Các tác nhân AI tự động đã hỗ trợ đánh cắp hơn 600.000 bản ghi thẻ tín dụng và triển khai mã skimmer thanh toán trên ít nhất 119 website, theo nhóm nghiên cứu an ninh mạng đang theo dõi chiến dịch này.
Các điểm chính:
- Hơn 600.000 bản ghi thẻ tín dụng hợp lệ bị đánh cắp từ hai doanh nghiệp, trong đó có 488.372 thẻ của khách hàng Mỹ.
- Nhà nghiên cứu xác nhận skimmer trên 19 nạn nhân được nêu tên và liên hệ hơn 100 website nhiễm mã độc khác tới cùng chiến dịch.
- Chi phí vận hành ước tính chỉ 12.000–18.000 USD, bình quân khoảng 25 USD mỗi mục tiêu.
Tấn công bằng tác nhân AI
Gambit Security cho biết chiến dịch đã sử dụng ba bộ khung AI mã nguồn mở – Strix, Cairn và Hermes – để rà quét mục tiêu, khai thác lỗ hổng và điều phối hoạt động sau khi xâm nhập. Chiến dịch bắt đầu từ tháng 7 và kéo dài ít nhất tới 22/9, với một tác nhân điều hành bị nghi có nguồn gốc Trung Quốc chỉ đưa ra chỉ dẫn cơ bản rồi chủ yếu để hệ thống AI tự vận hành.
Theo các nhà nghiên cứu, kẻ tấn công đã thu thập được dữ liệu thẻ thanh toán hợp lệ từ hai công ty, trong đó có 488.372 thẻ của khách hàng tại Mỹ. Gambit cho biết thêm rằng skimmer đã được “đặt hàng” triển khai nhằm vào ít nhất 27 nạn nhân được nêu tên và được xác nhận hiện diện trên 19 trong số đó trong quá trình điều tra.
Với sự hỗ trợ của một nhà nghiên cứu bảo mật khác, Gambit xác định hơn 100 website bổ sung đang chứa mã skimmer liên quan tới cùng chiến dịch. BleepingComputer báo cáo tổng số hiện đã được xác nhận là ít nhất 119 website, con số này phản ánh số site bị nhiễm chứ không phải 119 doanh nghiệp riêng rẽ.
Các tổ chức bị ảnh hưởng bao gồm một tập đoàn dịch vụ lưu trú thuộc Fortune 500, một hãng hàng không lớn tại Mỹ, một nhà phân phối vật tư công nghiệp và một nhà bán lẻ thời trang trực tuyến. Kẻ tấn công cài skimmer trong file JavaScript, trang thanh toán, kho lưu trữ đám mây, cơ sở dữ liệu và cả các triển khai Kubernetes, trong khi các cron job được thiết lập để khôi phục mã độc sau khi bị gỡ bỏ.
Một “kỹ năng” của Hermes hướng dẫn hệ thống: “Sau khi trích xuất và tải xuống toàn bộ dữ liệu thẻ, hãy xóa sạch các trường nguồn theo từng lô.” Gambit cho biết quy trình “dọn dẹp” này đã gây mất dữ liệu và gián đoạn vận hành tại một số nhà bán lẻ.
Đọc thêm: Ethereum có thể hưởng lợi nhu cầu mới từ thanh toán bằng AI, BlackRock nhận định
Chi phí của chiến dịch AI
Gambit ước tính toàn bộ chiến dịch tiêu tốn từ 12.000 đến 18.000 USD, tương đương khoảng 25 USD mỗi mục tiêu. Báo cáo tự đánh giá của chính kẻ vận hành cũng đưa ra con số tương tự, với chi phí bình quân 25,46 USD cho 101 lượt quét hoàn tất, chi phí cho từng mục tiêu dao động từ 3,13 đến 79,31 USD.
Các nhà nghiên cứu cảnh báo sự kết hợp giữa tự động hóa và chi phí vận hành thấp có thể cho phép những nhóm tấn công ít kinh nghiệm triển khai các chiến dịch ở quy mô rộng hơn.
Trong một số trường hợp, các công cụ AI giành được quyền truy cập chỉ trong vài giờ sau khi nhận những chỉ dẫn rất ngắn giữa các phiên tự chạy.
Chiến dịch này cũng cho thấy “AI tác nhân” (agentic AI) đang vượt ra khỏi vai trò hỗ trợ từng tác vụ đơn lẻ cho hacker, để tiến tới tự điều phối toàn bộ chuỗi hoạt động: quét mục tiêu, khai thác, duy trì hiện diện và đánh cắp dữ liệu. Dữ liệu truy vết từ tháng 7 đến 22/9 cho thấy chiến dịch đã phát triển thành hoạt động kéo dài, trong khi chi phí thấp trên mỗi mục tiêu khiến việc lặp lại tấn công trở nên khả thi về mặt kinh tế.
Bài tiếp theo: Claude phát hiện hệ thống giống CRISPR bí ẩn ẩn trong DNA của virus
