یک اپراتور با انگیزه‌های مالی توانسته است با استفاده از سه ابزار متن‌باز (Open-source) مبتنی بر هوش مصنوعی، صدها خرده‌فروش آنلاین را هدف قرار دهد. این حملات که تقریباً به‌صورت کاملاً خودکار مدیریت شده‌اند، منجر به سرقت بیش از ۶۰۰,۰۰۰ رکورد کارت اعتباری و استقرار اسکریپت‌های Card-skimming در صفحات پرداخت ده‌ها وب‌سایت شده است.
اقتصاد جدید حملات سایبری
نکته تکان‌دهنده در این کمپین، هزینه بسیار پایین آن است. بر اساس تحلیل‌های تیم Threat Intelligence شرکت Gambit Security، این مهاجم بین آگوست تا سپتامبر ۲۰۲۶، مبلغی بین ۱۲ تا ۱۸ هزار دلار برای دسترسی به مدل‌های AI از طریق OpenRouter هزینه کرده است. با محاسبه میانگین، هزینه هر حمله موفق تنها ۲۵.۴۶ دلار بوده است. این موضوع نشان می‌دهد که سد اقتصادی پیشین که مانع از حملات گسترده توسط مهاجمان کم‌مهارت می‌شد، اکنون از بین رفته است.
معماری ابزارهای مورد استفاده
این حملات با همکاری سه ابزار AI پیشرفته اجرا شده‌اند:
- Strix: مسئول شناسایی خودکار آسیب‌پذیری‌ها (Vulnerability Discovery).
- Cairn: اجرای عملیات Exploit به‌صورت End-to-End برای دستیابی به دسترسی Shell یا Admin.
- Hermes: ارکستراتور کل کمپین که وظیفه هدایت عملیات و ارائه دستورات تاکتیکی در مرحله Impact را بر عهده داشت.
سرعت این حملات فراتر از توان تیم‌های انسانی است؛ به‌طوری که در یک بازه زمانی کوتاه، ابزار Strix توانست ۶۳۳ ساعت اسکن عمیق را تنها در ۱۹۵ ساعت زمان واقعی اجرا کند.
مسیر نفوذ و تکنیک‌های تخریب
یکی از زنجیره‌های حمله مستند شده، با یک SQL Injection بدون نیاز به احراز هویت آغاز شده و با دور زدن MFA از طریق خواندن OTP، آپلود Web Shell و ارتقای سطح دسترسی به Root ادامه یافت. در نهایت، مهاجم با دسترسی به AWS Secrets Manager و دیتابیس Magento، کلیدهای رمزنگاری را استخراج و شماره کارت‌ها را رمزگشایی کرد.
علاوه بر سرقت داده‌ها، این عامل از قابلیت Database Wipe After Extraction استفاده کرد تا پس از استخراج اطلاعات، رکوردهای دیتابیس قربانی را برای پاکسازی ردپا یا تخریب، حذف کند. همچنین روش‌های متنوعی برای تزریق Skimmerها به کار گرفته شد، از جمله مسموم کردن S3 Bucketها و استفاده از Kubernetes initContainer.
چالش‌های دفاعی در عصر AI
این کمپین ثابت کرد که سرعت شناسایی و بهره‌برداری از آسیب‌پذیری‌ها توسط AI، بسیار سریع‌تر از چرخه Patching و پاسخگویی تیم‌های SOC است. در حالی که شناسایی و پاکسازی در محیط‌های پیچیده هفته‌ها زمان می‌برد، دسترسی مهاجم به سیستم در کمتر از یک روز حاصل شده است.
