IA para robar datos ya no es un ejercicio teórico. Unit 42, el equipo de inteligencia de amenazas de Palo Alto Networks, documentó dos campañas activas que usan modelos comerciales de inteligencia artificial contra organizaciones de América Latina. En el caso mexicano, los atacantes se atascaron a mitad del robo, y la salida que encontraron fue pedirle ayuda a un chat de IA montado en su propio servidor.
Las dos campañas, en datos:
Unit 42 las rastrea como CL-CRI-1131 (México y Ecuador) y CL-CRI-1163 (Brasil).
Objetivos: transporte, ministerios federales, servicios municipales de agua y finanzas en Brasil.
Herramientas: NextChat en infraestructura propia, secuencias de comandos numeradas y un proxy llamado SockTz escrito en Go.
El trabajo de la IA: escribir los scripts que faltaban y corregir los fallidos.
La intrusión mexicana que Unit 42 reconstruye ocurrió en abril de 2026 contra una organización de transporte. Los operadores ya estaban dentro de la red y buscaban dos archivos concretos: el SAM, donde Windows guarda las credenciales locales, y el NTDS.dit, la base de datos de cuentas del dominio. Lo intentaron una y otra vez sin lograr copiarlos.
El rodeo fue crear copias sombra de los volúmenes en varias unidades, la vía para leer archivos bloqueados. Entre intento e intento aparece el rastro que delata el método: una serie de secuencias de comandos por lotes, numeradas, cada una corrigiendo el fallo de la anterior. Hasta agregaron una comprobación de permisos para confirmar que la carpeta de recolección aceptaba escritura.
El chat privado que terminó expuesto en internet
Ese patrón de prueba y error encaja con un operador que le pide variantes a un modelo de lenguaje hasta que una funciona. Unit 42 siguió el tráfico de salida de datos hasta un servidor de los atacantes y encontró ahí la pieza central: NextChat, una interfaz web de código abierto para conversar con varios modelos en un panel, instalada en el puerto 3000.
NextChat les servía para mantener las consultas en infraestructura bajo su control, lejos de las plataformas públicas. La valoración del equipo de Palo Alto Networks es directa: tras los fallos para extraer los datos, los atacantes se apoyaron en los modelos para generar los scripts que destrabaron la copia. La IA no era un adorno del ataque; era el técnico de guardia.
La infraestructura llevaba meses viva. Unit 42 la fecha en febrero de 2026, con rotaciones en abril y junio, y encontró certificados que agrupaban subdominios con nombres en español —apodo, geo, intel, vacunas— y otros de registros de vehículos y relaciones exteriores. La nomenclatura dejaba ver el perfil de blancos federales mexicanos.
El caso mexicano no nació con este informe. Gambit Security ya había descrito en febrero de 2026 una brecha contra infraestructura del gobierno de México con varios modelos en juego, entre ellos Claude y GPT-4.1, usados para resolver problemas durante la campaña, y CloudSEK rastreó la actividad de junio como Operación Escaneo. Unit 42 corrobora esas piezas y les suma su disección técnica.
En Brasil, un currículum falso y nueve versiones de un proxy
La segunda campaña cambió de país y de oficio. En febrero de 2026, el acceso inicial en Brasil llegó con un correo de suplantación con tema laboral, un currículum adjunto que abría la puerta. Desde ahí, los atacantes soltaron programas de acceso remoto hechos a medida y pelearon con su herramienta principal: SockTz, un túnel proxy SOCKS5 inverso escrito en Go.
Intentaron instalar las versiones 1 a la 9 de SockTz en dos horas, primero desde un sitio de WordPress comprometido y, al seguir fallando, desde su propia infraestructura. El servidor de preparación guardaba un directorio abierto con cientos de archivos, y los nombres hablan solos: exploit_creative.py, exploit_careful.py, rce_focused.py, salidas marcadas con el sufijo _output una y otra vez.
Para Unit 42, esa nomenclatura iterativa es la firma de un desarrollo guiado por modelos de lenguaje, no de un programador que nombra sus archivos a mano. Las dos campañas, con estilos distintos —una abusando de las herramientas propias de Windows, la otra con programas propios—, comparten infraestructura de relevo SOCKS5 y el mismo refuerzo: modelos comerciales orquestando partes del trabajo.
El patrón conecta con otra ruta delictiva ya documentada, la de modelos de IA expuestos y accesos robados a esas plataformas, donde el negocio consiste en colarse en servicios de IA ajenos. Aquí el movimiento es más simple: el modelo se instala en casa, se le pide código, y el operador decide, ejecuta y vuelve a preguntar cuando algo se rompe.
La defensa que propone Unit 42 nace del error de los propios atacantes. La consola de NextChat quedó expuesta a internet, sin protección, y el directorio brasileño quedó abierto: el historial de consultas, las secuencias de preparación y el plan completo quedaron visibles para los investigadores.
Esos descuidos —directorios abiertos, interfaces de IA sin asegurar, certificados con estructura repetida— le dan al defensor el mapa de la infraestructura rival para rastrearla y desarmarla. El equipo publicó los indicadores de compromiso de ambas campañas, dominios y huellas digitales incluidos.
Unit 42 no atribuye los dos clústeres a ningún grupo con nombre: los rastrea como CL-CRI-1131 y CL-CRI-1163, campañas en curso. El cierre del caso es incómodo para los operadores: la herramienta que les resolvió el ataque en México, ese chat privado montado para no dejar rastro en plataformas públicas, terminó contando el ataque a quien supiera dónde mirar.
Fuente: Unit 42 de Palo Alto Networks
