Hier saß niemand an der Tastatur. Pro Firma kostete es 25 Dollar.

Fünfundzwanzig Dollar und sechsundvierzig Cent. So viel kostete es im Schnitt, in ein Unternehmen einzudringen.

Gambit Security erreichte den Vorbereitungsserver eines finanziell motivierten Angreifers und veröffentlichte den Inhalt am 22. September. Der Betreiber, der kurze Anweisungen auf Chinesisch hinterließ, hatte drei quelloffene KI-Agentenwerkzeuge zusammengeschaltet: eines zum Aufspüren von Schwachstellen, eines zum Ausnutzen des Gefundenen und einen Orchestrator namens Hermes mit 121 Fähigkeiten, davon 78 offensive. Oben gingen ein paar Zeilen Anweisung hinein. Den Rest erledigten die Agenten, oft mit einem Einbruch in weniger als einem Tag.

Die Zahlen stammen aus der Buchführung des Angreifers selbst. Zwischen dem 10. und 15. September führte der Aufbau 105 Angriffsprojekte durch und drang in mindestens 27 Organisationen ein, darunter Hotelketten, US-Fluggesellschaften, Industriezulieferer und Modehändler. Auf 119 Websites wurden Zahlungsdatendiebe eingeschleust. Über 600.000 gültige Kartendatensätze stammten aus nur zwei Opfern. Vier Wochen KI-Modellrechnungen summierten sich auf 12.000 bis 18.000 Dollar, einzelne Unternehmen kosteten zwischen 3,13 und 79,31 Dollar.

So ein Dieb besteht aus ein paar Zeilen JavaScript auf einer Bezahlseite, die die Kartennummer beim Tippen mitlesen. Sie können ihn nicht erkennen, denn die Seite ist die echte Seite, im echten Shop, unter der echten Adresse, und nichts auf Ihrem PC kommt dabei zu Wort. Was wirklich hilft, ist unglamourös: eingeschaltete Transaktionsbenachrichtigungen, eine virtuelle oder einmalig nutzbare Kartennummer, falls Ihre Bank so etwas anbietet, und ein ordentlicher Blick auf den Kontoauszug jeden Monat. Auch die Automatik ging daneben. Bei einem Fahrradhändler löschte eine zu grob gefasste Aufräumroutine 180 Datenbanktabellen, darunter die Sicherungen des Administrators. Die Privatsphäre- und Kontenprüfung von Tendvane deckt die Hälfte ab, die Sie beeinflussen können, nämlich das, was auf Ihrem eigenen Rechner gespeichert und angemeldet ist.