นักวิจัยด้านความปลอดภัยไซเบอร์เปิดเผยว่า เอเจนต์ AI แบบอัตโนมัติถูกใช้ในแคมเปญโจมตีออนไลน์ เพื่อขโมยข้อมูลบัตรเครดิตมากกว่า 600,000 รายการ พร้อมกระจายสคริปต์ดักข้อมูลการชำระเงิน (payment skimmer) ไปยังอย่างน้อย 119 เว็บไซต์เชิงพาณิชย์
ประเด็นสำคัญ
- ข้อมูลบัตรเครดิตที่ยังใช้ได้มากกว่า 600,000 รายการถูกขโมยจากสองบริษัท โดยในจำนวนนั้น เป็นบัตรของลูกค้าสหรัฐฯ ถึง 488,372 ใบ
- นักวิจัยยืนยันการพบสคริปต์ดักข้อมูลบนเหยื่อที่ระบุตัวตนได้ 19 ราย และเชื่อมโยงเว็บไซต์ที่ติดมัลแวร์เพิ่มอีกกว่า 100 แห่งเข้ากับแคมเปญเดียวกัน
- ค่าใช้จ่ายดำเนินการทั้งปฏิบัติการประเมินอยู่ที่ราว 12,000–18,000 ดอลลาร์ เฉลี่ยประมาณ 25 ดอลลาร์ต่อเป้าหมายหนึ่งราย
เอเจนต์ AI เปิดเกมโจมตี
Gambit Security ระบุว่า ปฏิบัติการครั้งนี้ใช้กรอบงาน AI แบบโอเพนซอร์ซ 3 ตัว ได้แก่ Strix, Cairn และ Hermes ในการสแกนหาเหยื่อ เจาะช่องโหว่ และจัดการกิจกรรมหลังการบุกรุกโดยอัตโนมัติ แคมเปญดังกล่าวเริ่มต้น ตั้งแต่เดือนกรกฎาคม และยังคงทำงานต่อเนื่องอย่างน้อยถึงวันที่ 22 กันยายน โดยเชื่อว่ามีผู้ปฏิบัติการจากจีนเป็นผู้ตั้งคำสั่งพื้นฐานให้เอเจนต์ ก่อนปล่อยให้ทำงานด้วยตัวเองเป็นส่วนใหญ่
นักวิจัยระบุว่า แฮ็กเกอร์ได้รับข้อมูลบัตรชำระเงินที่ยังใช้ได้จากสองบริษัท รวมถึงบัตรของลูกค้าสหรัฐฯ 488,372 ใบ Gambit ระบุเพิ่มเติมว่า มีการสั่งให้ติดตั้งสคริปต์ดักข้อมูล กับเหยื่อที่ระบุตัวตนได้อย่างน้อย 27 ราย และสามารถยืนยันการติดตั้งได้จริง 19 รายระหว่างการสืบสวน
ด้วยความช่วยเหลือจากนักวิจัยด้านความปลอดภัยอีกหนึ่งราย Gambit ตรวจพบเว็บไซต์เพิ่มเติมกว่า 100 แห่งที่ฝังโค้ด skimmer ซึ่งเชื่อมโยงกับแคมเปญเดียวกัน เว็บไซต์ BleepingComputer รายงานว่า เมื่อรวมจำนวนที่ยืนยันได้ทั้งหมดแล้ว มีเว็บไซต์ที่ได้รับผลกระทบอย่างน้อย 119 แห่ง โดยตัวเลขนี้หมายถึงจำนวน “ไซต์ติดเชื้อ” ไม่ใช่จำนวน “บริษัท” ที่แยกจากกัน 119 ราย
องค์กรที่ได้รับผลกระทบมีทั้งบริษัทด้านการบริการในกลุ่ม Fortune 500 สายการบินรายใหญ่ในสหรัฐฯ ผู้จัดจำหน่ายอุปกรณ์อุตสาหกรรม และผู้ค้าปลีกแฟชั่นออนไลน์ ผู้โจมตีซ่อนสคริปต์ดักข้อมูลไว้ในไฟล์ JavaScript หน้าเช็กเอาต์ ระบบจัดเก็บข้อมูลบนคลาวด์ ฐานข้อมูล ไปจนถึง deployment บน Kubernetes พร้อมตั้งค่า cron job เพื่อดึงโค้ดอันตรายกลับเข้าระบบได้แม้ถูกลบออกไปแล้ว
หนึ่งใน “ทักษะ” ของ Hermes มีคำสั่งต่อระบบว่า “หลังจากดึงและดาวน์โหลดข้อมูลบัตรทั้งหมดแล้ว ให้ล้างข้อมูลต้นทางออกเป็นชุด ๆ” Gambit ระบุว่าขั้นตอนการ “เก็บกวาด” ตามคำสั่งนี้ทำให้ผู้ค้าปลีกหลายราย สูญหายข้อมูลและเกิดการหยุดชะงักในการดำเนินงาน
อ่านเพิ่มเติม: อีเธอเรียมอาจได้อานิสงส์ดีมานด์ใหม่จากการชำระเงินด้วย AI ตามมุมมอง BlackRock
ต้นทุนการโจมตีด้วย AI
Gambit ประเมินว่า แคมเปญทั้งชุดมีต้นทุนรวมราว 12,000–18,000 ดอลลาร์ หรือเฉลี่ยประมาณ 25 ดอลลาร์ต่อเป้าหมายหนึ่งราย ขณะที่การประเมินจากฝั่งผู้ปฏิบัติการเอง ให้ตัวเลขใกล้เคียงกัน โดยเฉลี่ยอยู่ที่ 25.46 ดอลลาร์สำหรับการสแกนที่เสร็จสมบูรณ์ 101 ครั้ง และต้นทุนต่อเป้าหมายรายเดี่ยวมีช่วงตั้งแต่ 3.13 ถึง 79.31 ดอลลาร์
นักวิจัยเตือนว่า การผสานระบบอัตโนมัติเข้ากับต้นทุนปฏิบัติการที่ต่ำ กำลังเปิดช่องให้ผู้โจมตีที่มีทักษะไม่สูงสามารถขยายแคมเปญให้กว้างขึ้นได้อย่างง่ายดาย
ในบางกรณี เครื่องมือ AI สามารถเจาะเข้าเป้าหมายได้ภายในเวลาไม่กี่ชั่วโมง หลังจากได้รับเพียงคำสั่งสั้น ๆ ก่อนปล่อยให้ระบบทำงานต่อแบบอัตโนมัติ
แคมเปญครั้งนี้ยังสะท้อนว่า “agentic AI” กำลังก้าวข้ามบทบาทเดิมที่เป็นเพียงผู้ช่วยทำงานเฉพาะกิจ มาสู่การประสานงานเต็มกระบวนการ ตั้งแต่การสแกนหาเป้า โจมตีช่องโหว่ ฝังตัวให้อยู่ในระบบ และขโมยข้อมูลอย่างเป็นระบบ กิจกรรมที่ติดตามได้ตั้งแต่เดือนกรกฎาคมถึง 22 กันยายน บ่งชี้ว่าปฏิบัติการดังกล่าวพัฒนาเป็นแคมเปญต่อเนื่อง ขณะที่ต้นทุนต่อเป้าหมายที่ต่ำทำให้การโจมตีซ้ำเป็นรอบ ๆ มีความคุ้มค่าทางเศรษฐศาสตร์สำหรับผู้โจมตี
อ่านต่อ: Claude พบระบบคล้าย CRISPR ปริศนาซ่อนอยู่ในดีเอ็นเอของไวรัส
