Çince konuşan siber saldırgan, yapay zeka ajanlarını kullanarak 100 şirkete sızdı ve 600 binden fazla kredi kartı verisini çaldı

Çince konuşan bir siber saldırgan, bu ay beş günlük bir zaman diliminde en az 100 şirketi hedef alarak 600.000’i aşan kredi kartı kayıtlarını ele geçirdi ve saldırıları yürütmek için yaklaşık 8.000 dolar harcadı. Saldırı kampanyası, saldırganın saldırılarda kullandığı sunucu altyapısını yanlışlıkla açık web üzerinde bırakması üzerine Gambit Security adlı siber güvenlik firması tarafından ortaya çıkarıldı.

Saldırganın kullandığı üç hazır yapay zeka orkestrasyon çerçevesi—Strix, Cairn ve Hermes—operasyonun omurgasını oluşturdu; her biri saldırı hattının farklı bir aşamasını yönetti. Saldırılarda kullanılan modeller arasında Çin‘in DeepSeek ve Kimi sistemleri ile Anthropic’in eski sürümü olan Claude Opus 4.6 bulundu. Daha yeni Claude sürümlerinin çalıştırılması reddedildi; bu durum, son dönem Anthropic modellerinin açıkça suç amaçlı kullanımı engelleyebilecek güvenlik önlemleri taşıdığını gösteriyor.

Saldırının teknik altyapısı ve işleyişi

10 ile 15 Eylül tarihleri arasında kampanya en az 27 şirketi etkiledi. Kurbanlar arasına Fortune 500’den bir konaklama firması, büyük bir Amerikan havayolu şirketi, geniş ölçekli bir endüstriyel tedarik dağıtıcısı ve online bir modacılık sitesi girdi. Saldırganın kendi kayıtlarına göre, 101 tamamlamış taramada hedef başına harcama 3,13 dolar seviyesinden 79,31 dolara kadar değişti ve ortalaması 25,46 dolar oldu.

İş akışı, ajanlara bir hedef URL’si ile birlikte o adresi zafiyetler açısından tarama talimatıyla başlıyordu. İçeriye giren ajanlar, ödeme kayıtlarını dışarı aktardıktan sonra ödeme sayfalarına kart bilgilerinin giriş anında sessizce toplanmasını sağlayacak hırsızlık araçları (skimmer) yerleştiriyordu. Ardından ajanlara erişim izlerini silme emri veriliyordu.

Saldırganın kendi kayıtları, hedef başına harcamanın 3,13 dolarla başladığını ve 79,31 dolara kadar yükseldiğini gösteriyor; ortalaması ise 25,46 dolar.

Gambit Security

Bu temizlik sürecinin en az iki vakada aşırıya kaçtığı ve kurbanların kendi verilerini—yedek tabloları da dahil—tamamen sildiği görüldü. Gambit Security, skimmer araçlarının 19 belirlenen kurbanda tespit edildiğini ve ayrıca 100’ü aşan başka sızdırılmış siteyle bağlantılı olduğunu bildirdi.

Ele geçirilen verilerin içeriği

Dışarı aktarılan 600.000’i aşan kayıt içinde Amerikan kart sahiplerine ait yaklaşık 488.000 tanesi, yani toplamın yüzde 79’u kadarını oluşturuyordu. Dolandırıcılıkla mücadele eden Overwatch Data firması kayıtları analiz etti ve bunların benzersiz ve meşru olduğunu tespit etti. Bir ödeme işleticisinin yaptığı örneklem taramasında ise kartların kırktan azının önceki bir dolandırmaya ait uyarı taşıdığı görüldü.

Saldırıyı değerlendiren uzman görüşleri

Gambit Security’nin tehdistihhabat direktörü Eyal Sela, saldırıyı “bugüne kadar görülmiş yapay zekanın sömürü için kullanıldığı en ciddi ihlallerden biri” olarak nitelendirdi.

Neredeyse tamamen otonom çalışan yapay zeka modellerini insan yönlendiriyor; bu modeller artık çok karmaşık siber saldırıları neredeyse sıfıra yakın hazırlıkla ve son derece yüksek başarı oranıyla hızlıca gerçekleştirebilecek kadar güçlü.

Eyal Sela, Gambit Security Tehdistihhabat Direktörü

Saldırıların sürdürülebilirliği açısından durum hassas görünüyor. Gambit Security, etkilenen şirketleri bilgilendirmeye devam ettiğini ve saldırganın altyapısını çökertmek için Cloudflare ile Shadowserver Foundation işbirliğinde çalıştığını belirtti. Cloudflare ise kampanyayla bağlantılı sunucuları kapatmaya başladığını onayladı; ancak saldırganın sunucuları defalarca yeniden kurduğu ve saldırıların sürdüğü ifade edildi.