Agentes de IA teriam invadido lojas online por cerca de US$ 25 por alvo

Uma campanha de cibercrime contra o varejo online mostra como um operador pode combinar modelos de IA com frameworks abertos de agentes para automatizar grande parte de uma invasão. O ponto central não é que um modelo tenha decidido atacar empresas por conta própria: segundo a investigação, houve um operador que configurou e orientou sistemas de agentes para fazer reconhecimento, tentar exploração de falhas, coletar dados de pagamento e apagar rastros em escala. 8

O que os investigadores relataram

A Gambit Security afirmou que um ator com motivação financeira vinha usando três harnesses — estruturas para orquestrar agentes de IA — de código aberto: Strix, Cairn e Hermes. A atividade teria começado em julho de 2026 e ainda estaria em andamento quando a pesquisa foi publicada. 8

Nos cinco dias entre 10 e 15 de setembro, foram lançados 105 projetos de ataque, e ao menos 27 empresas teriam sido comprometidas em diferentes graus, segundo a Gambit. 8 Outra reportagem descreveu um universo de até 100 organizações visadas e estimou em cerca de US$ 8 mil o custo de acesso aos modelos. 7

O operador foi descrito como falante de chinês. A formulação se baseia em observações de idioma e artefatos operacionais; sozinha, ela não determina identidade, nacionalidade nem qualquer ligação com um governo.

Como a estrutura de agentes teria operado

As reportagens associaram a campanha aos modelos DeepSeek e Kimi e a uma versão mais antiga do Claude, conectados aos frameworks Strix, Cairn e Hermes. 713 Em vez de uma única ferramenta com todas as funções, os sistemas teriam recebido papéis diferentes dentro de um fluxo automatizado.

Em linhas gerais, o processo descrito foi este:

1. Localizar e avaliar alvos. Os agentes buscariam fragilidades potencialmente exploráveis em sites de varejo.
2. Tentar acesso e instalar código de coleta. Quando obtinham acesso, os invasores teriam inserido scripts de skimming — código que captura dados digitados pelo cliente — nas páginas de checkout.
3. Coletar e organizar os dados roubados. O ambiente do operador teria armazenado registros de cartões e informações operacionais.
4. Tentar eliminar evidências. A rotina de limpeza buscaria reduzir rastros da invasão, mas, em ao menos dois casos, teria apagado dados das próprias vítimas. 819

O aspecto mais relevante é econômico: a automação pode reduzir o tempo humano necessário para repetir uma sequência maliciosa contra muitos alvos. A Gambit estimou um custo marginal de dezenas de dólares por empresa — daí a referência a cerca de US$ 25 por alvo —, enquanto a cobertura sobre o pico de cinco dias citou gasto total próximo de US$ 8 mil. São estimativas da investigação, não um preço universal para atacar uma empresa. 78

Dados roubados e empresas afetadas

O impacto relatado é grave, mas as divulgações públicas ainda não permitem mapear todo o caso. A Gambit afirmou que mais de 600 mil registros de cartões de pagamento foram obtidos e que scripts de captura foram instalados em dezenas de páginas de checkout. 819

A Forbes informou que o ator conseguiu acesso a pelo menos 30 sites entre 10 e 15 de setembro, embora permaneça incerto quantas das organizações visadas foram efetivamente invadidas. 7 Outra cobertura indicou que titulares de cartões dos Estados Unidos representavam uma parcela expressiva dos registros roubados. 6

Não há, no material disponível, uma relação completa e confirmada de forma independente das empresas afetadas. Essa distinção é importante: uma lista de alvos, um site comprometido, uma página de pagamento com skimmer e uma confirmação formal de vazamento não são a mesma medida de impacto.

Por que a campanha foi considerada crível

Segundo a cobertura da investigação da Gambit, o operador deixou exposta na internet a infraestrutura usada na campanha. Isso teria permitido aos pesquisadores acessar artefatos ligados à configuração dos agentes e aos dados associados à operação. 13

Com esses artefatos, os pesquisadores conseguiram reconstruir parte da atividade e relacioná-la a varejistas comprometidos, skimmers em checkouts e repositórios de dados de cartões roubados. Assim, o total de mais de 600 mil registros deve ser entendido como uma contagem reportada pelos investigadores a partir do ambiente criminoso exposto — e não como uma validação registro a registro divulgada por cada lojista afetado. 813

O que a alegação sobre recusas do Claude mostra — e o que não mostra

As reportagens disseram que uma versão mais antiga do Claude fez parte da estrutura usada, enquanto versões mais novas teriam recusado pedidos explicitamente maliciosos. 7 Isso é compatível com o objetivo de mecanismos de segurança mais robustos: rejeitar solicitações voltadas a atividades cibernéticas nocivas.

Ainda assim, o material público não traz uma comparação técnica controlada entre as versões, todos os prompts usados nem a configuração completa dos agentes. Seria exagerado concluir que um único modelo foi o responsável pela campanha, ou que as recusas das versões posteriores explicam sozinhas a diferença. O fator decisivo, segundo o que foi relatado, foi o desenho feito pelo operador: ferramentas, acessos, infraestrutura e fluxo de trabalho.

O que varejistas devem tirar do caso

A Gambit disse que a campanha continuava e que o ator estava reconstruindo sua infraestrutura. 8 A empresa fornece o principal relato público sobre escala e métodos. Já a Shadowserver Foundation distribui relatórios de remediação sob medida para proprietários de redes verificados, governos e parceiros nacionais de CSIRT — equipes de resposta a incidentes de segurança —, um canal que pode levar indicadores confirmados a quem tem condições de corrigir os problemas. 18

Para o varejo, a conclusão imediata é prática: páginas de pagamento, scripts de terceiros, painéis administrativos expostos e procedimentos de recuperação exigem acompanhamento contínuo. Os relatos de apagamento de dados reforçam que preparação para incidentes envolve tanto restauração quanto detecção.

Monitorar mudanças não autorizadas no fluxo de pagamento e manter backups isolados e testados são medidas especialmente importantes quando atacantes conseguem automatizar reconhecimento e tentativas repetidas em muitos sites. A IA pode tornar tarefas ofensivas repetitivas mais baratas e rápidas, mas não elimina a necessidade de um operador, de infraestrutura, de caminhos de acesso — nem as oportunidades de defesa. Reduzir a superfície exposta, detectar alterações cedo, testar a recuperação e compartilhar indicadores validados com equipes confiáveis continuam sendo os pontos essenciais. 818