Gambit Security、AI攻撃で27社侵入とカード情報流出を確認

Gambit Securityは9月22日、複数のAIエージェントを使った攻撃の調査結果を公表しました。
攻撃者は2026年9月10〜15日だけで105件の攻撃プロジェクトを実行し、少なくとも27社への侵入が確認されました。
2社からは60万件を超えるクレジットカード情報が流出したと報告されています。

記事の概要

攻撃対象は数百店のオンラインショップで、金銭目的の攻撃者がオープンソースのAIエージェントを利用していました。
使われたツールは、脆弱性を探す「Strix」、侵入を進める「Cairn」、全体を管理する「Hermes」です。
攻撃者は「管理画面に入って」など数行の指示を出し、探索や攻撃の多くをAIに任せていました。
27の攻撃対象のうち19サイトには、決済画面からカード情報を盗む不正スクリプトが仕込まれていました。
Gambit Securityが確認した101件のスキャンでは、AI利用料が1社あたり平均25.46ドルでした。
この金額は攻撃総額ではありませんが、多数の企業を調査するコストが下がったことを示しています。
侵入に成功したケースでは、侵入まで1日未満、場合によっては数時間だったということです。
ある企業では、AIが痕跡を消そうとしてバックアップを含む180のデータベーステーブルを削除しました。

記事のポイント

1. 攻撃を分担するAI： 脆弱性の探索、侵入、攻撃全体の管理を3種類のAIツールが分担していました。
2. スキャン費用は平均25ドル： 101件のスキャンにかかったAI利用料は、1社あたり平均25.46ドルでした。
3. 防御側に時間差： AIは環境に応じて手法を変え、侵入成功時には数時間で到達した例もありました。

このニュースがもたらす影響

• 導入検討企業： 侵入まで数時間の例があるため、脆弱性の修正期限や監視体制を従来より短い時間軸で見直す必要が生じる可能性があります。
• EC事業者： 決済画面への不正スクリプト設置とカード情報流出が確認されたことで、管理画面だけでなく決済処理やバックアップを含む監視範囲が問われそうです。
• セキュリティ企業： 探索・侵入・管理を分担するAIへの対策では、単発の検知に加え、短時間に連続する攻撃行動を捉えるサービスが求められそうです。

このニュースの背景

攻撃者は、脆弱性探索、侵入、攻撃全体の管理をそれぞれ担うオープンソースのAIエージェントを組み合わせていました。
攻撃者が短い指示だけを出し、探索や攻撃の多くをAIに任せていたことから、専門的な作業を自動化しやすい構成が使われたとみられます。
101件のスキャンにかかったAI利用料は1社あたり平均25.46ドルで、多数の企業を調査して攻撃対象を絞り込む負担が下がっていました。
侵入に成功したケースでは数時間の例もあり、修正や検知に時間がかかる企業との間に対応速度の差が生じています。

関連するニュース

• パーク24や京王電鉄への攻撃を巡り、専門家がAIの関与と対策不足を解説しています。
• Palo Alto NetworksのUnit 42は、AIを使った攻撃者が企業網への侵入からAI基盤の乗っ取りまでを10時間で進めた事例を公開しました。
• OpenAIとAnthropicが関与するAIの「数万件」のセキュリティ事案が報じられ、モデルの封じ込めが問われています。

詳しい記事の内容はこちらから（引用元）

ASCII.jp

AIでサイバー攻撃のコスト激減　数行の指示だけで27社に侵入、カード情報60万件超が流出

サイバー攻撃の自動化が実戦段階に迫っている。…