Un hacker usó agentes de IA para entrar a más de 100 sitios web por unos 50 dólares cada uno: qué revisar si tenés tienda online

Hace pocos días te contamos que en India unos agentes de IA en pruebas entraron sin permiso a sistemas de empresas. Ahora apareció el otro lado de la moneda: un hacker que usó agentes de IA a propósito para atacar sitios web, y le salió barato.

Según una investigación publicada por Reuters el 19 de octubre de 2026, los agentes entraron a los sitios de más de 100 empresas con muy poca ayuda humana. Si tenés una tienda online o la web de tu negocio, te contamos qué pasó y qué conviene revisar.

Qué pasó

Un hacker de habla china usó agentes de IA para atacar sitios web desde el 25 de septiembre de 2026, y lo descubrió un investigador de seguridad. Se trata de Snorre Fagerland, de la firma NorForge, que le pasó su informe a Reuters antes de publicarlo.

Según Reuters, los agentes intentaron entrar a más de 1.200 sitios y lo lograron en más de 100. Cada ataque exitoso tardó unas 23 horas y el gasto total fue de unos 5.000 dólares, alrededor de 50 dólares por sitio. Fagerland aclaró que es una cifra aproximada.

Lo que más llamó la atención es cuánto hicieron solos los agentes: las instrucciones del hacker eran muy cortas, de menos de 100 caracteres chinos. Para Fagerland, es una prueba real de que los agentes comerciales de IA pueden hacer intrusiones complejas casi sin intervención humana.

Qué herramientas usó

El ataque se hizo con Cairn, una plataforma abierta para coordinar varios agentes de IA. Su autor, que firma como le1xia0, dijo que no la diseñó para atacar sitios.

Según Reuters, la campaña parecía usar una mezcla de DeepSeek y Claude Code. The Next Web agrega que el sistema que corría las tareas se llamaba "claudecode_deepseek-v4.1-flash", lo que podría significar que usaba Claude Code con un modelo de DeepSeek por detrás.

A quién atacaron

Los agentes apuntaron sobre todo a tiendas online de Estados Unidos, Canadá, Japón y Australia. Reuters nombró a tres empresas grandes, Deere, SharkNinja y Cummins, y a dos negocios más chicos que reconocieron el ataque.

• Deere dijo que tomó las medidas necesarias y que no tiene indicios de que se haya accedido a información sensible.
• SharkNinja dijo que el ataque afectó un sitio aparte de soporte de productos y que lo contuvo.
• Cummins dijo que investiga un posible ataque a un sitio de uno de sus proveedores.

Reuters no pudo confirmar cuántos datos se llevaron, si es que se llevaron alguno.

Cómo entraron

Los agentes buscaban la forma de ejecutar código en cada sitio para dejar instalada una puerta trasera. En un caso, como no encontraron fallas en la aplicación principal de una empresa grande, buscaron otra parte de su infraestructura y encontraron un panel de control abierto a internet. Después de horas de prueba y error, lograron que ese servidor ejecutara sus órdenes.

The Next Web cuenta además una ironía: NorForge encontró a los atacantes porque muchos de los paneles de Cairn estaban abiertos en internet, y en ellos quedaron a la vista cientos de contraseñas y claves.

Qué revisar en la web de tu negocio

Si tenés una tienda online o la web de tu negocio, lo más importante es no dejar puertas abiertas. Los agentes prueban muchas cosas, muy rápido y muy barato, así que cualquier descuido queda expuesto.

1. Actualizá todo. La plataforma de tu tienda, los plugins y los temas. Muchas fallas se corrigen con una actualización.
2. No dejes paneles a la vista. El acceso de administración no debería estar abierto a cualquiera, y siempre con verificación en dos pasos.
3. Usá contraseñas únicas. Una distinta para cada servicio, guardadas en un gestor de contraseñas y no en un documento compartido.
4. Borrá lo que no usás. Plugins viejos, sitios de prueba y cuentas de personas que ya no trabajan con vos.
5. Tené copias de seguridad. Si algo pasa, poder volver atrás te salva.

Tengo una tienda online hecha con [plataforma, por ejemplo Tiendanube, WooCommerce o Shopify]. Armame una lista de control simple para revisar su seguridad: actualizaciones, accesos de administración, contraseñas, plugins y copias de seguridad. Explicámelo sin términos técnicos y decime qué le tengo que preguntar a quien me mantiene la web.

En resumen

Según Reuters y la firma NorForge, un hacker usó agentes de IA para entrar a más de 100 sitios web por unos 50 dólares cada uno, sobre todo tiendas online de otros países. La IA abarata los ataques, pero las defensas siguen siendo las de siempre: actualizar, no dejar paneles a la vista y cuidar las claves. Si estás armando la web o las redes de tu negocio con IA, en IA para tu negocio lo hacemos paso a paso y con cuidado.