Une campagne décrite par la société de sécurité Gambit montre un attaquant qui confie presque tout le travail à des agents d’intelligence artificielle : repérage des failles, piratage, pose de codes espions sur les pages de paiement. Ce n’est pas une nouvelle technique d’attaque, c’est une nouvelle économie de l’attaque : à ce prix, chaque petit site marchand devient une cible rentable.
Mis à jour le 12 octobre 2026 : selon The Next Web, Gambit indique avoir prévenu de nombreuses organisations touchées et contribué, avec la fondation Shadowserver, à mettre hors service l’infrastructure de l’attaquant. Gambit ne relie pas la campagne à un groupe ou à un pays précis (The Next Web, 28 septembre 2026).
Ce qui s’est passé
Le 22 septembre 2026, Gambit a publié un rapport sur une campagne active depuis au moins juillet 2026, relayé le lendemain par BleepingComputer (BleepingComputer, 23 septembre 2026). Les chercheurs ont mis la main sur un serveur de préparation de l’attaquant, ce qui leur a permis de reconstituer son activité.
Le bilan annoncé par Gambit : au moins 27 entreprises compromises, plus de 600 000 cartes bancaires volées chez deux d’entre elles, et des codes espions retrouvés sur plus d’une centaine de sites. Les victimes ne sont pas nommées. Gambit cite seulement, de façon anonyme, un groupe hôtelier, une grande compagnie aérienne américaine, un distributeur industriel et un site de mode en ligne.
Le chiffre qui frappe est celui du coût. D’après le suivi tenu par l’attaquant lui-même, une analyse de cible coûtait en moyenne 25 dollars, et Gambit estime le coût total de la campagne entre 12 000 et 18 000 dollars.
Comment l’attaque a fonctionné
L’attaquant a utilisé trois outils d’IA open source, chacun avec un rôle : le premier cherche les failles, le deuxième les exploite seul jusqu’à obtenir un accès d’administrateur, le troisième coordonne l’ensemble et décide des étapes suivantes. L’humain se contente de consignes courtes. Selon Gambit, quand l’accès était obtenu, il l’était souvent en quelques heures.
- Le choix des cibles. L’attaquant a classé les sites selon leur trafic et a privilégié ceux développés sur mesure, supposés plus fragiles que les grandes solutions du marché.
- L’entrée. Les agents exploitent des failles d’applications web exposées sur Internet. Les failles précises ne sont pas détaillées publiquement.
- Le code espion (« skimmer »). Une fois dans la place, l’attaquant ajoute quelques lignes de code sur la page de paiement. Le client voit une page normale, paie normalement, mais ses numéros de carte partent aussi chez le pirate. Le code est caché dans des fichiers légitimes du site, dans des outils de suivi marketing ou dans les serveurs qui diffusent les fichiers du site.
- La persistance. Des tâches automatiques réinstallaient le code espion après sa suppression, parfois toutes les deux minutes selon The Next Web.
- La destruction. Après avoir copié les données de cartes, les agents avaient pour consigne de les effacer des bases. Chez un marchand, des tables entières ont été supprimées, y compris des sauvegardes.
Ce qu’on ne sait pas encore
On ne sait pas si les victimes ont détecté l’attaque par elles-mêmes, ni en combien de temps. Gambit présente ses résultats comme provisoires, et The Next Web précise ne pas les avoir vérifiés de façon indépendante.
Ce que ça change pour une PME
L’IA n’a pas créé de nouvelle faille. Elle a rendu rentable l’attaque de sites qui, jusqu’ici, « n’intéressaient personne ». Si vous vendez en ligne :
- Corrigez vite. Demandez à votre prestataire quel est le délai réel entre l’annonce d’une faille et sa correction sur votre site, surtout s’il est développé sur mesure. Prévoyez au moins un test de sécurité par an.
- Surveillez votre page de paiement. Faites établir la liste des scripts qui s’y chargent et mettez en place une alerte en cas de modification. Si vous le pouvez, confiez le paiement à une page hébergée par votre prestataire bancaire plutôt que de l’intégrer à votre site.
- Contrôlez qui peut modifier le site. Comptes d’administration, outils de suivi marketing, hébergement des fichiers : chaque accès doit être nominatif, limité et protégé par une double authentification.
- Testez vos sauvegardes, et gardez-en une copie hors de portée du site. L’attaquant peut effacer derrière lui, y compris les sauvegardes stockées sur le même serveur.
Dossiers : IA et attaques automatisées · Sites web et données clients
Cet article prolonge notre bulletin de veille du 24 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.