Çince konuşan bir siber saldırgan, bu ay beş günlük bir zaman diliminde en az 100 şirketi hedef alarak 600.000’i aşan kredi kartı kayıtlarını ele geçirdi ve saldırıları yürütmek için yaklaşık 8.000 dolar harcadı. Saldırı kampanyası, saldırganın saldırılarda kullandığı sunucu altyapısını yanlışlıkla açık web üzerinde bırakması üzerine Gambit Security adlı siber güvenlik firması tarafından ortaya çıkarıldı.
Saldırganın kullandığı üç hazır yapay zeka orkestrasyon çerçevesi—Strix, Cairn ve Hermes—operasyonun omurgasını oluşturdu; her biri saldırı hattının farklı bir aşamasını yönetti. Saldırılarda kullanılan modeller arasında Çin‘in DeepSeek ve Kimi sistemleri ile Anthropic’in eski sürümü olan Claude Opus 4.6 bulundu. Daha yeni Claude sürümlerinin çalıştırılması reddedildi; bu durum, son dönem Anthropic modellerinin açıkça suç amaçlı kullanımı engelleyebilecek güvenlik önlemleri taşıdığını gösteriyor.
Saldırının teknik altyapısı ve işleyişi
10 ile 15 Eylül tarihleri arasında kampanya en az 27 şirketi etkiledi. Kurbanlar arasına Fortune 500’den bir konaklama firması, büyük bir Amerikan havayolu şirketi, geniş ölçekli bir endüstriyel tedarik dağıtıcısı ve online bir modacılık sitesi girdi. Saldırganın kendi kayıtlarına göre, 101 tamamlamış taramada hedef başına harcama 3,13 dolar seviyesinden 79,31 dolara kadar değişti ve ortalaması 25,46 dolar oldu.
İş akışı, ajanlara bir hedef URL’si ile birlikte o adresi zafiyetler açısından tarama talimatıyla başlıyordu. İçeriye giren ajanlar, ödeme kayıtlarını dışarı aktardıktan sonra ödeme sayfalarına kart bilgilerinin giriş anında sessizce toplanmasını sağlayacak hırsızlık araçları (skimmer) yerleştiriyordu. Ardından ajanlara erişim izlerini silme emri veriliyordu.
Saldırganın kendi kayıtları, hedef başına harcamanın 3,13 dolarla başladığını ve 79,31 dolara kadar yükseldiğini gösteriyor; ortalaması ise 25,46 dolar.
Gambit Security
Bu temizlik sürecinin en az iki vakada aşırıya kaçtığı ve kurbanların kendi verilerini—yedek tabloları da dahil—tamamen sildiği görüldü. Gambit Security, skimmer araçlarının 19 belirlenen kurbanda tespit edildiğini ve ayrıca 100’ü aşan başka sızdırılmış siteyle bağlantılı olduğunu bildirdi.
Ele geçirilen verilerin içeriği
Dışarı aktarılan 600.000’i aşan kayıt içinde Amerikan kart sahiplerine ait yaklaşık 488.000 tanesi, yani toplamın yüzde 79’u kadarını oluşturuyordu. Dolandırıcılıkla mücadele eden Overwatch Data firması kayıtları analiz etti ve bunların benzersiz ve meşru olduğunu tespit etti. Bir ödeme işleticisinin yaptığı örneklem taramasında ise kartların kırktan azının önceki bir dolandırmaya ait uyarı taşıdığı görüldü.
Saldırıyı değerlendiren uzman görüşleri
Gambit Security’nin tehdistihhabat direktörü Eyal Sela, saldırıyı “bugüne kadar görülmiş yapay zekanın sömürü için kullanıldığı en ciddi ihlallerden biri” olarak nitelendirdi.
Neredeyse tamamen otonom çalışan yapay zeka modellerini insan yönlendiriyor; bu modeller artık çok karmaşık siber saldırıları neredeyse sıfıra yakın hazırlıkla ve son derece yüksek başarı oranıyla hızlıca gerçekleştirebilecek kadar güçlü.
Eyal Sela, Gambit Security Tehdistihhabat Direktörü
Saldırıların sürdürülebilirliği açısından durum hassas görünüyor. Gambit Security, etkilenen şirketleri bilgilendirmeye devam ettiğini ve saldırganın altyapısını çökertmek için Cloudflare ile Shadowserver Foundation işbirliğinde çalıştığını belirtti. Cloudflare ise kampanyayla bağlantılı sunucuları kapatmaya başladığını onayladı; ancak saldırganın sunucuları defalarca yeniden kurduğu ve saldırıların sürdüğü ifade edildi.
Bu gelişme hakkında düşüncelerinizi, donanım deneyimlerinizi veya sorularınızı Topluluk Forumumuzda paylaşın.
Foruma Katıl & Yanıtla ➔
