8.000 dólares y cinco días para atacar a 100 empresas: los agentes de IA desploman el coste del fraude

Un hacker de habla china lanzó una campaña de cinco días usando IA agéntica —modelos con capacidad de ejecutar tareas, no solo de responder— construida sobre Claude (Anthropic), DeepSeek y Moonshot AI, según recoge el boletín de inteligencia OODAloop. Los agentes atacaron a más de cien empresas, sobre todo de comercio minorista, hostelería y sanidad, con un objetivo principal: robar datos de tarjetas de crédito de usuarios. El coste total de desplegar esos agentes fue de unos 8.000 dólares. El impacto real todavía no se ha medido, aunque analistas de seguridad citados en el informe estiman que la campaña pudo llegar a exfiltrar datos de tarjetas de cerca de 600.000 usuarios.

Conviene ser honestos con el material: se trata de un despacho breve, la cifra de víctimas es una estimación de analistas y no un recuento verificado de brechas, y ninguna de las empresas de IA citadas aparece acusada de nada más que de que sus modelos fueron utilizados. Dicho eso, el dato que merece quedarse no es el número de objetivos, sino el presupuesto. Si se toma la estimación alta, 8.000 dólares dividido entre 600.000 tarjetas sale a poco más de un céntimo por registro potencialmente comprometido. Ese es el verdadero titular: el coste marginal de una campaña criminal a escala industrial se ha desplomado hasta el ruido contable.

Hay un segundo detalle que casi nadie subraya y que cambia el diagnóstico defensivo: el atacante no usó un modelo, usó tres, y de proveedores distintos —uno de frontera cerrada, dos de la escena china de pesos abiertos—. Eso significa que las barreras de seguridad de cualquier fabricante individual dejan de ser una defensa efectiva: si un modelo se niega, la tarea se enruta al siguiente. Llevamos meses defendiendo que la apertura de pesos es la gran fuerza democratizadora de esta tecnología, por coste, control y soberanía, y lo seguimos pensando. Pero la misma propiedad que abarata construir un asistente médico local abarata montar una cadena de fraude, y sería deshonesto no decirlo.

Nuestra tesis: el peligro agéntico real no es la superinteligencia lejana, es la automatización del delito ordinario, y este caso es su ejemplo más limpio hasta la fecha. Lo que antes exigía un equipo con habilidades reales durante semanas —reconocimiento, explotación, movimiento lateral, extracción— ahora lo encadena un orquestador barato durante un fin de semana largo. Cuando el coste de intentarlo tiende a cero, la economía del ataque deja de depender de la tasa de éxito: basta con probar en todas partes.

Nuestra lectura, y aquí está la parte accionable: la defensa no puede seguir delegada en los filtros del proveedor de modelos, porque el atacante elige proveedor. Tiene que moverse al lado del objetivo, con medidas poco glamurosas y muy efectivas —tokenización de los datos de tarjeta para que robarlos no sirva de nada, detección de anomalías en el comportamiento de sesión, límites de velocidad, mínimo privilegio en cada integración—. Y a medio plazo la asimetría es reversible: el mismo abaratamiento que hoy favorece al atacante permite a cualquier empresa mediana desplegar una vigilancia continua que antes solo pagaban los bancos. Esa carrera se va a ganar o perder en los próximos años, y la parte optimista de nuestra tesis depende de que el lado defensivo automatice tan rápido como el ofensivo ya lo ha hecho.