ИИ-агенты за пять дней взломали десятки магазинов и украли более 600 тысяч записей с данными карт

С 10 по 15 сентября злоумышленник использовал три открытых ИИ-инструмента для атак на десятки интернет-магазинов. Основной целью были данные действующих банковских карт. По данным Gambit Security, удалось вывести свыше 600 тысяч записей из систем двух компаний, а всего пострадали не менее 27 организаций.

Атаки начались ещё в июле 2026 года и продолжаются до сих пор. Среди затронутых — компания из списка Fortune 500 в гостиничном бизнесе, крупная американская авиакомпания, поставщик промышленной продукции и онлайн-магазин одежды. Масштаб указывает на широкую кампанию.

Три инструмента выполняли разные задачи: первый искал уязвимости, второй автономно развивал атаку до получения оболочки или административного доступа, связывая уязвимости и ошибки конфигурации в длинные цепочки, третий координировал компоненты и подсказывал следующие шаги. Оператор отправлял короткие запросы на китайском языке — обычно указывал цель или следующий этап. Для доступа к моделям использовалась платформа OpenRouter, расходы на которую оцениваются в 12–18 тысяч долларов.

В одном случае путь шёл от SQL-инъекции через обход многофакторной аутентификации до удалённого выполнения кода, затем — root-доступ, доступ к AWS Secrets Manager и базе Magento с зашифрованными картами. Веб-скиммеры внедрялись в JavaScript, Google Tag, S3-бакеты и Kubernetes. В одном магазине автодеплой удалял вредоносный код, но cron каждые две минуты возвращал его обратно.

Для российских компаний это тревожный сигнал: подобные сценарии применимы к любым веб-приложениям, включая отечественные системы управления контентом. Автономные агенты способны быстро находить и эксплуатировать слабые места, а в одном зафиксированном случае атака сократилась с недель до нескольких часов. Даже если у вас нет зарубежных облачных сервисов, аналогичные инструменты могут быть нацелены на российские платформы. Важно заранее проверить, насколько быстро вы сможете восстановить критичные системы после массовой компрометации и потери данных.

Gambit Security рекомендует заблаговременно выделить ключевые системы, критичные для работы бизнеса, и убедиться, что скорость восстановления приемлема при одновременной компрометации и потере данных. Также стоит пересмотреть процедуры реагирования с учётом того, что атака может развиваться за несколько часов. Дополнительно полезно усилить мониторинг изменений в коде сайтов и конфигурациях серверов, чтобы вовремя заметить внедрение скиммеров.