كشفت شركة الأمن السيبراني الناشئة Gambit عن حملة مستمرة منذ يوليو 2026، يستخدم فيها مهاجم ذو دوافع مالية أطر وكلاء ذكاء اصطناعي مفتوحة المصدر لمهاجمة متاجر إلكترونية على نطاق واسع. ووفق النتائج المنشورة في 23 سبتمبر، سُرقت أكثر من 600 ألف بيانات بطاقات صالحة من شركتين، فيما زُرعت برمجيات كشط لبيانات الدفع في 119 موقعاً على الأقل.
خلال خمسة أيام فقط، نفذ المهاجم أكثر من 100 هجوم، ونجحت الهجمات بدرجات متفاوتة ضد 27 شركة على الأقل. وشملت الأهداف شركة ضيافة مدرجة ضمن Fortune 500، وشركة طيران أمريكية كبرى، وموزعاً صناعياً كبيراً في الولايات المتحدة، ومتجراً للأزياء عبر الإنترنت.
ثلاثة وكلاء لتنفيذ سلسلة الهجوم
اعتمدت العملية على ثلاثة أدوات. استخدم Strix لفحص المضيفين واكتشاف الثغرات، بينما تولى Cairn تنفيذ أهداف مثل الحصول على جلسة طرفية أو صلاحيات مدير. أما Hermes فنسق الحملة وأعمال ما بعد الاختراق واتخاذ القرارات التكتيكية، مستعيناً بالنموذج Claude Opus 4.6.
شغل Strix نفسه 146 مرة ضد 138 مضيفاً بين 23 و31 أغسطس، بإجمالي 633 ساعة من الفحص. كما احتوى Hermes على شخصية باسم “SOUL - Red Team Operator” و121 مهارة، منها 78 مرتبطة بالهجوم. وذكر الباحثون أن المشغل البشري، الذي يُعتقد أنه صيني، كان يحدد الأهداف بإيجاز ثم يترك للوكلاء تنفيذ بقية العمليات.
أساليب متعددة لزرع برمجيات الكشط
تغيرت طريقة زرع البرمجية وفق مستوى الوصول والثغرات وبنية الموقع. وشملت الأساليب تعديل ملفات JavaScript شرعية، وإضافة وسوم إلى صفحات الدفع أو كتل Google Tag، وتسميم محتوى S3 وشبكات CDN وذاكرة التخزين المؤقت على الخادم، وتعديل حقول قواعد البيانات، وتغيير عمليات نشر Kubernetes، وإنشاء مهام cron تعيد البرمجية بعد إزالتها.
واستطاع باحثو Gambit الوصول إلى خادم تجريبي للمهاجم، حيث وجدوا تعليمات لوكيل Hermes بحذف حقول بيانات البطاقات من قواعد Magento بعد استخراجها وتنزيلها. وأدى هذا الإجراء إلى فقدان بيانات واضطرابات تشغيلية لدى عدة متاجر، ما يضيف أثراً تخريبياً إلى جانب سرقة البيانات.
ما الذي يتغير عملياً؟
توضح الحملة أن الوكلاء لا يحتاجون إلى تعليمات بشرية تفصيلية كي ينفذوا سلسلة هجوم طويلة، وأن خفض تكلفة الفحص والاستغلال قد يجعل استهداف عشرات الشركات يومياً متاحاً لمهاجمين أقل خبرة. رصدت Gambit حساب OpenRouter أنفق 7005.71 دولارات خلال نحو أربعة أسابيع حتى 25 أغسطس، وقدرت التكلفة الإجمالية للعملية بين 12 ألفاً و18 ألف دولار، بمتوسط يقارب 25 دولاراً لكل هدف. وتراوح المتوسط المحسوب على 101 فحص مكتمل بين 3.13 دولارات و79.31 دولاراً.
وبناءً على ذلك، لا تقتصر الحماية على اكتشاف شفرة الكشط أو إغلاق الثغرة؛ إذ ينبغي للجهات المشغلة للمواقع أن تضع في الحسبان احتمال تعديل قواعد البيانات، العبث بموارد CDN وS3، واستمرار البرمجية عبر مهام مجدولة. كما يثبت المصدر وقوع سرقة واسعة واضطرابات لدى بعض الضحايا، لكنه لا يقدم تفاصيل كاملة عن جميع الشركات المتأثرة أو آلية اختراق كل هدف.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.