AIエージェント悪用で小売サイトを大規模攻撃、27社以上侵害・カード情報60万件超流出

Gambit Securityは2026年9月22日、中国語を使う金銭目的の脅威アクターが3種類のオープンソースAIエージェントを組み合わせ、オンライン小売業者を大規模に攻撃していたと報告した。9月10〜15日の6日間だけで105件の攻撃プロジェクトが実行され、少なくとも27社が程度の差はあるものの侵害されたという。2社からは有効期限内のクレジットカード情報60万件超が窃取され、別の被害企業では攻撃後の消去処理によりバックアップ用テーブルを含む180テーブルが削除された。

同社の脅威インテリジェンスチームは、攻撃者がインターネット上に公開した状態にしていたステージングサーバーを発見し、保存されていたデータやログ、ツール類などから攻撃活動を分析した。活動は少なくとも2026年7月までさかのぼり、9月22日の報告時点でも続いていたとしている。

■3種類のAIエージェントを組み合わせて攻撃を自動化

攻撃基盤は、脆弱性探索を担うStrix、侵害を自律実行するCairn、作戦全体を統括するHermesの3種類で構成されていた。Gambitによると、人間の操作者が260セッションで入力したプロンプトは計1951件で、標的ごとに短い指示を数件出す一方、偵察や侵害、侵害後の処理など多くの工程をエージェント側が担っていた。

StrixはオープンソースのAIペネトレーションテストツールで、8月23〜31日に「deep mode」で146回実行され、138ホストを対象に計633時間分のスキャンを処理した。実際の経過時間は195時間で、複数の処理が並列で進められていた。OpenRouter経由で当初はGLM 5.2、その後はDeepSeek v4 Proが使われたという。

Cairnは、標的ドメインと「シェルを取得する」「管理者アクセスを得る」といった目的を与えられると、成功、タイムアウト、手動停止のいずれかに至るまで自律的に処理を続ける侵害エンジンである。攻撃ではDeepSeek v4.1 Flashが使われ、9月10〜15日に105件の攻撃プロジェクトが立ち上げられた。Gambitが詳細を取得できたのは48件で、残る57件は削除されていた。

Hermesはキャンペーンの統括や侵害後の作業、戦術的判断に使われた。永続メモリー、自ら作成・編集するスキル、過去のセッションを検索する機能、スケジュール実行機能などを備えるオープンソースの自律型AIエージェントである。攻撃者のサーバーでは「SOUL - Red Team Operator」と題する中国語のシステムペルソナと121個のスキルが設定され、そのうち78個が攻撃関連だった。

HermesではAnthropicのClaude Opus 4.6が使われていた。Gambitによると、攻撃者はより新しいモデルの利用を試みたものの要求を拒否されたため、Opus 4.6を使用していたという。Anthropicも2026年9月の脅威インテリジェンス報告で、悪意ある利用者が安全対策の強い新しいモデルから、制約が比較的弱い旧モデルなどへ切り替える事例を確認している。

Gambitが復元した人間の操作者による指示には、「脆弱性レポートを読んで開始」「レポートにあるファイルアップロードでコード実行が可能か確認」「シェル取得またはバックエンドへのアクセスを目標にする」といった短い中国語の文が含まれていた。詳細な手順を逐一指定するのではなく、目的や次に進む方向を示す形式が中心だった。

■認証なしの侵入からカード情報への到達まで自律実行

Gambitが再構築したCairnによる攻撃の1件では、認証なしで利用できるSQLインジェクションから始まり、データベース内に平文で保存されていたワンタイムパスワードを取得して多要素認証を回避した。その後、管理画面に入り、ファイルアップロード機能の不備などを足掛かりとしてサーバー上でコードを実行し、権限を拡大していった。

さらに内部のNFS共有からWordPressの認証情報を取得し、WordPressデータベースに新しい管理者アカウントを追加した。続いてブログサーバーに侵入し、AWS Secrets Managerから46件のシークレットを取得した後、Aurora上で稼働するMagentoの本番データベースへアクセスしたという。

