ИИ-агенты атаковали интернет-магазины: исследователи оценили цену в десятки долларов за цель

Это не история о том, как ИИ «сам решил» взламывать магазины. Согласно расследованию, оператор настроил и направлял агентные системы, способные с минимальным участием человека выполнять большую часть цепочки атаки: разведку, попытки эксплуатации уязвимостей, сбор платёжных данных и заметание следов. 8

Что установили исследователи

Компания Gambit Security сообщила, что финансово мотивированный злоумышленник использовал против онлайн-ритейлеров три открытых агентных фреймворка — Strix, Cairn и Hermes. Кампания началась в июле 2026 года и на момент публикации исследования, по данным Gambit, продолжалась. 8

За пять дней — с 10 по 15 сентября — было запущено 105 атакующих проектов, а как минимум 27 компаний оказались скомпрометированы в той или иной степени. 8 В других публикациях общий охват целей оценивался как до 100 организаций, а расходы на доступ к моделям — приблизительно в 8 000 долларов. 7

Исследователи характеризуют оператора как китайскоязычного. Это описание основано на языке и операционных артефактах; само по себе оно не устанавливает ни личность, ни гражданство, ни связь с каким-либо государством.

Как работала связка ИИ-агентов

По сообщениям СМИ, в кампании использовались модели DeepSeek и Kimi, а также более ранняя версия Claude, подключённые к Strix, Cairn и Hermes. 713 Эти фреймворки, как утверждается, выполняли разные роли в автоматизированном процессе, а не были единым универсальным инструментом.

На высоком уровне схема выглядела так:

1. Поиск и оценка целей. Агенты проверяли сайты ритейлеров в поисках потенциально уязвимых точек.
2. Попытки получить доступ и внедрить код сбора данных. После получения доступа на страницах оформления заказа, по данным расследования, размещались скрипты для перехвата данных банковских карт.
3. Сбор и упорядочивание похищенной информации. В инфраструктуре оператора хранились записи о платёжных картах и операционные данные кампании.
4. Попытки зачистки. Эти действия должны были скрывать следы, однако как минимум в двух случаях они, по сообщениям, привели к уничтожению данных жертв. 819

Главный вывод — автоматизация может резко сократить время, необходимое человеку для повторения вредоносного сценария на множестве целей. Gambit оценила предельную стоимость атаки в десятки долларов на компанию; при этом в публикациях о пятидневном периоде фигурирует общая сумма около 8 000 долларов. Это оценки в рамках конкретного расследования, а не универсальный «тариф» на взлом бизнеса. 78

Масштаб ущерба: что известно

По данным Gambit, было похищено более 600 000 записей платёжных карт, а веб-скиммеры размещались на десятках страниц оформления заказа. 819

Forbes писал, что в период с 10 по 15 сентября злоумышленник получил доступ как минимум к 30 сайтам; при этом точное число успешных взломов среди всех намеченных организаций остаётся неясным. 7 Другая публикация отмечала, что значительная доля похищенных записей принадлежала держателям карт из США. 6

Полный и независимо подтверждённый перечень затронутых компаний в доступных материалах не опубликован. Важно не смешивать разные показатели: цель атаки, скомпрометированный сайт, страница с установленным скиммером и подтверждённая утечка данных — это не одно и то же.

Почему кампанию сочли достоверной

Согласно публикациям о расследовании Gambit, оператор оставил часть использовавшейся инфраструктуры доступной из интернета. Исследователи получили доступ к артефактам, связанным с настройкой агентов и данными операции. 13

Это позволило восстановить части сценария и сопоставить их со скомпрометированными магазинами, скиммерами на страницах оплаты и хранилищами похищенных карточных данных. Поэтому цифру в более чем 600 000 записей следует понимать как подсчёт исследователей на основе обнаруженной преступной инфраструктуры, а не как результат поштучного подтверждения от каждого пострадавшего продавца. 813

Что означает отказ новых версий Claude

В публикациях говорится, что в связке использовалась более ранняя версия Claude, тогда как новые версии Claude отказывались выполнять явно вредоносные запросы. 7 Это соответствует назначению усиленных защитных механизмов моделей: они должны отклонять запросы, связанные с опасной киберактивностью.

Однако в открытых материалах нет контролируемого технического сравнения версий, полных текстов запросов и деталей конфигурации агентной среды. Было бы неверно утверждать, что за кампанию «ответственна» какая-то одна модель или что одни лишь последующие отказы объясняют различия. Решающим фактором оставались замысел оператора, его инфраструктура, полученный доступ и построенный им процесс.

Что делать интернет-магазинам

Gambit сообщила, что кампания продолжается, а оператор восстанавливает инфраструктуру. 8 Основной публичный источник сведений о её масштабе и методах — исследование самой Gambit. Shadowserver Foundation, в свою очередь, рассылает адресные отчёты об устранении угроз проверенным владельцам сетей, государственным структурам и национальным CSIRT — командам реагирования на компьютерные инциденты. Такой канал помогает передавать подтверждённые сведения тем, кто может устранить компрометацию. 18

Практический вывод для ритейла: постоянного контроля требуют страницы оплаты, сторонние скрипты, открытые административные интерфейсы и процедуры восстановления. Сообщения об уничтожении данных показывают, что готовность к инциденту должна включать не только обнаружение атаки, но и проверенное восстановление.

Особенно важны мониторинг несанкционированных изменений в платёжных сценариях и изолированные, регулярно тестируемые резервные копии. ИИ-агенты делают повторяющиеся атакующие действия быстрее и дешевле, но не отменяют потребность злоумышленника в операторе, инфраструктуре и путях доступа — а значит, оставляют возможности для защиты. Снижение внешней поверхности атаки, быстрое обнаружение изменений, проверка способности к восстановлению и обмен валидированными индикаторами с доверенными центрами реагирования остаются базовыми мерами. 818