Le "carding", cette vieille technique qui consiste à voler des identifiants de carte bancaire, existe toujours. Mais en 2026, quand la modernité s'impose, cette escroquerie peut être réalisée avec des agents IA, bien plus rapides et efficaces qu'un humain.
Une campagne d'attaques menée à l'aide de trois outils d'intelligence artificielle open source aurait permis à un opérateur malveillant d'exploiter les failles d'au moins 27 entreprises et de voler plus de 600 000 identifiants de cartes bancaires, pour un montant total estimé à 15 millions de dollars. C'est ce que révèle un rapport publié par la société de sécurité Gambit.
Trois agents IA à la manœuvre
Selon les conclusions de Gambit, l'attaquant a eu recours à trois agents IA distincts. Le premier : Strix, est un outil de test d'intrusion open source qui a servi à identifier les failles chez les cibles. Il fonctionnait sur le modèle GLM 5.2 de Z.ai, puis sur DeepSeek V4 Pro.
Le deuxième, Cairn, est un agent de pénétration autonome capable de mener des attaques de bout en bout. Il tournait également sur une DeepSeek, en version 4.1 Flash cette fois-ci. Enfin, petit dernier, Hermes, assurait à la fois la coordination de la campagne et des attaques directes, en s'appuyant sur Claude Opus 4.6 d'Anthropic. Cet agent disposait de 121 compétences, dont 78 à vocation offensive. L'ensemble des modèles étaient accessibles via la plateforme OpenRouter.
Eyal Sela, directeur du renseignement sur les menaces chez Gambit, précise que l'opérateur humain n'a saisi que 1 951 instructions réparties sur 260 sessions, soit très peu d'interventions par cible.
Lorsque l'accès était obtenu, cela prenait généralement moins d'une journée, et souvent seulement quelques heures.
Une opération rentable pour le voleur de cartes
Le compte OpenRouter de l'opérateur a enregistré des dépenses de 7 005,71 dollars sur quatre semaines. Le coût total de la campagne est estimé par Gambit entre 12 000 et 18 000 dollars. Le prix moyen d'un scan complet est estimé à environ 25,46 dollars, avec des variations allant de 3,13 à 79,31 dollars selon les cibles.
La campagne a débuté en juillet. Entre le 10 et le 15 septembre seulement, l'opérateur a lancé 105 projets d'attaque et compromis au moins 27 entreprises. Gambit a confirmé la présence de skimmers (des scripts malveillants collectant les données de paiement) chez 19 des victimes identifiées, et en a détecté sur plus d'une centaine d'autres sites.
Des victimes dans plusieurs secteurs
Parmi les organisations touchées figurent une entreprise du secteur hôtelier, une grande compagnie aérienne américaine, un distributeur industriel privé et un site de mode en ligne, tous basés aux États-Unis.
Les 600 000 enregistrements de cartes proviennent de deux entreprises, et 79 % des titulaires concernés sont américains. Les skimmers ont été dissimulés dans des bibliothèques JavaScript courantes comme jQuery et dans des balises Google. Sur le site d'un revendeur de vin américain, une tâche automatisée réinstallait le skimmer toutes les deux minutes après chaque réinitialisation du site. De quoi faire perdre la tête aux développeurs.
Gambit a prévenu les établissements concernés
Gambit indique avoir contacté plusieurs des organisations concernées et contribué au démantèlement de l'infrastructure, avec l'appui de la Shadowserver Foundation. De son côté, l'entreprise Overwatch Data est chargée des signalements aux émetteurs de cartes bancaires (Visa, MasterCard, American Express, ….).
Alors, les agents IA peuvent-ils être exploités à des fins malveillantes par tout le monde ? Oui. Même les géants de l'IA eux-mêmes peinent parfois lors de l'entraînement de leurs modèles, à les contenir dans des environnements fermés, ce qui donne parfois lieu à des piratages intempestifs, lors de simples exercices.
