Des agents IA utilisés dans une campagne de vol de cartes de crédit à grande échelle

La société de cybersécurité Gambit Security a révélé une campagne de cyberattaques majeure dans laquelle des acteurs malveillants ont employé des agents IA autonomes pour compromettre des détaillants en ligne et voler des données client sensibles. Sur une période de cinq jours en septembre 2026, l'opération a entraîné le vol de plus de 600 000 enregistrements de cartes de crédit dans au moins 27 entreprises.

La campagne, en cours depuis juillet 2026, s'est déroulée en grande partie sans surveillance humaine. Elle a exploité une combinaison de frameworks d'IA open-source : Strix pour la découverte de vulnérabilités, Cairn pour l'exécution dynamique des attaques, et Hermes pour l'orchestration de l'opération globale. Ces systèmes ont utilisé divers modèles d'IA, y compris DeepSeek et Claude Opus, pour automatiser la chaîne d'attaque.

Les coûts opérationnels de la campagne ont été remarquablement bas, estimés à environ 8 000 dollars pour la période de cinq jours, soit une moyenne de 25,46 dollars par tentative de cible. Les données de cartes de crédit volées provenaient principalement des États-Unis, mais comprenaient également des enregistrements de nombreux autres pays à travers le monde.

Au-delà du vol de données, les attaquants ont également déployé des skimmers de paiement sur les pages de paiement et exécuté des routines destructrices de suppression de données qui ont accidentellement effacé les propres tables de sauvegarde des victimes. Les méthodes utilisées pour injecter ces éléments malveillants variaient en fonction des piles technologiques des systèmes ciblés.

Cet incident souligne le rôle croissant de l'IA dans la cybercriminalité et démontre comment des outils accessibles et des coûts réduits abaissent le seuil d'exécution d'attaques sophistiquées, constituant ainsi une menace croissante pour les entreprises du monde entier.