Des agents IA autonomes ont volé 600 000 cartes bancaires

En juillet 2026, une campagne cybercriminelle pilotant des agents IA a été lancée pour pirater des sites de e-commerce à grande échelle. En quelques mois, plus d’une centaine de sites ont été touchés et au moins 600 000 numéros de cartes bancaires dérobés. L’opération, décrite dans un rapport publié le 22 septembre par Gambit Security, se distingue moins par son ampleur que par sa méthode. Elle a été menée par une seule personne.

Un seul opérateur, trois agents IA

Selon le rapport de Gambit Security, l’attaque a été coordonnée par un unique individu s’exprimant en chinois, qui donnait de courtes instructions à ses agents IA avant de les laisser agir à sa place. Trois outils open source étaient employés en chaîne, chacun avec un rôle distinct :

• Strix, à l’origine un outil de test d’intrusion, cherchait les failles des sites.
• Cairn, un moteur d’exploitation autonome, s’en servait pour pénétrer les systèmes jusqu’à obtenir un accès administrateur.
• Hermes, enfin, orchestrait l’ensemble de la campagne et gérait les opérations suivant l’intrusion.

Ces agents s’appuyaient sur des modèles de langage accessibles commercialement, comme le GLM de Z.ai puis des modèles DeepSeek, mobilisés via une plateforme d’accès à plusieurs modèles. Le rythme a été soutenu.

Entre le 10 et le 15 septembre 2026, 105 projets d’attaque ont été lancés, aboutissant à la compromission d’au moins 27 entreprises. Parmi les victimes figurent une grande chaîne hôtelière classée au Fortune 500, une importante compagnie aérienne américaine, un grossiste industriel et un site de mode en ligne.

D’après le directeur du renseignement sur les menaces chez Gambit, l’obtention d’un accès prenait en général moins d’une journée, parfois seulement quelques heures. Une fois les données récupérées, l’opérateur demandait aux agents d’effacer les numéros de cartes des bases de données Magento des sites touchés.

VOIR AUSSI : Détection des arnaques : comment activer la protection sur Android et iOS

Des attaques très rentables

L’aspect le plus préoccupant du dossier tient au rapport entre le coût et le résultat. Selon Gambit, l’opérateur n’aurait dépensé qu’environ 7 000 dollars en un mois, pour un coût total de campagne estimé entre 12 000 et 18 000 dollars. En moyenne, un scan d’attaque complet ne revenait qu’à 25,46 dollars, ce qui permettait de lancer plusieurs attaques en parallèle sans frais importants. À ce tarif, le filtre économique qui écartait jusqu’ici les attaquants peu qualifiés ne joue plus de la même façon.

Sur les quelque 600 000 numéros de cartes dérobés, toutes valides au moment du vol, la majorité appartient à des Américains, à hauteur de 79 %, soit 488 372 cartes. Peu d’utilisateurs européens semblent concernés par cette attaque précise.

Pour enrayer l’opération, Gambit a collaboré avec la société Overwatch Data afin de notifier les émetteurs de cartes concernés. Cloudflare et la Shadowserver Foundation ont entrepris de démanteler l’infrastructure de l’attaquant.