Agentes de IA roban tarjetas de forma autónoma en 100+ empresas: la ciberamenaza que Amodei y Altman ya daban por hecha

Por El Ecosistema Startup · 23 de septiembre de 2026.

Un esquema de ciberataque automatizado comprometió más de 100 empresas y dejó skimmers —código malicioso que intercepta los datos de la tarjeta en el momento del pago— activos en 19 víctimas confirmadas. Según el informe citado por El Ecosistema Startup, la operación fue atribuida por los investigadores a actores vinculados a China y funcionó como una cadena autónoma: un agente recibe una URL, escanea vulnerabilidades, entra en el sistema, extrae los registros de pago e instala el skimmer, todo sin que un humano intervenga entre un paso y el siguiente. En al menos dos casos documentados, los agentes ejecutaron además rutinas de limpieza que borraron los logs de acceso y las tablas de respaldo de las propias víctimas, lo que complica tanto la investigación forense como la notificación regulatoria posterior.

No es un hecho aislado. El antecedente más citado es de julio de 2026: según reportó CNN, un sistema que coordinaba hasta ocho agentes de IA ejecutó en cuatro días una campaña contra agencias del gobierno de Taiwán, mapeó 21 sistemas, crackeó 85 cuentas y extrajo 2.500 registros de personal. La firma israelí Dream, que descubrió el ataque, lo describió como el primer caso documentado de intrusión totalmente autónoma contra un gobierno, y resumió el cambio de era con una frase que conviene retener: el coste de lanzar un ataque competente se ha desplomado, pero el de defenderse no.

La noticia llega, además, en la misma semana en que Dario Amodei (CEO de Anthropic) advirtió, según recogió El País, de un escenario a seis o doce meses vista en el que un enjambre de agentes podría tomar el control de segmentos enteros de internet. Sam Altman (OpenAI) fue en la misma línea: dijo no ver lejano el momento en que existan modelos de pesos abiertos capaces de causar daños graves. Conviene separar aquí dos planos: lo de las 100 empresas y lo de Taiwán es capacidad ya demostrada, con víctimas y forense de por medio; el horizonte de Amodei y Altman es una proyección de quienes, dicho sea de paso, venden la tecnología que describen como amenaza. Que la advertencia venga de dentro no la invalida, pero tampoco la convierte en hecho consumado.

Lo que sí hay son datos de tráfico real. Un análisis de Check Point y Lakera AI Security sobre el cuarto trimestre de 2025 encontró que el 60% de los intentos de ataque contra agentes de IA buscaba extraer el prompt del sistema (las instrucciones internas que gobiernan su comportamiento), un 20% intentaba evadir controles de seguridad y un 12% se quedaba en fase de reconocimiento. El dato importante no es el porcentaje en sí, sino lo que revela: el vector de ataque ya no es la respuesta que da el modelo, es todo su flujo de razonamiento, y las reglas de detección pensadas para comportamiento humano —horarios, geolocalización, velocidad de tecleo— pierden validez frente a un agente que prueba variantes hasta encontrar la que funciona.

El mercado ya lo está descontando. Según Cinco Días, la semana previa a conocerse el caso, Zscaler subió un 20% en cinco sesiones, CrowdStrike un 18%, SentinelOne un 17%, SailPoint un 14%, Tenable un 13%, Palo Alto Networks y Okta un 11% cada una, y Fortinet un 10%. En seis meses, CrowdStrike y Palo Alto Networks más que duplicaron su valor y rozan capitalizaciones de 250.000 y 300.000 millones de dólares respectivamente. Bloomberg Intelligence sostiene que la verificación de identidad de agentes y el seguimiento a nivel de agente se están consolidando como prioridad de gasto, y la actividad corporativa lo respalda: 426 operaciones de fusión y adquisición en ciberseguridad en 2025 por 92.500 millones de dólares (un 82% más que el año anterior), con cerca de 200 transacciones ya registradas a mediados de junio de 2026. Ahí encajan la compra de Wiz por Google (32.000 millones) y la de CyberArk por Palo Alto Networks (25.000 millones): ambas apuntan a asegurar el mismo terreno, el stack donde ya conviven humanos y agentes con permisos.

Nuestra lectura es que este caso confirma una asimetría que llevamos meses señalando: la ofensiva agéntica ya es autónoma y prácticamente gratis de escalar —una lista de URLs y un día de espera—, mientras la defensa sigue reaccionando después del hecho, desplazándose al runtime y al comportamiento porque el perímetro clásico ya no sirve. Para una startup que cobra online, la pregunta relevante deja de ser si la van a atacar y pasa a ser cuánto tarda en enterarse y cuánto pierde mientras tanto; medidas básicas como separar el bot de pagos del checkout en logs y backups, o activar MFA (verificación en dos pasos) sin excepciones en el acceso a la pasarela de pago, ya no son opcionales.

A la vez, esta misma capacidad —agentes que actúan en cadena, sin supervisión constante, sobre sistemas complejos— es la que sostiene la promesa de largo plazo que defendemos: automatizar el descubrimiento de fármacos, acelerar la investigación científica, liberar trabajo humano hacia lo que de verdad importa. El problema no es la autonomía en sí, es que hoy se despliega más rápido en el ataque que en la protección. La respuesta razonable no es frenar la tecnología, es lo que el mercado ya está haciendo con su dinero: tratar la seguridad de agentes como se trató la nube hace una década, como infraestructura crítica y no como partida de gasto residual. Es la parte incómoda de la transición que no conviene maquillar, precisamente para que la abundancia que viene después no se construya sobre cimientos rotos.