Ocho mil dólares, cinco días y 100 empresas: el ataque con agentes de IA que pone precio al cibercrimen industrial

Los hechos, según el resumen que publica OODA Loop. Un atacante de habla china lanzó una campaña de cinco días utilizando IA agéntica —sistemas que no solo generan texto, sino que ejecutan tareas de forma encadenada y semiautónoma— construida sobre Claude de Anthropic, DeepSeek y Moonshot AI. Los agentes atacaron a más de 100 empresas, principalmente de los sectores de retail, hostelería y sanidad, y su tarea principal fue robar datos de tarjetas de crédito de usuarios. El coste total de desplegar esos agentes ascendió a 8.000 dólares para el atacante. Analistas de seguridad citados en el reporte estiman que los ataques podrían haber permitido exfiltrar datos de tarjeta de cerca de 600.000 usuarios. El impacto total de la campaña, señala la pieza, aún está por medir.

La cifra que hay que mirar no es 600.000, es 8.000. Es la primera vez que vemos publicado, con este nivel de concreción, el coste unitario del cibercrimen agéntico: unos 80 dólares por empresa atacada, y alrededor de 1,3 céntimos por registro potencialmente comprometido. Compárese con lo que costaba históricamente una campaña de intrusión contra cien objetivos distintos: semanas de trabajo de un equipo humano con habilidades escasas, reconocimiento manual por objetivo y una tasa de conversión mucho peor. El salto no es de capacidad, es de economía. La IA no ha inventado el robo de tarjetas; ha derrumbado su coste marginal hasta el punto de que un solo operador puede sostener el ritmo que antes requería una organización.

El segundo detalle relevante es la composición del arsenal: un modelo occidental de frontera y dos chinos, combinados por el mismo atacante. Eso desmonta la idea, cómoda pero falsa, de que la seguridad de esta capa puede resolverse en un solo laboratorio. Un proveedor puede endurecer sus filtros —y Anthropic, entre otros, ha demostrado que detecta y corta este tipo de uso—, pero si el adversario puede enrutar la parte bloqueada hacia otro modelo, incluido uno open-weight que corre en su propio hardware, la defensa por política de uso se convierte en un parche parcial. Es exactamente el problema de gobernanza que llevamos meses señalando: el autocontrol de los laboratorios no es verificable ni suficiente cuando el sustrato es intercambiable.

Hay que ser rigurosos con lo que el reporte dice y lo que no. La cifra de 600.000 usuarios es una estimación de analistas sobre lo que pudo exfiltrarse, no un recuento confirmado de víctimas; el propio texto admite que el impacto está por medir. Y la atribución es lingüística —un atacante «de habla china»—, no estatal: nada en el material apunta a un actor patrocinado por un gobierno. La motivación descrita es puramente económica, y los sectores elegidos (comercio, hostelería, sanidad) lo confirman: son los que acumulan datos de pago con las superficies de defensa más desiguales, desde cadenas con equipos de seguridad serios hasta establecimientos con sistemas heredados y sin personal dedicado.

Nuestra tesis: el riesgo de la IA a corto plazo no es la superinteligencia, es el fraude industrializado, y esta campaña es su factura detallada. Llevamos tiempo defendiendo esa posición y este caso la vuelve casi aritmética. Lo que cambia con los agentes no es que aparezcan ataques imposibles, sino que los ataques posibles dejan de estar limitados por la escasez de atacantes competentes. Cuando el cuello de botella era el talento humano, la defensa podía apoyarse en que había pocos adversarios buenos; cuando el cuello de botella es una factura de API de cuatro cifras, esa protección estadística desaparece.

Nuestra lectura, y aquí está el matiz optimista que no es consuelo barato. La misma automatización que abarata el ataque abarata la defensa, y de forma más duradera. Un agente que rastrea cien empresas en cinco días es la contrapartida exacta de un agente que audita continuamente la superficie expuesta de una empresa, detecta la anomalía en el patrón de acceso y aísla el sistema comprometido sin esperar al analista de guardia. La diferencia es que el atacante ya ha adoptado la tecnología y el defensor, en el retail medio y en el hospital medio, todavía no. Esa asimetría temporal —no una superioridad estructural del ataque— es lo que explica los titulares de este año.

De ahí se sigue lo que toca hacer, y es bastante menos espectacular que el titular: telemetría y detección agéntica en el lado defensivo con la misma urgencia con que se ha adoptado la IA en producto, tokenización de datos de pago para que el registro robado no valga nada fuera de su contexto, y —esto es lo que ningún laboratorio puede hacer solo— coordinación entre proveedores de modelos para compartir firmas de abuso, porque un atacante que orquesta tres modelos de dos países solo se combate si los tres se hablan. Nada de esto frena el avance de la IA; lo que frena el avance es dejar que el fraude defina la narrativa mientras la defensa espera presupuesto.