Des agents d’intelligence artificielle autonomes ont permis de dérober plus de 600 000 enregistrements de cartes bancaires et de disséminer des skimmers de paiement sur au moins 119 sites web, selon des chercheurs en cybersécurité qui suivent cette campagne.
À retenir
- Plus de 600 000 numéros de cartes bancaires valides ont été volés auprès de deux entreprises, dont 488 372 cartes appartenant à des clients américains.
- Les chercheurs ont confirmé la présence de skimmers chez 19 victimes identifiées et rattaché plus de 100 sites infectés supplémentaires à la même opération.
- Le coût total de l’opération est estimé entre 12 000 et 18 000 dollars, soit environ 25 dollars par cible.
Des attaques pilotées par des agents d’IA
Gambit Security indique que l’opération s’appuyait sur trois frameworks d’IA open source — Strix, Cairn et Hermes — pour cartographier les cibles, exploiter les vulnérabilités et orchestrer les actions post-compromission. La campagne a débuté en juillet et est restée active au moins jusqu’au 22 septembre. L’opérateur, suspecté d’être basé en Chine, se serait contenté de fournir des instructions de haut niveau avant de laisser les agents fonctionner en grande partie de façon autonome.
Selon les chercheurs, l’attaquant a récupéré des données de cartes de paiement valides auprès de deux entreprises, dont 488 372 cartes de clients américains. Gambit précise en parallèle que des skimmers ont été commandés contre au moins 27 victimes nommément identifiées et confirmés chez 19 d’entre elles au cours de l’enquête.
Avec l’aide d’un autre chercheur en sécurité, Gambit a recensé plus de 100 sites web supplémentaires contenant du code de skimming rattaché à la même campagne. D’après BleepingComputer, l’empreinte confirmée s’élève au minimum à 119 sites, ce chiffre désignant des sites infectés et non 119 entreprises distinctes.
Les organisations touchées incluent un groupe hôtelier du Fortune 500, une grande compagnie aérienne américaine, un distributeur de fournitures industrielles et un e-commerçant de mode. Les attaquants ont injecté des skimmers dans des fichiers JavaScript, des pages de paiement, des espaces de stockage cloud, des bases de données et des déploiements Kubernetes, tandis que des tâches cron pouvaient réinstaller le code malveillant après sa suppression.
L’une des fonctions d’Hermes indiquait au système : « Après avoir extrait et téléchargé l’ensemble des données de cartes, efface les champs source par lots. » Selon Gambit, ce processus de “nettoyage” a provoqué des pertes de données et des perturbations opérationnelles chez plusieurs détaillants.
À lire aussi : L’Ethereum pourrait bénéficier d’une nouvelle demande liée aux paiements IA, selon BlackRock
Un coût d’attaque dérisoire
Gambit estime que l’ensemble de la campagne a coûté entre 12 000 et 18 000 dollars, soit autour de 25 dollars par cible. Le propre bilan de l’opérateur aboutit à un niveau similaire, avec un coût moyen de 25,46 dollars pour 101 analyses menées à terme et un coût unitaire allant de 3,13 à 79,31 dollars selon la cible.
Pour les chercheurs, la combinaison entre automatisation et faibles coûts d’exploitation permet à des acteurs peu qualifiés de lancer des opérations de grande ampleur.
Dans certains cas, les outils d’IA sont parvenus à obtenir un accès en quelques heures seulement, sur la base d’instructions très succinctes entre deux exécutions autonomes.
La campagne illustre aussi la façon dont une IA « agentique » peut dépasser le simple rôle d’assistant des pirates pour orchestrer l’ensemble de la chaîne d’attaque : repérage des cibles, exploitation, maintien de la persistance et exfiltration des données. L’activité observée de juillet au 22 septembre suggère une opération installée dans la durée, tandis que le coût très bas par cible rend des attaques répétées économiquement viables.
À suivre : Claude découvre un mystérieux système de type CRISPR caché dans l’ADN viral
