciudadanos estadounidenses”, informó Forbes US.
“Se trata de uno de los abusos más graves de la IA con fines de explotación vistos hasta ahora”, dijo Eyal Sela, investigador de ciberseguridad y director de inteligencia de amenazas en Gambit Security, quien descubrió el ataque.
“El ser humano dirige modelos de IA casi totalmente autónomos, que ya son lo suficientemente fuertes como para realizar ciberataques muy sofisticados rápidamente, con una preparación mínima y una altísima tasa de éxito”, añadió.
Por su parte, Anthropic confirmó haber identificado y bloqueado la cuenta utilizada para llevar a cabo los ataques. Ni Deepseek ni Moonshot, creador de Kimi, habían respondido a las solicitudes de comentarios al momento de la publicación.