Un atacante utilizó agentes de inteligencia artificial para comprometer al menos 15 entidades de salud en Argentina y extrajo credenciales de acceso e historias clínicas de una de ellas. La investigación fue publicada el miércoles pasado por la empresa de ciberseguridad e inteligencia de amenazas CrowdStrike y describe una campaña desarrollada entre mayo y agosto de 2026. La empresa no identificó a las instituciones afectadas ni precisó cuántos pacientes tienen información comprometida.

El hallazgo surge de un error de los propios atacantes: dejaron expuestos en internet directorios con las herramientas que utilizaban. Al examinarlos, los investigadores pudieron reconstruir parte de sus operaciones, incluidas las instrucciones que daban a la IA, sus respuestas y las acciones que ejecutaba dentro de los sistemas vulnerados.

“Uno de los cuatro adversarios ejecutó un framework de pentesting autónomo contra organizaciones de salud en Argentina y tuvo éxito al menos contra 15 entidades del país”, explicó a Clarín, en una entrevista exclusiva, Marcos Ferreira, vicepresidente de ingeniería de ventas para América Latina de CrowdStrike. Un pentest es una prueba de seguridad autorizada que busca detectar fallas antes de que las aproveche un delincuente. En este caso, el atacante adaptó herramientas de ese tipo para ingresar sin permiso a organizaciones reales.

El caso muestra cómo está cambiando el uso de la inteligencia artificial en los ciberataques. El sistema recibió objetivos generales y pudo decidir pasos intermedios, probar alternativas cuando encontraba obstáculos y ejecutar comandos. En uno de los episodios argentinos, llegó a un servidor central de la organización y obtuvo credenciales en unos 20 minutos, según el informe.

El reporte encaja en una tendencia que excede al caso argentino. Según el Global Threat Report 2026 de CrowdStrike, los ataques de grupos que utilizan inteligencia artificial aumentaron un 89% durante 2025 respecto del año anterior, a escala global. En América Latina, Unit 42, el equipo de investigación de Palo Alto Networks, documentó durante 2026 otras dos campañas que utilizaron modelos de IA para facilitar intrusiones y robos de información. Los casos involucraron a organismos públicos y servicios esenciales de México y Ecuador, además de organizaciones del sector financiero de Brasil.

Otro informe de IBM X-Force, publicado en marzo, advierte que los ciberdelincuentes están incorporando inteligencia artificial para identificar vulnerabilidades, analizar información y acelerar sus operaciones.

Y según Check Point Research, América Latina fue la región con más ciberataques por organización durante septiembre de 2026, con un promedio de 3.813 ataques semanales, un 35% más que en el mismo mes de 2025.

Cómo fue el ataque a las entidades de salud argentinas

Los atacantes accedieron a historias clínicas. Foto: Pexels.

El atacante utilizó Claude Code, una herramienta de IA capaz de escribir código y ejecutar programas, para coordinar dos agentes: uno elegía la siguiente tarea y otro la ejecutaba. Según el informe, combinó dos agentes: uno elegía la siguiente tarea dentro de una secuencia de ataque y otro la ejecutaba. También les proporcionó instrucciones y programas para probar accesos, guardar resultados y continuar la operación después de cada paso.

Este tipo de ataques con agentes no sólo está siendo muy común, sino que marcó gran parte de la conversación de este 2026 en el mundo de la ciberseguridad: el incidente de OpenAI donde un enjambre de bots logró hackear a la empresa Hugging Face.

CrowdStrike documentó uno de esos recorridos dentro de una entidad de salud argentina. El atacante le indicó al agente que avanzara desde un acceso que ya tenía y buscara credenciales. La primera técnica que probó quedó bloqueada. En menos de un minuto, el sistema cambió de estrategia por su cuenta e intentó llegar al servidor que administra accesos dentro de la organización. Consiguió establecer una conexión con un servidor controlado por el atacante y, en aproximadamente 20 minutos desde la instrucción inicial, obtuvo credenciales (usuario y contraseña) de ese entorno.

“Imaginate que logró alcanzar un Active Directory, un servidor por el que básicamente pasan todas las autenticaciones, en apenas 20 minutos”, señaló Ferreira durante la entrevista. Acceder a ese tipo de infraestructura puede permitirle a un intruso ampliar su control sobre la red y buscar nuevas cuentas con las que entrar a otros sistemas.

El informe describe otro episodio, también en Argentina, en el que el agente conectó por sí mismo dos organizaciones de salud que el atacante ya había vulnerado. La IA comprobó que podía usar el acceso disponible en la primera entidad como puente para investigar la segunda y en doce minutos y medio identificó esa posibilidad, examinó archivos y configuraciones, y encontró un camino hacia un servidor interno. La instrucción humana inicial no le había indicado que utilizara a una organización para llegar a la otra.

“Sin instrucciones explícitas de pivotar entre la primera infraestructura que había atravesado y una segunda organización de salud, simplemente el modelo encontró el camino”, resumió Ferreira. En seguridad informática, pivotar significa aprovechar un acceso ya conseguido para alcanzar otro sistema al que no se podía llegar desde afuera.

