Hackear 100 webs ya cuesta 50 dólares
Escuchar el artículo · 3:06
Un atacante vulneró más de cien tiendas online con agentes de IA, instrucciones de menos de 100 caracteres y unos 5.000 dólares en tokens.
En este artículo (4)▼
Un atacante de habla china vulneró más de cien tiendas online con agentes de IA guiados por instrucciones de menos de 100 caracteres y un gasto total de unos 5.000 dólares en tokens.
1.200 escaparates tanteados sin que nadie durmiera
La campaña, atribuida al clúster AIA0001, empezó el 25 de septiembre de 2026 contra tiendas de Estados Unidos, Canadá, Australia y Japón, según la exclusiva de Reuters sobre el informe Inside Cairn de la firma NorForge. Los agentes probaron la entrada en más de 1.200 sitios y lograron más de 100 brechas confirmadas, entre ellas páginas vinculadas a Deere, SharkNinja y Cummins, verificadas por la propia Reuters.
El método combina paciencia y puntería. Un pipeline automatizado elegía tiendas reales con entre 200.000 y 1,5 millones de visitas y comprobaba con Playwright, la herramienta de Microsoft, que el comercio aceptaba pedidos antes de atacar. El objetivo típico era lograr ejecución remota de código sin credenciales y plantar una webshell de subida como puerta trasera en la infraestructura de la tienda o sus pagos.
El pirateo a granel tiene precio de menú
NorForge calcula unos 5.000 dólares en tokens para toda la operación, alrededor de 50 dólares por brecha exitosa y unos 5 dólares por tarea contando los fallos, con unas 23 horas de sondeo por intrusión lograda. Solo un 10% de los intentos prosperó, según el análisis de Gizmodo sobre el informe.
El propio NorForge advierte que esas cifras tienen una incertidumbre considerable, así que conviene leer los 50 dólares como orden de magnitud y no como factura. Pero el orden de magnitud ya es la noticia: el coste marginal de intentar reventar una tienda online cayó al nivel de una cena. Los modelos usados aparentan ser una combinación de DeepSeek y Claude Code de Anthropic, aunque falta la respuesta oficial de ambas compañías.
Lo que una tienda pequeña debería cerrar hoy
Brecha confirmada no es robo confirmado. Reuters no pudo establecer el alcance de la extracción de datos: Deere dice no tener indicios de acceso a información sensible, SharkNinja habla de un sitio de soporte aislado ya contenido y Cummins dice seguir investigando con un tercero. La lección práctica está en el vector, no en el botín.
Si gestionas un comercio online, tres cierres baratos reducen el riesgo que este ataque explotó: actualiza el CMS y los plugins de pago sin esperar al próximo sprint, desactiva las subidas de archivos donde no sean imprescindibles y revisa los registros en busca de webshells con nombres raros o archivos modificados fuera de horario. El ataque elegía tiendas con tráfico medio y defensas medias, justo el perfil de quien cree que es demasiado pequeño para ser objetivo.
El atacante también dejó la puerta abierta
El hallazgo llegó por un descuido simétrico: los paneles de control de Cairn quedaron expuestos en internet y NorForge encontró una veintena de instalaciones maliciosas desde el 2 de octubre, con 14 paneles y más de 1.100 proyectos de ataque atribuidos a AIA0001. La misma pereza operativa que deja una tienda sin parchear dejó el cuartel del atacante a la vista.
Todo el caso cuelga de una sola fuente primaria y su verificación parcial, sin confirmación independiente de cada víctima ni detalle de las vulnerabilidades explotadas. Aun así, el precedente queda fijado: cuando el atacante no necesita dormir ni saber mucho, defenderse con calendarios de parcheo trimestrales equivale a no defenderse.
Fuente: reuters.com, norforge.com