最終的にはMagentoの暗号鍵を取得し、アプリケーションのコードを解析して、保存されていたクレジットカード番号を復号した。Gambitが示した攻撃経路では、認証されていないWebアクセスからカード情報の復号まで複数段階の処理が連続し、その途中で人間が個々の操作を指示した形跡は確認されていない。

AIによるサイバー攻撃の低コスト化は以前から研究で示されている。イリノイ大学アーバナ・シャンペーン校などの研究者が2024年に公表した研究では、GPT-4を使ったエージェントが脆弱性を自律的に探してWebサイトを攻撃する実験で、成功率を考慮した推定コストは1サイト当たり9.81ドルだった。研究者が試算した人間のセキュリティ専門家による同等作業の約80ドルを大幅に下回った。

Gambitが今回確認した攻撃でも、OpenRouterの利用履歴や攻撃者自身によるコスト計算から、101件の完了したスキャンの平均費用は25.46ドルだった。最も安い標的は3.13ドル、最も高い標的は79.31ドルで、Gambitは標的企業1社を攻撃する追加コストがおおむね数ドルから数十ドルの範囲だったと推定している。

■標的は独自システムを使うオンライン事業者

攻撃者はWebサイトのトラフィックランキングサービスを使い、ショッピングカテゴリーから標的候補を抽出していた。大手のホステッド型やオープンソースのECプラットフォームを利用するサイトを除外し、独自コードで構築されたサイトを残すよう選別したという。

Gambitが確認したログでは、攻撃者はこうして得た301件の候補をコンソールへ入力し、「これらを実行し、プロキシを使い、重大度の高いものだけをスキャンする」と指示していた。一方、ニュージーランドの小売業者や米国の写真印刷会社など、人間が個別に選び、すでに有効な管理者パスワードを用意した状態でAIエージェントに渡した標的もあった。

侵害が確認された組織には、Fortune 500に含まれるホスピタリティ企業、米国の大手航空会社、大手非上場産業用品流通企業、オンラインファッション小売業者などが含まれていた。Gambitは被害企業の多くを実名では公表していない。

■60万件超のカード情報を2社から窃取

Gambitによると、攻撃者のステージングサーバーから、被害企業2社から窃取された有効期限内のクレジットカード情報60万件超が確認された。同社は不正対策を手掛けるOverwatch Dataと協力し、カード発行会社への通知を進めた。

発行国別では、米国が48万8372件で79.0%を占めた。アラブ首長国連邦が1万3559件、サウジアラビアが6785件、英国が6522件、ニュージーランドが5710件、アイルランドが5483件、シンガポールが5305件、クウェートが4676件、オーストラリアが4672件、香港が4459件、フランスが4295件、カタールが4075件だった。残る196カ国・地域が6万4025件、10.4%を占めた。

データベースからの情報窃取に加え、攻撃者はオンラインショップの決済画面へカード情報を盗むスキマーを設置していた。Gambitは少なくとも27の被害サイトについてスキマー設置の指示を確認し、キャンペーン期間中に19サイトで実際の設置を確認したとしている。さらにセキュリティ研究者Varysとの調査で、同じキャンペーンに関連するスキマーに感染したサイトを100件超確認した。

■正規JavaScriptやクラウド環境にスキマーを埋め込む

最も一般的だった手法は、Webサイトがもともと配信しているjQueryやBootstrapなどの正規JavaScriptファイルの末尾へ小さなローダーを追加するものだった。攻撃後に元のファイル更新日時を復元し、変更監視で発見されにくくする処理も行われていた。

米国の鉄鋼製品販売サイトでは、Googleタグのコード内にローダーを挿入し、大量のタブ文字によってソース表示上で目につきにくくしていた。別の米国美容関連小売業者では、盗んだAWSアクセスキーを利用して、サイトのCDNを支えるS3バケットに悪性コードを書き込んでいた。

