Autonome AI-Agenten stehlen 600.000 Kreditkarten bei 25 Dollar pro Angriff

Autonome AI-Agenten stehlen 600.000 Kreditkarten bei 25 Dollar pro Angriff

Ein finanziell motivierter, chinesischsprachiger Angreifer hat nach Angaben des Sicherheitsunternehmens Gambit Security seit Juli 2026 hunderte Online-Händler mit autonomen AI-Agenten angegriffen. Dabei kamen drei Open-Source-Frameworks zum Einsatz, die Schwachstellensuche, Ausnutzung und Orchestrierung weitgehend selbstständig übernahmen. Zwischen dem 10. und 15. September 2026 startete der Betreiber 105 Angriffsprojekte und kompromittierte mindestens 27 Unternehmen. Von zwei Opfern wurden über 600.000 noch gültige Kreditkartendatensätze gestohlen, auf fünf Websites installierten die Agenten Skimmer-Skripte. Die durchschnittlichen Kosten pro kompromittiertem Unternehmen lagen bei etwa 25,46 US-Dollar. Die Kampagne reicht nach Gambit-Angaben mindestens bis Juli 2026 zurück und war zum Zeitpunkt der Veröffentlichung am 22. September 2026 weiterhin aktiv. Gambit Security rekonstruierte den Angriff anhand eines exponierten Staging-Servers des Angreifers und dokumentierte damit erstmals eine konkrete, in diesem Umfang öffentlich belegte Kampagne mit autonomen AI-Agenten.

Strix, Cairn, Hermes: Die Toolchain des Angreifers

Die Angriffskette stützte sich auf drei Open-Source-Frameworks, die arbeitsteilig zusammenwirkten. Für die Schwachstellensuche setzte der Angreifer das Tool Strix ein. Zwischen dem 23. und 31. August 2026 lief Strix 146 Mal im Deep Mode gegen 138 Hosts, über OpenRouter mit den Modellen GLM 5.2 und DeepSeek v4 Pro. Die dabei generierten Berichte übergab das System an Cairn, eine autonome Penetrationstest-Engine. Cairn startete insgesamt 105 Angriffsprojekte und übernahm die eigentliche Ausnutzung der gefundenen Schwachstellen. Die dritte Komponente, Hermes, diente als Orchestrierungsebene: Sie koordinierte den Ablauf, traf taktische Entscheidungen und steuerte die Post-Exploitation-Schritte. Nach Angaben von Gambit Security lief Hermes auf dem Modell Claude Opus 4.6. Der menschliche Betreiber gab lediglich kurze Anweisungen auf Chinesisch vor; die Agenten arbeiteten die Ziele weitgehend eigenständig ab. Diese Kombination aus Schwachstellensuche, Exploitation und Orchestrierung ermöglichte es, dutzende Unternehmen pro Tag zu bearbeiten, ohne dass ein Mensch jeden Schritt manuell ausführen musste.

Wirtschaftlichkeit des Angriffs: 25 Dollar pro Opfer, 12.000 Dollar für KI-Zugriff

Die Kostenstruktur der Kampagne zeigt, wie günstig automatisierte Angriffe geworden sind. Basierend auf 101 abgeschlossenen Scans beliefen sich die durchschnittlichen Kosten pro kompromittiertem Unternehmen auf 25,46 US-Dollar. Einzelne Angriffe kosteten laut Gambit Security zwischen 3,13 und 79,31 US-Dollar, abhängig davon, wie schwer das jeweilige Ziel zu knacken war. Für den Zugriff auf die KI-Modelle über OpenRouter gab der Angreifer nach Schätzungen von Gambit Security insgesamt 12.000 bis 18.000 US-Dollar aus. Die Skalierung wird an der Zahl der gestarteten Projekte deutlich: Allein zwischen dem 10. und 15. September 2026 wurden 105 Angriffsprojekte initiiert. Bei diesen Kosten ist die wirtschaftliche Hürde für Angriffe auf kleine und mittlere Online-Händler praktisch entfallen – ein einzelner Betreiber kann mit überschaubarem Budget eine große Zahl von Zielen abarbeiten, ohne dass die Ausgaben pro Opfer ins Gewicht fallen.

Opfer: Fortune-500-Unternehmen, Fluggesellschaft und zerstörte Backups

Zu den betroffenen Unternehmen gehören nach Angaben von Gambit Security ein Fortune-500-Unternehmen aus dem Gastgewerbe, eine große US-Fluggesellschaft, ein großer privater US-Industriebedarfsdistributor sowie ein US-Online-Modehändler. Auf den Websites von fünf Unternehmen installierten die Angreifer Skimmer-Skripte, die Zahlungsdaten von Kunden abfingen. Von zwei Unternehmen wurden über 600.000 noch gültige Kreditkartendatensätze gestohlen. In mindestens einem Fall zerstörte die Cleanup-Routine des Agenten die Datenbank-Backups des Opfers – ein Nebeneffekt, der nicht vom Betreiber beabsichtigt gewesen sein muss, aber den Schaden für das betroffene Unternehmen erheblich vergrößerte. Die Kampagne traf damit nicht nur kleine Webshops, sondern auch große Organisationen mit professioneller IT-Infrastruktur. Gambit Security bezeichnete den Bericht als vorläufig und geht davon aus, dass die tatsächliche Zahl der Opfer höher liegt.

Widersprüchliche Berichte: Gambit Security vs. Forbes

Zwischen dem Bericht von Gambit Security und einem Forbes-Artikel über dieselbe Aktivität bestehen deutliche Unterschiede. Gambit Security beschreibt drei Open-Source-Frameworks – Strix, Cairn und Hermes –, über 600.000 gestohlene Kreditkarten und Kosten von rund 25 US-Dollar pro Ziel. Forbes hingegen berichtet von einem chinesischsprachigen Hacker, der DeepSeek, Kimi und eine ältere Claude-Version nutzte, bis zu 100 Organisationen in etwa fünf Tagen angriff und Gesamtkosten von circa 8.000 US-Dollar hatte. Gesichert ist, dass Gambit Security den Angriff anhand eines wiederhergestellten Staging-Servers rekonstruierte und die genannten Zahlen aus den dort gefundenen Aufzeichnungen stammen. Die abweichenden Angaben bei Forbes könnten auf unterschiedlichen Datenquellen oder einer anderen zeitlichen Eingrenzung beruhen. Das Portal shattered.io vermutet, dass die Berichte auf unterschiedlichen Daten oder Framing basieren. Eine unabhängige Bestätigung der Forbes-Details liegt bislang nicht vor.

Gegenmaßnahmen und fortgesetzte Aktivität

Gambit Security benachrichtigte nach eigenen Angaben betroffene Organisationen und arbeitete mit der Shadowserver Foundation sowie Cloudflare zusammen, um die Infrastruktur des Angreifers zu stören. Der Angreifer baute die Infrastruktur jedoch weiter auf, sodass die Kampagne zum Zeitpunkt der Veröffentlichung weiterhin aktiv war. Diese fortgesetzte Aktivität verdeutlicht die Herausforderung bei der Bekämpfung autonomer Angriffe: Selbst wenn einzelne Komponenten abgeschaltet werden, kann der Betreiber die offenen Frameworks mit geringem Aufwand neu aufsetzen. Die geringen Kosten und die hohe Automatisierung erschweren eine dauerhafte Unterbindung.