KI-Agenten stehlen 600.000 Kartendaten bei Angriffen auf den Einzelhandel

Ein Bedrohungsakteur nutzt KI-Agenten, um Online-Händler in großem Umfang anzugreifen, so das Cybersicherheitsunternehmen Gambit. Forscher geben an, dass die Kampagne mehr als 600.000 gültige Zahlungskartendaten gestohlen und Skimmer auf mindestens 119 Websites platziert hat.

Angreifer nutzt drei KI-Tools

Gambit verfolgte die Kampagne bis mindestens Juli 2026 zurück. Zwischen dem 10. und 15. September startete der Angreifer 105 verschiedene Angriffswellen und kompromittierte mindestens 27 Unternehmen in unterschiedlichem Ausmaß.

Die Operation nutzt drei Open-Source-Tools. Strix scannt Ziele nach Schwachstellen, während Cairn versucht, sich Zugang zu verschaffen. Hermes koordiniert anschließend Entscheidungen und Aktivitäten nach einem erfolgreichen Eindringen.

Den Forschern zufolge gab der menschliche Betreiber den Tools kurze Anweisungen und ließ sie einen Großteil der Arbeit erledigen. Die Ergebnisse beschreiben jedoch die Kampagne eines einzelnen Angreifers und nicht jede Nutzung dieser Tools.

Skimmer zielen auf Checkout-Seiten von Händlern ab

Gambit zufolge stahl der Angreifer mehr als 600.000 gültige Kartendaten von zwei Unternehmen. Die Forscher fanden außerdem Zahlungsskimmer auf mindestens 119 kompromittierten Websites.

Der Angreifer platzierte Schadcode je nach Konfiguration der jeweiligen Website an unterschiedlichen Stellen. Der Code tauchte beispielsweise in legitimen JavaScript-Dateien, Checkout-Seiten, Content-Delivery-Systemen und serverseitigen Caches auf.

In einigen Fällen nutzte der Angreifer geplante Aufgaben, um einen Skimmer wiederherzustellen, nachdem jemand ihn entfernt hatte. Gambit gibt an, direkte Beweise für diese Aktivitäten auf einem vom Angreifer betriebenen Staging-Server gefunden zu haben.

Die KI-Agenten folgten außerdem Anweisungen, Kartendaten aus einigen Magento-Datenbanken zu löschen, nachdem sie diese gestohlen hatten. Infolgedessen erlitten mehrere Händler Datenverluste und Betriebsunterbrechungen.

Niedrige Kosten helfen bei der Skalierung der Kampagne

Gambit fand Aufzeichnungen, die Ausgaben von etwa 7.000 US-Dollar für KI-Dienste über einen Zeitraum von rund vier Wochen zeigten. Auf Grundlage der späteren Nutzung schätzte das Unternehmen die Gesamtkosten der Kampagne auf 12.000 bis 18.000 US-Dollar.

Die eigenen Zahlen des Angreifers bezifferten die durchschnittlichen Kosten auf etwa 25 US-Dollar pro abgeschlossenem Scan. Daher warnt Gambit, dass Angreifer mit begrenzten Ausgaben und kurzen menschlichen Anweisungen umfangreiche Kampagnen durchführen können.

Die Forscher raten Einzelhändlern, sich bei der Untersuchung einer Kompromittierung sowohl auf den Diebstahl von Zahlungsdaten als auch auf mögliche Datenverluste vorzubereiten.