Uma campanha criminosa apoiada por agentes de inteligência artificial comprometeu lojas online e terá roubado mais de 600 mil registos de cartões de pagamento. A investigação foi publicada a 22 de setembro pela empresa de cibersegurança Gambit, que afirma ter encontrado provas diretas num servidor de preparação usado pelo atacante.
A operação está ativa desde julho e continuava em curso quando o relatório foi divulgado. Segundo a Gambit, o responsável combinou três ferramentas abertas, Strix, Cairn e Hermes, para procurar falhas, entrar nos sistemas e coordenar tarefas. O operador humano dava instruções curtas, enquanto os agentes executavam grande parte do processo de forma automatizada.
Pelo menos 119 sites receberam código malicioso
A Gambit contabilizou 119 sites comprometidos com skimmers, pequenos blocos de código inseridos nas páginas de pagamento para copiar dados introduzidos pelos clientes. Em dois retalhistas, os investigadores dizem ter encontrado mais de 600 mil registos válidos de cartões já extraídos.
Os nomes das empresas afetadas não foram divulgados. A investigação refere, porém, organizações de grande dimensão, incluindo uma companhia aérea norte-americana, uma empresa de hotelaria presente na lista Fortune 500, um distribuidor industrial e uma loja de moda. A ausência de uma lista pública impede um consumidor de confirmar apenas pelo nome da loja se uma compra específica ficou exposta.
A cobertura independente do BleepingComputer e do Cybernews confirma os principais resultados do relatório, mas os números continuam a ter origem na análise da Gambit. Por isso, devem ser lidos como conclusões de uma investigação privada em curso, não como um balanço final de autoridades ou bancos.
Ataques passaram a decorrer à escala de dezenas por dia
Entre 10 e 15 de setembro, o atacante lançou 105 vagas e conseguiu diferentes níveis de acesso em pelo menos 27 empresas. A ferramenta Strix também terá sido executada 146 vezes contra 138 servidores entre 23 e 31 de agosto. O objetivo era encontrar alvos valiosos e aplicações próprias com falhas exploráveis.
Depois da entrada, o código de captura podia ser acrescentado a ficheiros JavaScript, páginas de pagamento, sistemas de cache ou serviços de distribuição de conteúdos. Em alguns casos, o atacante criou mecanismos para reinstalar o skimmer depois de este ser removido.
A investigação aponta ainda para um efeito menos visível: o agente recebeu instruções para apagar os dados dos cartões na base de dados da loja depois da cópia. Essa limpeza dificultava a deteção e provocou perda de informação em algumas empresas.
O que muda para quem compra pela internet
O acontecimento não significa que todas as lojas online estejam comprometidas, nem permite concluir que 600 mil pessoas diferentes foram afetadas. Um registo pode corresponder a um cartão e a distribuição geográfica divulgada concentra-se sobretudo nos Estados Unidos. Ainda assim, os sites visados operam na internet aberta e o relatório não apresenta uma limitação técnica a um único país.
Para consumidores em Portugal e na União Europeia, o risco concreto surge quando os dados são introduzidos numa página de pagamento alterada sem sinais visíveis. Como as vítimas empresariais não foram identificadas, a confirmação dependerá de avisos dos comerciantes, bancos ou autoridades competentes.
O elemento novo é a escala. A Gambit estima que a operação gastou entre 12 mil e 18 mil dólares em modelos e infraestrutura, cerca de 25 dólares por alvo. Isso reduz o custo de testar muitas lojas em pouco tempo, embora a campanha continue a depender de um operador humano e de vulnerabilidades reais.
A notícia mostra que os agentes de IA não são, por si só, a origem do roubo. Funcionam como aceleradores de tarefas criminosas que já existiam, desde a procura de falhas à instalação de skimmers. Para o leitor, a pergunta central não é qual modelo foi usado, mas se uma compra online pode ter exposto o cartão e quando os responsáveis pelos sites afetados vão notificar os clientes.
Fontes: Gambit Security · BleepingComputer · Cybernews
