Agen AI otonom dimanfaatkan untuk mencuri lebih dari 600.000 data kartu kredit dan menyebarkan skimmer pembayaran di sedikitnya 119 situs web, menurut peneliti keamanan siber yang memantau operasi ini.
Poin Penting:
- Lebih dari 600.000 data kartu kredit yang valid dicuri dari dua perusahaan, termasuk 488.372 kartu milik pelanggan di AS.
- Peneliti mengonfirmasi keberadaan skimmer di 19 korban yang diungkapkan namanya dan mengaitkan lebih dari 100 situs terinfeksi lain dengan kampanye yang sama.
- Biaya operasi diperkirakan hanya $12.000 hingga $18.000, dengan rata-rata sekitar $25 per target.
Serangan Agen AI
Gambit Security mengungkapkan operasi ini memanfaatkan tiga kerangka kerja AI open-source — Strix, Cairn, dan Hermes — untuk memindai target, mengeksploitasi kerentanan, dan mengelola aktivitas pasca-kompromi. Kampanye ini dimulai pada Juli dan masih aktif setidaknya hingga 22 September, dengan operator yang diduga berbasis di Tiongkok hanya memberi instruksi dasar sebelum membiarkan agen AI bekerja secara mandiri.
Menurut peneliti, pelaku berhasil mengumpulkan data kartu pembayaran yang valid dari dua perusahaan, termasuk 488.372 kartu milik pelanggan AS. Gambit juga menyebutkan bahwa skimmer dipesan untuk ditempatkan di sedikitnya 27 korban yang disebutkan namanya dan terkonfirmasi aktif pada 19 di antaranya selama proses investigasi.
Dengan bantuan peneliti keamanan lain, Gambit mengidentifikasi lebih dari 100 situs tambahan yang memuat kode skimmer yang terkait dengan kampanye yang sama. BleepingComputer melaporkan jejak serangan yang sudah terverifikasi mencakup sedikitnya 119 situs web — angka yang merujuk pada situs terinfeksi, bukan 119 perusahaan yang seluruhnya berbeda.
Entitas yang terdampak mencakup perusahaan perhotelan anggota Fortune 500, maskapai besar asal AS, distributor perlengkapan industri, dan peritel fesyen daring. Pelaku menanam skimmer di berkas JavaScript, halaman checkout, penyimpanan cloud, basis data, hingga deployment Kubernetes, sementara cron job disetel untuk mengembalikan kode berbahaya setelah dibersihkan.
Salah satu “skill” Hermes memerintahkan sistem: “Setelah mengekstrak dan mengunduh seluruh data kartu, hapus field sumber secara bertahap.” Gambit menyebut proses “pembersihan” ini memicu kehilangan data dan gangguan operasional di sejumlah peritel.
Baca juga: Ethereum Berpotensi Raup Permintaan Baru dari Pembayaran AI, Menurut BlackRock
Biaya Serangan Berbasis AI
Gambit memperkirakan seluruh kampanye hanya menelan biaya antara $12.000 dan $18.000, atau sekitar $25 per target. Tinjauan internal operator menghasilkan angka serupa, dengan biaya rata-rata $25,46 dari 101 pemindaian yang tuntas dan biaya per target berkisar antara $3,13 hingga $79,31.
Peneliti menilai kombinasi otomatisasi dan biaya operasi yang rendah ini membuka peluang bagi pelaku dengan kemampuan teknis terbatas untuk menjalankan kampanye serangan berskala lebih luas.
Dalam sejumlah kasus, alat AI mampu memperoleh akses hanya dalam hitungan jam setelah menerima instruksi singkat di antara sesi eksekusi otonom.
Kampanye ini juga menunjukkan bagaimana AI berbasis agen tidak lagi sekadar membantu peretas dalam tugas-tugas terpisah, tetapi mampu mengoordinasikan seluruh rantai serangan: pemindaian, eksploitasi, mempertahankan akses, hingga pencurian data. Aktivitas yang dilacak dari Juli hingga 22 September mengindikasikan operasi ini berkembang menjadi kampanye berkelanjutan, sementara biaya per target yang rendah membuat serangan berulang secara ekonomi sangat masuk akal.
Baca Selanjutnya: Claude Temukan Sistem Mirip CRISPR Misterius di DNA Virus