Vale aclarar, CrowdStrike afirma que al menos 15 entidades de salud argentinas fueron comprometidas, pero documenta la extracción de credenciales e historias clínicas de al menos una. El informe no dice que se hayan robado historias clínicas de las 15, ni informa el volumen de los datos extraídos. Tampoco permite establecer si alguna de esas instituciones sufrió interrupciones en la atención, recibió una exigencia de rescate o comunicó el incidente a sus pacientes.

Ferreira no pudo precisar durante la entrevista si las organizaciones afectadas son públicas o privadas. Ante la consulta sobre cómo accedió CrowdStrike a la información, aclaró que la investigación se hizo a partir de los directorios que el atacante había dejado expuestos (eso no significa que las instituciones afectadas fueran clientes de CrowdStrike).

También se le preguntó qué ocurre cuando una empresa de seguridad encuentra evidencia de ataques contra terceros. “Antes de cualquier publicación hacemos todo el due diligence. Eso pasa por todas las áreas responsables y, obviamente, buscamos notificar a las entidades responsables o a las empresas, a los contactos responsables. No ha sido diferente en este caso”, respondió. Agregó que identificar un canal de contacto puede ser difícil y que la compañía intenta utilizar los que tenga disponibles. No confirmó cuáles de las entidades argentinas recibieron el aviso ni si contestaron.

Por ahora tampoco hay elementos públicos para asociar estos ataques con incidentes de salud conocidos en el país: de manera permanente aparecen posteos en foros de la dark web con información filtrada o a la venta, pero en muchos casos es información vieja, reciclada, subida nuevamente para generar un rédito económico. En tal caso, establecer un vínculo exigiría identificar a las instituciones afectadas y contrastar fechas, accesos y registros técnicos. CrowdStrike no difundió esos nombres ni respondió ante la pregunta sobre quiénes son esas entidades.

La exposición de información médica ya tuvo antecedentes graves en Argentina. En 2022, el grupo LockBit publicó datos robados a OSDE, entre ellos archivos con referencias a historias clínicas. Ese año, el Hospital Garrahan reconoció una intrusión después de que apareciera a la venta una muestra de datos atribuidos a la institución.

En 2023, delincuentes publicaron archivos robados al PAMI con referencias a estudios e historias clínicas. Y en 2024, un ataque de ransomware contra el Grupo Rossi, Stamboulian e Hidalgo afectó la atención y el funcionamiento de sus sistemas, la empresa sostuvo entonces que no se habían comprometido datos de pacientes. Son casos diferentes, sin una relación demostrada con la campaña que CrowdStrike reveló este miércoles, pero recuerdan que el sector de salud es uno de los más atacados de los últimos años.

Qué mostraron las conversaciones de los atacantes con la IA

Marcos Ferreira, VP engenaria de ventas de America Latina de Crowdstrike, en exclusiva con Clarín. Foto: Prensa CrowdStrike

El caso argentino forma parte de una investigación más amplia sobre cuatro atacantes que dejaron expuestas sus herramientas. Los archivos les permitieron a los analistas ver qué instrucciones escribían, cómo respondía la IA y cuándo intervenía una persona. Entre los otros casos, el informe describe accesos indebidos a organismos públicos de Brasil y Colombia y operaciones contra empresas de distintos sectores en otros países.

Los investigadores también encontraron intentos de engañar a los modelos de IA para que ejecutaran acciones que sus mecanismos de seguridad normalmente bloquearían. Una táctica consistía en decirles que estaban realizando una prueba de seguridad autorizada: así de fácil son de engañar algunos modelos actuales.

“Le dicen al modelo que es un pentest autorizado. Colocan ahí archivos falsos de autorización en directorios de trabajo, lo que sea, y simplemente insisten con el modelo”, relató Ferreira. “Tuvimos acceso a directorios que estaban abiertos. Vimos los prompts (instrucciones) y, obviamente, vimos al atacante insultando al modelo porque el modelo se negaba a hacer cierta acción”, agregó.

“En su gran mayoría no están creando nuevas técnicas, ni usando nuevas técnicas, ni encontrando nuevas cosas de ese estilo. Lo que pasa es que estos agentes son tan rápidos y tienen un mundo de conocimiento que aprovechan mucho la falta de higiene, control, visibilidad y protecciones básicas con las que muchas infraestructuras no cuentan”, explicó.

Para Ferreira, la velocidad obliga a revisar el tiempo disponible para detectar y frenar una intrusión: “Antes tenías cierto tiempo para reaccionar, ahora ese tiempo casi que no existe. Tenés que reaccionar a la misma velocidad de la máquina. Si no, ¿cómo alcanzás?”, planteó. “Hoy ya vemos un arsenal de agentes trabajando y operando de manera autónoma y en paralelo”, agregó.

En ciberseguridad se suele decir que el atacante siempre lleva la delantera, en relación a los que se dedican a defender sistemas. Consultado por Clarín sobre este punto, Ferreira reconoció que la inteligencia artificial plantea un nuevo problema para la defensa: según explicó, los modelos de IA tienen restricciones de seguridad que pueden impedirles realizar determinadas tareas, mientras que los atacantes buscan formas de eludirlas.

La disputa, que durante años fue definida como una carrera del gato y el ratón, ahora se traslada también al terreno de la inteligencia artificial y esos efectos ya se siente fuerte en América Latina y en Argentina.

El reporte completo