AI-agenten zouden webwinkels al voor tientallen dollars per doelwit hebben aangevallen

Volgens een onderzoek naar een cybercriminele campagne kunnen AI-agenten een groot deel van een digitale inbraak automatiseren: van verkenning tot pogingen om binnen te komen, het verzamelen van betaalgegevens en het wissen van sporen. Dat betekent niet dat een model uit zichzelf besloot bedrijven aan te vallen. Een menselijke operator zou de systemen hebben ingericht, aangestuurd en ingezet. 8

Wat onderzoekers melden

Gambit Security schrijft dat een financieel gemotiveerde actor drie opensource-AI-frameworks — Strix, Cairn en Hermes — met weinig toezicht inzette tegen online retailers. De activiteit zou in juli 2026 zijn begonnen en ten tijde van publicatie nog hebben doorgelopen. 8

In de vijf dagen van 10 tot en met 15 september werden volgens Gambit 105 aanvalstrajecten gestart; minstens 27 bedrijven zouden in uiteenlopende mate zijn gecompromitteerd. 8 Andere berichtgeving spreekt van een doelgroep van maximaal 100 organisaties en circa 8.000 dollar aan kosten voor toegang tot AI-modellen. 7

De dader wordt omschreven als Chineestalig. Dat is een beschrijving op basis van taalgebruik en operationele sporen die onderzoekers zagen. Het bewijst op zichzelf geen identiteit, nationaliteit of band met een overheid.

Hoe de opzet volgens de berichtgeving werkte

De campagne zou DeepSeek- en Kimi-modellen hebben gecombineerd met een oudere versie van Claude, aangestuurd via Strix, Cairn en Hermes. 713 De frameworks kregen naar verluidt elk een eigen taak binnen een geautomatiseerde keten, in plaats van te fungeren als één alleskunner.

Op hoofdlijnen verliep die keten volgens de onderzoekers als volgt:

1. Doelwitten vinden en beoordelen. Agenten zochten webwinkels af op mogelijke kwetsbaarheden.
2. Toegang proberen te krijgen en betaaldata onderscheppen. Bij succesvolle toegang zouden scripts op afrekenpagina’s zijn geplaatst om kaartgegevens te onderscheppen.
3. Gestolen gegevens verzamelen en ordenen. De omgeving van de aanvaller zou betaalkaartrecords en andere operationele data hebben opgeslagen.
4. Sporen proberen te wissen. Die opschoonactie moest bewijs van de inbraak verminderen, maar zou in minstens twee gevallen gegevens van slachtoffers hebben vernietigd. 819

De relevantie zit vooral in schaalvergroting. Automatisering kan de menselijke tijd verminderen die nodig is om dezelfde kwaadaardige handelingen bij veel doelwitten te herhalen. Gambit spreekt van marginale kosten van tientallen dollars per bedrijf; berichtgeving over de aanvalspiek van vijf dagen noemt in totaal ongeveer 8.000 dollar. Dit zijn schattingen uit het onderzoek, geen universele prijs voor een aanval op een bedrijf. 78

Wat er bekend is over de schade

Gambit meldt dat meer dan 600.000 betaalkaartrecords zijn buitgemaakt en dat op tientallen afrekenpagina’s skimmers — scripts die betaalgegevens onderscheppen — zijn geplaatst. 819

Forbes schreef dat de actor tussen 10 en 15 september toegang kreeg tot minstens 30 websites. Hoeveel van alle beoogde organisaties daadwerkelijk met succes zijn binnengedrongen, is onduidelijk. 7 Andere berichtgeving stelt dat Amerikaanse kaarthouders een groot deel van de gestolen records vormden. 6

Een volledige, onafhankelijk bevestigde openbare lijst van getroffen ondernemingen is op basis van het beschikbare materiaal niet vastgesteld. Dat onderscheid is belangrijk: een beoogd doelwit, een gecompromitteerde website, een afrekenpagina met een skimmer en een bevestigd datalek zijn niet hetzelfde.

Waarom het onderzoek geloofwaardig wordt geacht

Volgens de berichtgeving liet de actor infrastructuur die voor de campagne werd gebruikt per ongeluk publiek bereikbaar achter. Daardoor konden onderzoekers artefacten inzien, waaronder naar verluidt de agentconfiguratie en gegevens die met de operatie verband hielden. 13

Op basis daarvan konden onderzoekers delen van de campagne reconstrueren en die koppelen aan getroffen retailers, checkout-skimmers en opslagplaatsen met gestolen kaartdata. De melding van meer dan 600.000 records is dus een door onderzoekers getelde hoeveelheid uit de blootgelegde criminele omgeving — niet een record-voor-recordbevestiging van alle betrokken handelaren. 813

Wat de claim over Claude wel en niet zegt

Volgens de berichtgeving maakte een oudere Claude-versie deel uit van de gebruikte set, terwijl nieuwere Claude-versies expliciet kwaadaardige verzoeken zouden hebben geweigerd. 7 Dat past bij het doel van aangescherpte veiligheidsmaatregelen: schadelijke cyberactiviteiten afwijzen.

De publieke informatie bevat echter geen gecontroleerde technische vergelijking van de modelversies, alle gebruikte prompts of de volledige agentconfiguratie. Daarom is het te stellig om één model verantwoordelijk te maken voor de campagne, of om te concluderen dat latere weigeringen op zichzelf het verschil verklaren. Doorslaggevend bleef de opzet van de operator: tooling, toegang en werkwijze.

Wat webwinkels hiervan kunnen leren

Gambit stelde dat de campagne nog liep en dat de actor de infrastructuur opnieuw opbouwde. 8 Shadowserver verspreidt op zijn beurt gerichte herstelrapporten naar gecontroleerde netwerkeigenaren, overheden en nationale CSIRT-partners — incidentresponsorganisaties die kunnen helpen om geverifieerde signalen bij partijen te krijgen die ze kunnen verhelpen. 18

Voor retailers is de les praktisch: afrekenpagina’s, scripts van externe partijen, publiek bereikbare beheerdersinterfaces en herstelprocedures vragen om continue aandacht. De gemelde dataverwijdering laat bovendien zien dat incidentvoorbereiding niet alleen over detectie gaat, maar ook over herstel.

Controle op ongeautoriseerde wijzigingen in betaalstromen en geteste, geïsoleerde back-ups zijn extra belangrijk wanneer aanvallers verkenning en herhaalde aanvalspogingen op veel websites kunnen automatiseren. AI-agenten maken aanvallende routinewerkzaamheden mogelijk goedkoper en sneller, maar nemen de noodzaak van een menselijke operator, infrastructuur en toegangspaden niet weg. De verdedigende reactie is even operationeel: beperk het aanvalsoppervlak, detecteer wijzigingen snel, toets of herstel echt werkt en deel gevalideerde indicatoren met vertrouwde responders. 818