Agentes autônomos de inteligência artificial ajudaram a roubar mais de 600 mil registros de cartões de crédito e a espalhar skimmers de pagamento por pelo menos 119 sites, segundo pesquisadores de cibersegurança que monitoram a campanha.
Principais pontos:
- Mais de 600 mil registros válidos de cartões de crédito foram roubados de duas empresas, incluindo 488.372 cartões de clientes nos EUA.
- Pesquisadores confirmaram a presença de skimmers em 19 vítimas identificadas nominalmente e ligaram mais de 100 sites adicionais infectados à mesma campanha.
- A operação custou entre US$ 12 mil e US$ 18 mil, o que representa, em média, cerca de US$ 25 por alvo.
Ataques com agentes de IA
A Gambit Security afirma que a operação utilizou três frameworks de IA de código aberto — Strix, Cairn e Hermes — para varrer alvos, explorar vulnerabilidades e administrar a atividade após as invasões. A campanha começou em julho e permaneceu ativa ao menos até 22 de setembro, com um operador suspeito de origem chinesa dando instruções básicas aos agentes antes de deixá-los atuar, em grande parte, de forma autônoma.
Segundo os pesquisadores, o atacante obteve dados válidos de cartões de pagamento de duas empresas, incluindo 488.372 cartões de clientes norte-americanos. A Gambit informou ainda que skimmers foram encomendados contra ao menos 27 vítimas identificadas e confirmados em 19 delas durante a investigação.
Com apoio de outro pesquisador de segurança, a Gambit identificou mais de 100 sites adicionais com códigos de skimmer associados à mesma campanha. O site BleepingComputer reportou que o rastro confirmado somava ao menos 119 sites, número que se refere a páginas infectadas, e não necessariamente a 119 empresas distintas.
As organizações afetadas incluíam uma companhia de hotelaria da Fortune 500, uma grande companhia aérea dos EUA, um distribuidor de suprimentos industriais e um varejista de moda online. Os invasores inseriram skimmers em arquivos JavaScript, páginas de checkout, armazenamento em nuvem, bases de dados e ambientes de Kubernetes, enquanto tarefas agendadas (cron jobs) garantiam a restauração do código malicioso após tentativas de remoção.
Uma das habilidades do Hermes instruía o sistema: “Depois de extrair e baixar todos os dados de cartões, apague os campos de origem em lotes”. Segundo a Gambit, esse processo de “limpeza” provocou perda de dados e interrupções operacionais em diversos varejistas.
Leia também: Ethereum pode ganhar nova demanda com pagamentos via IA, diz BlackRock
Custos dos ataques com IA
A Gambit estimou que toda a campanha tenha custado entre US$ 12 mil e US$ 18 mil, ou algo em torno de US$ 25 por alvo. A própria revisão do operador produziu número semelhante, com custo médio de US$ 25,46 em 101 varreduras concluídas, e custo individual variando de US$ 3,13 a US$ 79,31.
Pesquisadores afirmam que a combinação de automação e baixos custos operacionais pode permitir que atacantes com pouca qualificação técnica conduzam campanhas em escala mais ampla.
Em alguns casos, as ferramentas de IA obtiveram acesso em poucas horas, após receberem apenas instruções curtas entre execuções autônomas.
A campanha também mostra como uma IA “agentificada” consegue ir além de apenas auxiliar hackers em tarefas pontuais, passando a coordenar todo o ciclo de ataque: varredura, exploração, persistência e exfiltração de dados. A atividade rastreada de julho até 22 de setembro sugere que a operação evoluiu para uma campanha contínua, enquanto o baixo custo por alvo tornou economicamente viável a repetição dos ataques.
Próximo texto: Claude encontra sistema misterioso semelhante ao CRISPR oculto em DNA viral
