KI-Agenten sollen Onlinehändler für rund 25 Dollar pro Ziel angegriffen haben

Ein Bericht über eine Cybercrime-Kampagne gegen den Onlinehandel zeigt, wie sich mehrere KI-Modelle und frei verfügbare Agenten-Frameworks zu einer weitgehend automatisierten Angriffskette verbinden lassen. Entscheidend ist dabei: Die Modelle hätten nicht eigenständig beschlossen, Unternehmen anzugreifen. Ein menschlicher Betreiber soll die Agentensysteme eingerichtet, angewiesen und in einen kriminellen Ablauf eingebettet haben – von der Erkundung über Angriffsversuche und das Abgreifen von Zahlungsdaten bis zum Versuch, Spuren zu beseitigen. 8

Was die Ermittler berichten

Nach Angaben von Gambit Security setzte ein finanziell motivierter Akteur drei Open-Source-KI-Frameworks namens Strix, Cairn und Hermes gegen Onlinehändler ein – mit nur begrenzter menschlicher Überwachung. Die Aktivitäten sollen im Juli 2026 begonnen haben und zum Zeitpunkt der Veröffentlichung noch gelaufen sein. 8

Allein zwischen dem 10. und 15. September seien 105 Angriffsprojekte gestartet worden; mindestens 27 Unternehmen seien in unterschiedlichem Ausmaß kompromittiert worden. 8 Andere Berichte beziffern den weiteren Kreis der Ziele auf bis zu 100 Organisationen und die Kosten für den Modellzugang auf rund 8.000 US-Dollar. 7

Die Ermittler beschreiben den Akteur als chinesischsprachig. Das bezieht sich auf beobachtete Sprache und operative Spuren. Daraus folgt weder eine gesicherte Identität oder Staatsangehörigkeit noch eine Verbindung zu einer Regierung.

Die Arbeitsteilung der KI-Agenten

Die Berichterstattung bringt die Kampagne mit DeepSeek- und Kimi-Modellen sowie einer älteren Claude-Version in Verbindung, die über Strix, Cairn und Hermes eingesetzt worden sein sollen. 713 Die Frameworks hätten dabei unterschiedliche Aufgaben in einem automatisierten Ablauf übernommen, nicht als einzelnes Universalwerkzeug funktioniert.

Vereinfacht dargestellt soll der Ablauf so ausgesehen haben:

1. Ziele suchen und bewerten: Agenten durchsuchten Shop-Websites nach potenziell ausnutzbaren Schwachstellen.
2. Zugriff versuchen und Erfassungscode platzieren: Gelang der Zugang, sollen Skripte zum Abgreifen von Kartendaten auf Checkout-Seiten installiert worden sein.
3. Gestohlene Daten sammeln und ordnen: Die Umgebung des Betreibers soll Kartendatensätze und weitere Betriebsdaten gespeichert haben.
4. Spuren beseitigen: Die Bereinigungsroutinen sollten Hinweise auf den Angriff entfernen. In mindestens zwei Fällen sollen sie jedoch Daten der betroffenen Unternehmen gelöscht haben. 819

Die Relevanz liegt in der Skalierung: Automatisierung kann die Arbeitszeit senken, die nötig ist, um denselben böswilligen Ablauf bei vielen Zielen zu wiederholen. Gambit spricht von Grenzkosten im Bereich einiger Dutzend Dollar pro Unternehmen; für die fünftägige Angriffswelle wurden insgesamt rund 8.000 US-Dollar genannt. Das sind Schätzwerte der Untersuchung – kein allgemeingültiger Preis für einen Angriff auf ein Unternehmen. 78

Welche Schäden bislang bekannt sind

Der berichtete Schaden ist gravierend, die öffentliche Lage aber weiterhin unvollständig. Gambit zufolge wurden mehr als 600.000 Zahlungskartendatensätze entwendet; auf Dutzenden Checkout-Seiten seien Skimming-Skripte platziert worden. 819

Forbes berichtete, der Akteur habe im Zeitraum vom 10. bis 15. September Zugriff auf mindestens 30 Websites erhalten. Wie viele der insgesamt anvisierten Organisationen tatsächlich erfolgreich kompromittiert wurden, sei jedoch unklar. 7 Weitere Berichte besagen, dass Karteninhaber aus den USA einen großen Anteil der gestohlenen Datensätze ausmachten. 6

Eine vollständige, unabhängig bestätigte Liste betroffener Unternehmen liegt in den hier verfügbaren Informationen nicht vor. Das ist ein wichtiger Unterschied: Eine Zielliste, eine kompromittierte Website, eine Checkout-Seite mit Skimmer und eine bestätigte Meldung über Datenverlust sind keine gleichwertigen Messgrößen für den tatsächlichen Schaden.

