CARLIY0S: cuando la inteligencia artificial escala los ataques contra el sector financiero en Latinoamérica
La inteligencia artificial ya no solo está ayudando a las empresas a automatizar procesos.
También está siendo incorporada por grupos de ciberdelincuencia para analizar objetivos, generar código, encontrar vulnerabilidades y coordinar operaciones ofensivas a mayor velocidad.
Una investigación publicada por Straiker el 21 de octubre de 2026 documenta el caso de CARLIY0S, un sistema utilizado presuntamente por CyberCartel para coordinar ataques contra más de 400 objetivos financieros de Latinoamérica, incluyendo bancos, fintech y proveedores de servicios de pago.
El reporte también identifica referencias específicas a México, entre ellas credenciales relacionadas con infraestructura de pagos y números de cuenta CLABE.
El dato importante no es únicamente el número de objetivos.
Es cómo la inteligencia artificial está cambiando la forma en que pueden organizarse los ataques.
De usar IA como herramienta a convertirla en parte de la operación
Hasta hace poco, hablar de inteligencia artificial en ciberdelincuencia normalmente significaba utilizarla para escribir correos de phishing, generar código o analizar información.
CARLIY0S muestra un modelo diferente.
Según Straiker, el grupo construyó una arquitectura en la que diferentes modelos de IA asumían funciones especializadas dentro de la operación.
Algunos analizaban infraestructura, otros buscaban posibles vectores de ataque y otros generaban o evaluaban código.
La decisión final podía ser revisada por otro agente que funcionaba como árbitro entre las distintas propuestas.
Esto representa una evolución importante:
la IA deja de ser una herramienta aislada y comienza a funcionar como parte de un sistema coordinado.
Más velocidad, más objetivos y menos intervención humana
Uno de los principales beneficios que la automatización ofrece a los atacantes es la escala.
Un equipo humano tiene límites claros sobre cuántas organizaciones puede analizar simultáneamente.
Un sistema automatizado puede revisar infraestructura, analizar aplicaciones y priorizar posibles vectores de ataque de forma mucho más rápida.
Straiker señala que CARLIY0S habría permitido a sus operadores trabajar sobre más de 400 objetivos financieros en cuestión de meses.
Esto no significa que las 400 organizaciones hayan sido comprometidas.
La cifra corresponde a objetivos identificados dentro de la investigación, no a 400 incidentes confirmados.
Sin embargo, sí demuestra cómo la automatización puede reducir considerablemente el tiempo necesario para seleccionar y analizar posibles víctimas.
México aparece dentro de la investigación
El reporte tiene especial relevancia para el mercado mexicano.
En una base de datos asociada con la operación, Straiker identificó 4,493 registros, que incluían direcciones de correo electrónico, contraseñas, accesos a portales, claves API y datos financieros.
Entre el material analizado se encontraban:
2,911 direcciones de correo electrónico
903 números de cuenta
391 claves API
67 contraseñas en texto claro
además de credenciales relacionadas con infraestructura financiera y referencias a SPEI, el sistema de pagos interbancarios mexicano.
Straiker también documentó el uso de redes proxy residenciales para simular tráfico procedente de México y dificultar determinados controles geográficos.
Esto refuerza un punto importante:
la identidad, la ubicación y el comportamiento del acceso deben analizarse de manera conjunta.
Una conexión aparentemente originada dentro del país no necesariamente representa un usuario legítimo.
Las APIs y las identidades se convierten en objetivos prioritarios
Uno de los elementos más relevantes del caso es la cantidad de credenciales y secretos encontrados.
En entornos financieros modernos, las APIs conectan aplicaciones, procesan transacciones y permiten que distintos servicios intercambien información.
Si un atacante obtiene una clave API, una credencial administrativa o un token de autenticación, puede intentar utilizar esos accesos para desplazarse dentro de la infraestructura sin necesidad de explotar una nueva vulnerabilidad.
Por eso, la protección del sector financiero ya no depende únicamente del firewall o del endpoint.
También requiere proteger:
Identidades;
credenciales privilegiadas;
APIs;
claves criptográficas;
aplicaciones;
infraestructura cloud;
y accesos de terceros.
La IA también puede ayudar a encontrar vulnerabilidades más rápido
Straiker afirma que el material analizado incluía más de 200 vulnerabilidades, algunas descritas por los investigadores como posibles zero-days, identificadas en sitios web, APIs y sistemas backend de las organizaciones objetivo.
Es importante tratar esta cifra con cautela.
El reporte no publica CVE ni validaciones independientes para todas esas vulnerabilidades, por lo que no debe interpretarse como confirmación de más de 200 zero-days explotados.
Sin embargo, el hallazgo muestra un riesgo que las empresas deben considerar: la inteligencia artificial puede acelerar enormemente el reconocimiento y análisis de aplicaciones.
Esto reduce la ventana disponible para detectar y corregir una vulnerabilidad antes de que un atacante intente aprovecharla.
¿Qué deberían hacer las organizaciones?
La aparición de sistemas como CARLIY0S no significa que las defensas tradicionales hayan dejado de funcionar.
Significa que necesitan operar con mayor velocidad y contexto.
Las organizaciones deberían fortalecer especialmente cinco áreas:
1. Protección de identidades.Aplicar MFA, mínimo privilegio y supervisión continua de cuentas privilegiadas.
2. Seguridad de APIs.Inventariar APIs, controlar autenticación y detectar comportamientos anómalos.
3. Gestión de vulnerabilidades.Reducir el tiempo entre identificación, evaluación y remediación.
4. Monitoreo continuo.Detectar movimientos laterales, accesos inusuales y comportamiento fuera de patrón.
5. Protección de información sensible.Evitar que claves, credenciales y secretos permanezcan expuestos dentro de repositorios, aplicaciones o configuraciones.
La velocidad de ataque también está cambiando
El principal cambio que introduce la inteligencia artificial no necesariamente es una nueva técnica. Es la velocidad.
Un atacante puede analizar más sistemas, generar más variantes, adaptar sus estrategias y probar más caminos en menos tiempo.
Esto presiona directamente a los equipos de seguridad.
Si la detección, el análisis y la respuesta siguen dependiendo exclusivamente de procesos manuales, la diferencia de velocidad entre atacante y defensor puede aumentar.
Por eso, la seguridad empresarial necesita evolucionar hacia modelos donde la visibilidad, la automatización y el contexto trabajen juntos.
El sector financiero necesita prepararse para ataques a velocidad de máquina
La investigación de CARLIY0S ofrece una señal importante para bancos, fintech y proveedores de servicios financieros en México y Latinoamérica.
La inteligencia artificial ya está siendo integrada en operaciones ofensivas más estructuradas.
Eso obliga a las organizaciones a revisar no únicamente qué herramientas utilizan los atacantes, sino qué tan rápido pueden detectar y responder cuando esas herramientas automatizan partes del ataque.
En SIJISA ayudamos a las organizaciones a fortalecer su postura de seguridad mediante estrategias de protección de identidades, Zero Trust, seguridad de aplicaciones y APIs, monitoreo continuo, evaluación de vulnerabilidades y respuesta a incidentes.
Porque frente a ataques que pueden analizar y adaptarse a velocidad de máquina, la defensa también necesita operar con mayor visibilidad, automatización y capacidad de respuesta.
La pregunta ya no es únicamente si la inteligencia artificial puede ser utilizada para atacar.
La pregunta es: ¿está preparada tu organización para defenderse cuando el atacante ya la está utilizando?
¿Quieres saber más? Contáctanos:
ATENCIÓN A CLIENTES
Oficina: 55 5358 2477
Móvil: 55 7879 4674
Comentarios