یک عامل تهدید (Threat Actor) با انگیزه‌های مالی، با بهره‌گیری از عامل‌های هوش مصنوعی (AI Agents) متن‌باز، صدها خرده‌فروش آنلاین را هدف قرار داده و بیش از ۶۰۰,۰۰۰ رکورد کارت اعتباری فعال را سرقت کرده است.
اتوماسیون حملات با هزینه پایین
بر اساس گزارش Gambit Security، هزینه هر هدف موفق در این کمپین به‌طور متوسط ۲۵.۴۶ دلار برآورد شده است. این عملیات که از جولای ۲۰۲۶ آغاز شده و همچنان ادامه دارد، از زیرساخت‌های پیشرفته‌ای برای اتوماسیون مراحل کلیدی حمله استفاده می‌کند. این مراحل شامل موارد زیر است:
- کشف آسیب‌پذیری (Vulnerability Discovery)
- اجرای اکسپلویت (Exploitation)
- سرقت داده‌ها و استخراج اطلاعات کارت‌های بانکی (Payment Card Skimming)
- پاک‌سازی تخریبی آثار حمله (Destructive Cleanup)
در بازه زمانی ۱۰ تا ۱۵ سپتامبر، این عامل تهدید ۱۰۵ پروژه حمله را آغاز کرده و دست‌کم ۲۷ سازمان را با درجات مختلف مورد نفوذ قرار داده است.
سازوکار فنی و ابزارهای مورد استفاده
در این کمپین از ترکیبی از سه ابزار عامل هوش مصنوعی متن‌باز استفاده شده است. اپراتور انسانی تنها با ارسال دستورات (Prompts) کوتاه، حملات را مدیریت کرده و کارهایی نظیر درخواست دسترسی Web-shell، تایید مسیرهای نفوذ و استقرار کدهای JavaScript برای Skimming را هدایت کرده است. در حالی که بخش‌های فنی و عملیاتی به‌طور خودمختار توسط AI انجام می‌شد.
تحقیقات نشان می‌دهد که مهاجم برای دسترسی به مدل‌های زبانی از OpenRouter استفاده کرده و در یک بازه چهار هفته‌ای، مبلغ ۷,۰۰۵.۷۱ دلار هزینه کرده است. برآورد کلی هزینه این کمپین بین ۱۲,۰۰۰ تا ۱۸,۰۰۰ دلار است که نشان‌دهنده کاهش شدید هزینه عملیاتی برای مهاجمان است.
تکنیک‌های سرقت داده و تخریب
مهاجم برای استقرار Web Skimmers از روش‌های متنوعی استفاده کرده است، از جمله:
- الحاق Loaderها به بسته‌های JavaScript قانونی
- تزریق تگ‌های اسکریپت شخص ثالث در جریان پرداخت (Checkout Flow)
- تغییر بلوک‌های Google Tag Manager و مسموم کردن محتوای میزبانی شده در Cloud
- تغییر محتوای پایگاه داده و ایجاد مکانیزم‌های Persistence
علاوه بر سرقت داده، مواردی از اتوماسیون تخریبی نیز مشاهده شده است. در برخی موارد، عامل AI دستور یافته است تا پس از استخراج داده‌ها، فیلدهای کارت پرداخت را در پایگاه‌های داده Magento پاک کند. در مورد دیگری، ۱۸۰ جدول از جمله جداول پشتیبان (Backup) ایجاد شده توسط مدیران سیستم حذف شده‌اند.
توصیه‌های امنیتی برای سازمان‌ها
این حمله نشان می‌دهد که AI می‌تواند فاصله زمانی بین افشای یک آسیب‌پذیری و نفوذ (Exposure to Compromise) را به‌شدت کاهش دهد. به خرده‌فروشان آنلاین توصیه می‌شود اقدامات زیر را به‌سرعت اجرا کنند:
- مانیتورینگ دقیق تغییرات در JavaScript و صفحات پرداخت.
- محدود کردن دسترسی‌ها به پنل‌های مدیریتی و فضای ذخیره‌سازی ابری.
- چرخش (Rotate) اعتبارنامه‌های (Credentials) لو رفته.
- بررسی مکانیزم‌های حفاظتی داده‌های پرداخت در Magento.
- جستجو برای لود شدن اسکریپت‌های خارجی غیرمجاز و بررسی Cron Jobهای مشکوک.
