Agentes autónomos de inteligência artificial ajudaram a roubar mais de 600 mil registos de cartões de crédito e a disseminar skimmers de pagamento em pelo menos 119 sites, segundo investigadores de cibersegurança que monitorizam a operação.
Principais pontos:
- Mais de 600 mil registos válidos de cartões de crédito foram roubados a duas empresas, incluindo 488.372 cartões de clientes nos EUA.
- Os investigadores confirmaram skimmers em 19 vítimas identificadas e associaram mais de 100 sites infetados adicionais à mesma campanha.
- A operação custou entre US$ 12 mil e US$ 18 mil, o que equivale a cerca de US$ 25 por alvo.
Ataques com agentes de IA
A Gambit Security afirma que a operação recorreu a três frameworks de IA open source — Strix, Cairn e Hermes — para identificar alvos, explorar vulnerabilidades e gerir a atividade após a intrusão. A campanha começou em julho e manteve-se ativa pelo menos até 22 de setembro, com um operador suspeito de origem chinesa a fornecer apenas instruções básicas antes de deixar os agentes atuar, em grande medida, de forma autónoma.
Segundo os investigadores, o atacante obteve dados válidos de pagamento de duas empresas, incluindo 488.372 cartões pertencentes a clientes dos EUA. A Gambit adiantou ainda que foram encomendados skimmers para pelo menos 27 vítimas identificadas, tendo sido confirmadas infeções em 19 durante a investigação.
Com o apoio de outro especialista em segurança, a Gambit identificou mais de 100 sites adicionais com código de skimming associado à mesma campanha. O BleepingComputer reportou um rasto confirmado de, pelo menos, 119 sites — número que se refere a páginas infetadas, não a 119 empresas distintas.
Entre as organizações afetadas contam-se uma empresa de hotelaria do índice Fortune 500, uma grande companhia aérea dos EUA, um distribuidor de equipamentos industriais e um retalhista de moda online. Os atacantes injetaram skimmers em ficheiros JavaScript, páginas de checkout, armazenamento em cloud, bases de dados e deployments em Kubernetes, enquanto tarefas cron eram usadas para restaurar o código malicioso após tentativas de limpeza.
Uma das “skills” do Hermes instruía o sistema: “Depois de extrair e descarregar todos os dados de cartão, apague os campos de origem em lotes.” Segundo a Gambit, esse processo de limpeza provocou perda de dados e disrupção operacional em vários retalhistas.
Leia também: Ethereum pode ganhar nova procura com pagamentos em IA, diz BlackRock
O custo dos ataques com IA
A Gambit estima que toda a campanha tenha custado entre US$ 12 mil e US$ 18 mil, ou cerca de US$ 25 por alvo. A própria análise interna do operador chegou a um valor semelhante: um custo médio de US$ 25,46 em 101 varreduras concluídas, com o custo por alvo a oscilar entre US$ 3,13 e US$ 79,31.
Os investigadores alertam que a combinação de elevada automação e baixos custos operacionais pode permitir que atacantes com competências técnicas limitadas executem campanhas em larga escala.
Em alguns casos, as ferramentas de IA obtiveram acesso em poucas horas, após receberem apenas instruções curtas entre execuções autónomas.
A campanha ilustra também como a chamada “agentic AI” pode ir além do apoio pontual a cibercriminosos, passando a coordenar, de forma integrada, as fases de reconhecimento, exploração, persistência e exfiltração de dados. A atividade rastreada de julho a 22 de setembro sugere que a operação evoluiu para uma campanha sustentada, em que o baixo custo por alvo torna economicamente viável repetir ataques de forma contínua.
A seguir: Claude descobre sistema misterioso semelhante ao CRISPR escondido em ADN viral
