Asistente de IA descubrió un programa espía que dejaba ver las cartas a jugadores de póquer en línea

Un asistente de IA detectó un programa espía instalado en la computadora de un jugador profesional de póquer en línea. El software permitía a un atacante ver su pantalla y, con ella, sus cartas. Según Wired, cientos de jugadores de apuestas altas fueron blanco del mismo método durante años.

El jugador, que habló con la revista bajo el seudónimo de Alex por temor a represalias, usaba el asistente Claude para revisar estadísticas de juego. Tras una falla en su base de datos, el asistente advirtió un programa llamado MeshAgent, capaz de capturar la pantalla y controlar el equipo.

El programa se había instalado sin que Alex lo hiciera. El asistente identificó 11 momentos en que capturó su pantalla, y en todos Alex jugaba en Americas Cardroom (ACR), un sitio de póquer en línea. En 10 de esas sesiones, el mismo rival, con el nombre de usuario OxOO, estaba en su mesa.

Alex revisó las estadísticas públicas de ese jugador y encontró tasas de victoria imposibles para la cantidad de manos jugadas. Calcula que perdió unos USD 30.000, una suma moderada para su nivel. Otros perdieron más.

Cómo eran los programas para espiar

El experto en seguridad que se identifica como WolfSec, y que asesora a jugadores de alto nivel, reveló el caso el pasado 29 de septiembre en X. Según él, el atacante no fue tras cada jugador, sino tras dos programas para jugar en varias mesas a la vez: IntuitiveTables y Jurojin.

En Jurojin, el atacante accedió al sistema del desarrollador para enviar actualizaciones, y el programa espía llegó a los usuarios por el canal normal. El desarrollador de IntuitiveTables usaba Jurojin en su computadora de pruebas, y esa máquina recibió el agente. Con él, el atacante añadió código malicioso a IntuitiveTables antes de que se firmara la versión.

WolfSec estima que el software llegó a más de mil usuarios. Como el código viajó por una actualización o una descarga oficial, ni los jugadores ni sus antivirus notaron nada. La versión alterada de IntuitiveTables solo actuaba si el nombre de usuario figuraba en una lista almacenada en la infraestructura del atacante, formada sobre todo por jugadores habituales de apuestas altas.

Según WolfSec, el mismo atacante intentó infectar equipos desde 2022 con una técnica más simple. No hubo dinero robado en ese momento, así que nadie siguió el caso.

Qué hicieron los sitios frente a esta situación

CoinPoker investiga desde 2025 a un jugador sospechoso. Su portavoz Mario Mosböck dijo a Wired que la empresa lo expulsó y devolvió más de USD 100.000 a afectados. También dijo que la identidad del jugador se conocía desde una entrevista por cámara en febrero de 2025, y que la compañía avisó a ACR sin recibir respuesta.

El profesional Patrick Howard informó a GGPoker a comienzos de septiembre sobre resultados estadísticamente anómalos y no obtuvo respuesta. Tras la revelación pública, el sitio le dijo que no había habido “pruebas concluyentes” en ese momento. ACR y GGPoker no respondieron a las consultas de Wired.

Las fuentes de la revista estiman que el atacante se llevó entre USD 1,5 y 4 millones, sobre todo en GGPoker y ACR, hasta fines de septiembre. ClubWPT Gold expulsó una cuenta y reembolsó a un jugador afectado, según Randy Lundy, responsable de operaciones con clientes del sitio.

El 15 de octubre, GGPoker publicó medidas: prohibir programas de terceros y detectar anomalías en las tasas de victoria. Dijo que rastreó fondos del acusado hasta una cuenta en Coinbase y que pidió restringirla. Jurojin e IntuitiveTables lanzaron herramientas para detectar la infección.

ACR, en cambio, envió el 18 de octubre un correo a sus jugadores: su equipo de seguridad no halló resultados comprometidos ni irregularidades y no habrá reembolsos. WolfSec presentó una denuncia ante el centro de denuncias de delitos informáticos del FBI, que no confirmó a Wired haberla recibido.