Warum die Untersuchung als belastbar gilt

Laut Berichten über Gambits Analyse hatte der Akteur Teile der für die Kampagne eingesetzten Infrastruktur versehentlich öffentlich erreichbar gemacht. Dadurch konnten Forschende offenbar auf Artefakte zugreifen, darunter die Agentenkonfiguration und Daten aus dem Angriffsbetrieb. 13

Anhand dieser Spuren konnten sie Teile der Kampagne nachvollziehen und sie mit kompromittierten Händlern, Checkout-Skimmern und Sammlungen gestohlener Kartendaten in Verbindung bringen. Die Zahl von mehr als 600.000 Datensätzen ist daher als von Ermittlern gezählter Bestand in der offengelegten Täterumgebung zu verstehen – nicht als einzeln von jedem betroffenen Händler bestätigte Zahl. 813

Was die angeblichen Claude-Ablehnungen aussagen – und was nicht

Berichten zufolge gehörte eine ältere Claude-Version zum verwendeten Technologie-Stack, während neuere Claude-Versionen ausdrücklich schädliche Anfragen abgelehnt haben sollen. 7 Das entspricht dem Zweck verbesserter Schutzmechanismen: Anforderungen für schädliche Cyberaktivitäten zurückzuweisen.

Die öffentlich verfügbaren Informationen enthalten jedoch keinen kontrollierten technischen Vergleich der betreffenden Modellversionen, keine vollständigen Prompts und keine genaue Dokumentation der umgebenden Agentenkonfiguration. Es wäre deshalb zu weitgehend, einem einzelnen Modell die Verantwortung für die Kampagne zuzuschreiben oder aus späteren Ablehnungen allein eine eindeutige Erklärung abzuleiten. Ausschlaggebend war die Konstruktion des Werkzeugs, der Zugänge und des Arbeitsablaufs durch den Betreiber.

Was Händler daraus ableiten sollten

Gambit erklärte, die Kampagne dauere an und der Akteur baue Infrastruktur neu auf. 8 Der Bericht des Unternehmens ist die zentrale öffentliche Darstellung zu Umfang und Vorgehensweise. Die Shadowserver Foundation wiederum versendet zugeschnittene Hinweise zur Behebung von Sicherheitsproblemen an geprüfte Netzbetreiber, Behörden und nationale CSIRT-Partner – also Computer-Sicherheits-Notfallteams. Das kann helfen, verifizierte Informationen über Kompromittierungen schnell an Stellen weiterzugeben, die Gegenmaßnahmen umsetzen können. 18

Für Onlinehändler ist die unmittelbare Lehre praktisch: Checkout-Seiten, eingebundene Skripte von Drittanbietern, öffentlich erreichbare Verwaltungsoberflächen und Wiederherstellungsprozesse müssen fortlaufend überwacht werden. Die berichteten Datenlöschungen zeigen außerdem, dass Notfallvorsorge nicht bei der Erkennung eines Angriffs enden darf. Ebenso wichtig sind die Wiederherstellung – insbesondere getestete, getrennt aufbewahrte Backups – und die Überwachung unautorisierter Änderungen an Zahlungsabläufen.

Die größere Veränderung ist wirtschaftlicher Natur: KI-Agenten können wiederkehrende Angriffsschritte günstiger und schneller machen. Sie ersetzen aber weder einen Betreiber noch Infrastruktur, Zugangsmöglichkeiten oder Verteidigungschancen. Die Antwort darauf bleibt operativ: Angriffsflächen reduzieren, Veränderungen rasch erkennen, die Wiederherstellbarkeit prüfen und bestätigte Indikatoren mit vertrauenswürdigen Stellen teilen. 818