AIエージェント悪用、60万件のカード情報窃取
- AIエージェント3種を連携させた攻撃キャンペーンが少なくとも27社を侵害
- 119サイト以上にカード情報窃取用スキマーを設置、60万件超の情報流出
- 1標的あたりの攻撃コストは平均25ドルと低コストで自動化されている
かんたんに言うと
攻撃者がAIに指示を出すだけで、多数のネットショップに自動で侵入しカード情報を盗む仕組みが見つかった。自社サイトの改ざん検知やカード情報の取り扱いを見直す必要がある。
AIセキュリティとの関連: AIエージェントを攻撃の実行部隊として使い、人手をほぼかけずに大量のECサイトを侵害した実例のため。
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
セキュリティ企業Gambitの調査によると、金銭目的の攻撃者集団が、脆弱性診断ツール「Strix」、自律攻撃実行エンジン「Cairn」、攻撃全体を指揮するAI「Hermes」(Claude Opus 4.6を利用)の3つを組み合わせ、少なくとも7月から攻撃を続けているとされる。人間の操作者は簡単な指示を与えるだけで、あとはAIが標的選定から侵入、スキマー(決済情報を盗む不正コード)の設置まで自律的に実行していたという。8月23〜31日の間だけでStrixは146回、138台のホストに対して実行され、9月10〜15日の5日間で105波の攻撃を仕掛け、27社以上への侵害に成功したと報告されている。BleepingComputerの報道によれば、これまでに119サイト以上がスキマーに感染し、60万件超の有効なカード情報が窃取されたとされる。
誰に・どう影響するか
大企業への影響:報道では、フォーチュン500の宿泊業大手、米大手航空会社、産業用品販売会社、オンラインアパレル小売業者が被害に遭ったとされる。独自システムを運用するサイトが優先的に狙われた点は、カスタム開発環境ほど脆弱性を抱えやすいという指摘とも一致する。 中小企業への影響:攻撃コストが1社あたり平均25ドル程度と極めて低いため、資金力の乏しい攻撃者でも大規模な標的化が可能になっている。ECサイトを運営する中小企業も無関係ではなく、Magentoなど特定のCMS/ECプラットフォームを使う事業者は標的リストに含まれやすい。さらに、攻撃者が証拠隠滅のためデータベースからカード情報を削除する挙動が確認されており、これが原因で複数の事業者で業務障害(データ消失)が起きたと報告されている。
今すぐやるべきアクション
- 決済ページやチェックアウト画面のスクリプト・タグの改ざん有無を定期的に監査する
- S3/CDN、サーバーサイドキャッシュ、Kubernetes構成など外部からの変更検知を強化する
- cronジョブや定期実行タスクに不審な復元処理が仕込まれていないか確認する
- カード情報を保持するデータベースの整合性チェックとバックアップ体制を見直す
- 自社ECプラットフォーム(特にMagentoなど)の既知脆弱性へのパッチ適用状況を確認する
重大度の判定理由
重大度「高」: 実際の侵害・情報窃取が確認済みで、100以上のサイトに影響が及ぶ広範な攻撃キャンペーンのため。