Cibercriminosos vêm se aproveitando de ferramentas de inteligência artificial open source, públicas e ao alcance de qualquer pessoa, para comprometer empresas sem precisar desenvolver malware próprio. Uma campanha montada dessa forma roubou mais de 600 mil registros de cartões de crédito.
O caso veio à tona depois que os operadores deixaram exposto um servidor de preparação. A partir dos dados esquecidos ali, pesquisadores da Gambit Security reconstruíram a campanha, que começou em julho de 2026 e seguia ativa neste mês.
Cerca de 79% dos dados, o equivalente a 488 mil cartões, pertenciam a titulares nos Estados Unidos. Entre as vítimas estão uma empresa de hospitalidade da lista Fortune 500, uma grande companhia aérea norte-americana, um distribuidor de suprimentos industriais, uma loja de moda on-line e uma varejista de bicicletas.
Nenhuma das peças foi feita sob medida. Uma das ferramentas procura vulnerabilidades por conta própria, outra conduz a exploração até obter acesso ao shell ou privilégio de administrador, e uma terceira orquestra a campanha inteira, reunindo 121 habilidades, das quais 78 são ofensivas.
Do lado humano, o trabalho se resume a comandos curtos em chinês, do tipo leia o relatório de vulnerabilidades e comece. O restante corre sem supervisão, da descoberta da falha até a extração dos dados.
O custo de operar dessa forma é baixo. Pela própria contabilidade dos operadores, atacar uma empresa sai por pouco mais de US$ 25 em média, considerando o consumo dos modelos de linguagem usados, entre eles os chineses DeepSeek e Kimi, acessados por meio de uma plataforma intermediária.
O conjunto desenha um cenário em que a automação reduz a barreira de entrada para o crime. Sem malware próprio, sem infraestrutura dedicada e com ferramentas ao alcance de qualquer um, o volume de alvos deixa de depender do tamanho da equipe por trás do ataque.
