KI-Agenten greifen Hunderte Online-Shops an und erbeuten 600.000 Kreditkartendaten

Ein Angreifer hat mithilfe von drei KI-Agenten Hunderte Online-Shops attackiert. Mindestens 27 Unternehmen wurden in unterschiedlichem Ausmaß kompromittiert. Bei zwei Betroffenen kopierte die Kampagne Daten von mehr als 600.000 noch nicht abgelaufenen Kreditkarten.

Zwischen dem 10. und 15. September 2025 begann der Angreifer 105 Angriffsprojekte. Nach dem Bericht von heise online lassen sich die frühesten Aktivitäten bis Juli 2026 zurückverfolgen. Die Aktivitäten dauerten zum Zeitpunkt des Berichts weiter an.

Angriffe meist innerhalb weniger Stunden abgeschlossen

Die KI-Agenten führten die Angriffe weitgehend selbstständig aus und nahmen täglich Dutzende Unternehmen ins Visier. Nach einem erfolgreichen Zugang brauchten sie üblicherweise weniger als einen Tag, häufig nur wenige Stunden, um einen Angriff abzuschließen. Bei fünf Unternehmen installierten sie sogenannte Skimmer-Skripte, die unbemerkt Kreditkartendaten beim Bezahlvorgang abgriffen.

Zu den kompromittierten Systemen gehörten unter anderem die eines Fortune-500-Unternehmens aus dem Gastgewerbe, einer großen US-Fluggesellschaft, eines großen US-Vertriebsunternehmens für Industriebedarf und eines amerikanischen Online-Modehändlers.

Testserver ermöglichte Rekonstruktion

Die Sicherheitsforscher rekonstruierten die Kampagne anhand eines Testservers, den der Angreifer zur Vorbereitung und zum Testen seiner Einsätze nutzte. Dort fanden sie ausgeleitete Daten, Angriffswerkzeuge sowie Protokolle der KI-Agenten.

Zusätzlich überprüften die Forscher die kompromittierten Systeme. Einige eingeschleuste Programme zum Abgreifen von Kartendaten waren noch aktiv. Bereits entfernte Varianten ließen sich weiterhin in den Protokollen mehrerer Prüfprogramme nachweisen. Angaben der KI werteten die Analysten nur dann als zutreffend, wenn Protokolle erfolgreicher Angriffsabläufe sie stützten. Die Auswertung war noch nicht abgeschlossen, weshalb einzelne Fehler möglich seien. Das tatsächliche Ausmaß der Kampagne könnte größer sein als bislang dokumentiert.

Anthropic identifizierte und sperrte dem Bericht zufolge das verwendete Konto. Cloudflare gab an, die Infrastruktur des Angreifers abgeschaltet zu haben. Dieser richtete jedoch schnell neue Server ein. Weitere Einzelheiten zur Untersuchung enthält die Primärquelle zur Angriffskampagne.

Drei quelloffene KI-Agenten im Einsatz

Der Angreifer verwendete Strix zur Suche nach Schwachstellen, Cairn für automatische Angriffe und die Ausnutzung gefundener Sicherheitslücken sowie Hermes zur Verwaltung und Steuerung der Kampagne. OpenRouter, ein Dienst für den Zugang zu unterschiedlichen KI-Modellen, stellte die benötigten Modellzugriffe bereit.

Am 25. August wies das OpenRouter-Konto für einen Zeitraum von vier Wochen Ausgaben von rund 7000 US-Dollar aus. In den folgenden drei Wochen stellte der Angreifer laut den Protokollen täglich etwa doppelt so viele Anfragen an die KI-Modelle. Die Gesamtkosten werden deshalb auf 12.000 bis 18.000 US-Dollar geschätzt. In der eigenen Kostenaufstellung des Angreifers entfielen durchschnittlich 25,46 US-Dollar auf jedes Ziel.

Großteil der Karten in den USA ausgegeben

Die Anweisungen an die KI-Agenten waren auf Chinesisch verfasst. Von den erbeuteten Kreditkarten waren 79,0 Prozent in den USA ausgegeben worden. Es folgten die Vereinigten Arabischen Emirate mit 2,2 Prozent, Saudi-Arabien mit 1,1 Prozent, das Vereinigte Königreich mit 1,0 Prozent und Neuseeland mit 0,9 Prozent.