Ein Zwischenbericht zu einer Angriffskampagne gegen Online-Shops enthält starke, aber unterschiedlich belastbare Belege. Das Sicherheitsunternehmen Gambit Security wertete einen übernommenen Testserver des Angreifers aus, prüfte aktive oder bereits protokollierte Kartenskimmer im Netz und zog zusätzlich Protokolle sowie Aussagen der eingesetzten KI-Agenten heran. Diese drei Ebenen sollten nicht gleich behandelt werden: Direkte Funde und live geprüfte Manipulationen sind stärker als nicht extern bestätigte Agentenprotokolle.

Für den Zeitraum 10. bis 15. September dokumentiert Gambit 105 gestartete Angriffsprojekte und mindestens 27 Unternehmen mit unterschiedlich weit reichender Kompromittierung. Von zwei Unternehmen seien mehr als 600.000 noch nicht abgelaufene Kreditkartendatensätze kopiert worden. Bei fünf Unternehmen habe das Team Kartenskimmer nachgewiesen. Heise gibt Methodik und Zahlen aus dem Bericht wieder; die anonymisierten Opfer und sämtliche Schadensangaben sind dadurch nicht eigenständig bestätigt.

Die technische Eigenheit der Kampagne liegt in der Arbeitsteilung: Strix suchte nach Schwachstellen, Cairn führte Angriffe aus und Hermes steuerte weitere Schritte. Ein Mensch gab kurze Anweisungen; die Werkzeuge arbeiteten danach teils über Stunden. Gambit berichtet außerdem von Datenverlust durch automatisierte Aufräum- und Löschschritte. Das zeigt ein Betriebsrisiko, beweist aber nicht, dass jeder der 105 Versuche erfolgreich war oder vollständig ohne menschliche Eingriffe ablief.

Für Betreiber folgt daraus mehr als der Hinweis „schneller patchen“. Zugänge und ungewöhnliche Änderungen müssen kurzfristig erkennbar sein; Wiederherstellungen sollten auch dann funktionieren, wenn Angreifer Sicherungs- oder Produktionstabellen verändern. Gambit veröffentlicht dafür technische Indikatoren, deren Einsatz in eine fachliche Vorfallprüfung gehört.

Die Untersuchung stammt von einem Sicherheitsanbieter, ist ausdrücklich vorläufig und nennt die Opfer überwiegend nicht. Forbes war beim aktuellen Abruf nur zugangsbeschränkt erreichbar. Die Zahlen sind deshalb als dokumentierter Zwischenstand zu lesen, nicht als vollständig unabhängig bestätigte Gesamtbilanz der Kampagne.