KI-Agenten greifen Onlineshops an: Mindestens 27 Unternehmen kompromittiert

Ein öffentlich erreichbarer Server gab Sicherheitsforschern ungewöhnlich tiefe Einblicke in eine Angriffskampagne gegen Onlineshops. Nach Angaben von Gambit Security setzte ein chinesischsprachiger Betreiber drei quelloffene KI-Agentenwerkzeuge ein, die einen Großteil der Arbeit ohne laufende Betreuung erledigten. Auf dem Server fanden sich aber auch Werkzeuge und Anweisungen, die zeigen: Hinter den Angriffen stand weiterhin ein Mensch, der sie lenkte. 35

Drei Werkzeuge, ein gesteuerter Ablauf

Strix suchte nach Schwachstellen, Cairn versuchte sie auszunutzen, und Hermes startete und koordinierte die einzelnen Angriffe. Berichten zufolge kamen dabei unter anderem die KI-Modelle DeepSeek, Kimi und eine ältere Version von Claude zum Einsatz. Nach erfolgreichen Zugriffen wurden auch Skimmer auf Bezahlseiten platziert – Schadcode, der dort eingegebene Zahlungsdaten abgreift. 134

Gambit beschreibt den Ablauf als fast vollständig ohne laufende Betreuung, nicht als Angriff ohne menschliche Steuerung. Die offengelegte Infrastruktur enthielt auch Anweisungen, mit denen der Betreiber die Agenten lenkte. Wie häufig er bei einzelnen Angriffen eingriff, lässt sich aus den vorliegenden Informationen nicht bestimmen. 35

Was die Zahlen tatsächlich belegen

Für den Zeitraum 10. bis 15. September rekonstruierten die Forscher 105 gestartete Angriffsprojekte. Mindestens 27 Unternehmen wurden in unterschiedlichem Ausmaß kompromittiert. Das ist ein wichtiger Unterschied: Ein gestartetes Projekt belegt noch keinen erfolgreichen Einbruch. 29

Gambit berichtet von mehr als 600.000 gestohlenen Zahlungskartendatensätzen; ein weiterer Bericht ordnet diese Zahl Daten von zwei Opfern zu. Die Forscher fanden zudem Hinweise auf Skimmer an Bezahlseiten, sowohl bei identifizierten Opfern als auch auf weiteren infizierten Websites. Der offene Server und die Skimmer stützen die Darstellung der Kampagne. Eine unabhängige Bestätigung der gesamten Datensatz-Zahl durch Kartenherausgeber dokumentieren die vorliegenden Quellen jedoch nicht. 234

Auch die Kostenangaben beschreiben Verschiedenes: Berichte beziffern die Ausgaben für fünf Tage auf rund 8.000 US-Dollar. Eine gesonderte Kostenaufstellung des Betreibers nennt dagegen durchschnittlich 25,46 US-Dollar für 101 abgeschlossene Scans. Dieser Durchschnitt ist weder der Preis jedes erfolgreichen Einbruchs noch eine Aufschlüsselung der Fünf-Tage-Summe. 110

Mehr Schaden als Datendiebstahl

Nach Angaben von Gambit zerstörte die Aufräumroutine eines Agenten in einem Fall Daten eines Opfers. Gambit veröffentlichte seine Erkenntnisse, während es die Kampagne als weiterhin aktiv beschrieb. Der Fall zeigt damit nicht nur, wie schnell ein Betreiber mithilfe von KI-Agenten viele Angriffe anstoßen kann, sondern auch, dass automatisierte Schritte nach einem Einbruch zusätzlichen Schaden verursachen können. 3

Dass Berichte Claude unter den eingesetzten Modellen nennen, belegt keine konkrete Reaktion von Anthropic auf diese Kampagne. Anthropic hat separat beschrieben, wie das Unternehmen gegen Missbrauch seiner KI vorgeht und gegebenenfalls Erkenntnisse weitergibt. Die vorliegenden Quellen verknüpfen diese Maßnahmen jedoch nicht mit den Angriffen auf Onlineshops. 121