米国のワイン小売業者では、通常のデプロイによって改変済みファイルが正常な状態へ戻されるたびに、2分間隔で再びスキマーを追加するcronジョブが設置されていた。また、米国のプリントオンデマンド事業者では、本番フロントエンドのKubernetesデプロイメントにinitContainerを追加する方法が使われた。

■データ消去処理で被害企業のバックアップも削除

Gambitが取得したHermesのスキルファイルには「Database Wipe After Extraction」と題する処理があり、カード情報を持ち出した後、被害企業のMagentoデータベースから元データを消去するよう指示していた。大量のデータを分割処理し、最後に対象データの件数がゼロになったことを確認する手順まで記されていた。

別の自転車小売業者では、エージェントが窃取データを一時保管するため、データベース内に「ZQ」で始まるテーブルを作成した。その後の消去処理で、「ZQ」または「Backup」という文字列に一致する名前のテーブル180件を削除したという。

この中には、攻撃者が作った一時テーブルだけでなく、被害企業のデータベース管理者が作成したバックアップ用テーブルも含まれていた。攻撃者の消去処理が両者を適切に区別せず削除した結果、情報窃取だけでなく被害企業の復旧用データにも影響が及んだ。

Gambitは、AIを利用した侵入では、攻撃者が明示的にデータ破壊を目的としていない場合でも、侵害後の自動処理によってデータが失われる可能性を想定する必要があると指摘している。

■AIによるサイバー攻撃、自律化がさらに進展

AIを使ってサイバー攻撃の一連の工程を自律化する事例自体は、今回が初めてではない。Anthropicは2025年、国家支援が疑われる攻撃者がClaude Codeを利用し、人間が選んだ複数の標的に対する偵察、脆弱性探索、侵害、権限昇格、情報窃取などの大部分をAIに実行させたキャンペーンを報告している。

Anthropicが2026年9月に公表した脅威インテリジェンス報告でも、複数の攻撃者がAIエージェントやマルチエージェント基盤を利用し、偵察、侵害、情報窃取などを数時間から数日間、人間の介入を最小限にして実行していた事例が示された。人間は標的選定や結果の確認など重要な判断に関与する一方、個々の技術的処理をAIへ委ねる傾向が強まっているという。

今回Gambitが確認したキャンペーンの特徴は、こうした自律化がオンライン小売業者に対する金銭目的の継続的な攻撃に組み込まれ、低い追加コストで多数の標的に並行展開されていた点にある。攻撃に使われたStrix、Cairn、Hermesはいずれも公開されているAIエージェント基盤だった。

2026年1月には、FortuneがWizとAIセキュリティ企業Irregularの共同検証について、AIエージェントが実環境を模した高度な攻撃課題をLLM利用料50ドル未満で処理したと報じている。同じ作業を人間の研究者が行う場合のコストは10万ドル近くになるとの試算であり、AIによる攻撃作業の低コスト化は研究・検証環境でも確認されていた。

■EC事業者には侵害後の復旧能力も重要に

Gambitは、今回確認した攻撃インフラに関連するIPアドレスやドメインなどの侵害指標（IOC）を公開した。攻撃者のステージング兼コマンドサーバーとして使われたIPアドレス「155.254.22.215」をはじめ、C2やスキマー配信に使われた複数のアドレスとドメインを掲載している。

同社は、侵入を完全に防ぐことだけを前提にするのではなく、侵害された場合でも重要な業務を早期に復旧できる体制を整える「レジリエンス」を重視すべきだとしている。特に、事業継続に最低限必要なシステムを特定し、文書上の手順だけでなく、実際の復旧テストによって機能することを確かめる必要があると指摘する。

今回の自転車小売業者では、攻撃者の処理によってデータベース内に置かれていたバックアップ用テーブルも削除された。Gambitは、単に「データベースを復元できるか」ではなく、通常利用するバックアップの一部まで失われた状況でも復旧できるかを検証することが重要だとしている。

元記事: AI Agents Hacked 100 Online Retailers for $25 Each, Stealing 600,000 Cards