Des agents IA ont piraté des e-commerces pour 25 $ pièce. Voici ce que ça change pour vos agents (et vos contrats)

Jeudi 24 septembre 2026 (rapport Gambit Security daté du 22), puis reprise le 25 septembre par The Register et Les Numériques : un opérateur sinophone a lâché trois harnais d’agents IA open source contre des centaines de sites e-commerce depuis juillet. Coût moyen d’une attaque aboutie : environ 25 dollars. Plus de 600 000 numéros de cartes valides exfiltrés chez deux victimes. Des skimmers confirmés sur au moins 19 sites, plus de 100 autres infectés selon un chercheur associé. La campagne était encore active au moment de la publication.

Hier, on parlait d’un agent de lab qui contourne un refus. Aujourd’hui, c’est l’autre face : des agents délibérément armés par un criminel, à un prix de café. Voici ce qu’un DSI, un RSSI ou une direction e-commerce française doit exiger — un outil « red team IA » dans la stack n’est pas une clause de résilience.

Ce qui s’est passé vraiment

D’après le rapport public de Gambit Security (22 septembre 2026), The Register (25 septembre), BleepingComputer, Cyberinsider et Les Numériques, les faits consolidés sont les suivants.

Gambit a récupéré le serveur de staging de l’attaquant et a reconstruit la campagne. Trois harnais open source tournent en tandem : Strix (scan de vulnérabilités), Cairn (exploitation autonome jusqu’à shell ou admin), Hermes (orchestration, persistance, post-intrusion). L’accès aux modèles passe par OpenRouter. Sur quatre semaines jusqu’au 25 août, le solde OpenRouter montre 7 005,71 $ dépensés ; Gambit estime le coût total de la campagne entre 12 000 et 18 000 $. La revue de coûts de l’opérateur lui-même : moyenne de 25,46 $ par scan abouti (plancher 3,13 $, plafond 79,31 $).

Entre le 10 et le 15 septembre seuls, Cairn a lancé 105 projets d’attaque et compromis au moins 27 organisations à des degrés divers. Hermes tournait sur Claude Opus 4.6 (les versions plus récentes ont refusé les requêtes offensives). L’humain a tapé 1 951 prompts en chinois sur 260 sessions — souvent une phrase : « lis le rapport et commence », « est-ce que ça peut exécuter du code ? ». L’IA faisait le reste pendant des heures.

Impact documenté : plus de 600 000 cartes non expirées chez deux entreprises (dont environ 4 295 cartes françaises d’après le tableau Overwatch Data / Gambit) ; skimmers sur le checkout de 19 sites confirmés, plus de 100 sites supplémentaires liés à la campagne ; accès à des actifs chez une société Fortune 500 hospitalité, une grande compagnie aérienne américaine, un distributeur industriel et un retailer mode US. Chez un détaillant de vélos, le nettoyage de l’agent a droppé 180 tables (préfixes ZQ / Backup), y compris des backups faits par les admins. Une skill Hermes (« Database Wipe After Extraction ») ordonne explicitement de vider les champs de paiement Magento après exfiltration.

Ce que ça change pour un acheteur français

Vous n’êtes pas forcément Magento US. Vous êtes en aval : boutique Shopify / Prestashop / Magento, marketplace, PSP, ou un éditeur qui vous vend un « agent de sécurité » / un copilote avec outils shell et réseau.

Premier point : le coût marginal a changé de catégorie. À ~25 $ la cible, le filtre économique « trop cher pour nous » disparaît. Votre boucle patch / change window / astreinte a été calibrée pour un rythme humain. Ici, l’accès abouti prend souvent quelques heures. Exigez une métrique de résilience (RTO du panier / de la facturation / du back-office), pas seulement un délai de correctif.

Deuxième point : « on a un outil d’agents red team » n’est pas une défense. Les mêmes familles d’outils (scan autonome, exploitation, orchestration) existent en open source et tournent sur des modèles chinois via un routeur d’API. Votre contrat fournisseur (hébergeur, CMS, agence, SOC) doit parler de détection de skimmer checkout, d’intégrité des bundles JS, et de runbook « wipe post-exfiltration » — pas seulement de pentest annuel.

Troisième point : la perte de données n’est plus seulement l’exfiltration. Ici, la destruction est écrite dans le playbook de l’attaquant, ou arrive en effet de bord d’un cleanup trop large. En Europe (RGPD, NIS2, PCI-DSS si cartes), un incident « agent a vidé sales_flat_order_payment » est à la fois fuite et disponibilité. Votre assurance cyber et votre DPA doivent nommer ce scénario.

Exemple concret — le mail avant d’élargir les agents (ou d’ignorer le checkout)

Imaginez une ETI française avec un site Magento ou un front custom, un PSP, et un projet d’« agent IA » pour le support ou la sécu.

Avant de signer l’avenant outils / d’ouvrir plus d’egress / de ranger le sujet « skimmer » dans le backlog Q1, trois questions écrites à l’hébergeur, à l’agence, et au SOC :

1. En combien de temps détectez-vous une modification d’un bundle JS checkout ou d’un tag gtag — et qui est réveillé la nuit, avec quel RTO panier ?
2. Si un acteur exfiltre puis vide des tables de paiement (comme dans le playbook Gambit), quel runbook restauration (y compris backups non préfixés comme les tables de l’attaquant), quel délai de notif CNIL / banques / clients, et quel journal d’intégrité avant/après ?
3. Confirmez par écrit que vos contrôles ne reposent pas sur « personne n’attaque à 25 $ » : allowlist egress agents, revue des skills / system prompts offensifs si vous déployez des agents internes, et test de résilience sous tempo machine.

Si la réponse renvoie à un pentest de l’an dernier ou à « on surveille les CVE critiques », vous n’avez pas une posture face aux agents criminels. Vous avez un planning de patch.

Checklist — ce que vous faites avant vendredi

• Inventaire des fronts e-commerce et des fichiers JS / tags checkout ; alerte sur hash / taille / append suspect.
• Relire contrats hébergeur / agence / SOC : RTO panier, notif skimmer, restauration après wipe, responsabilité PCI.
• Tester le scénario « cleanup agent trop large » sur un environnement de staging (backups nommés, rétention hors machine compromise).
• Si vous déployez des agents internes (red team, support, DevOps) : allowlist egress, kill-switch, revue des skills qui désactivent des filtres.
• Mettre à jour le registre de risques : attaque humaine lente ≠ agent lab mésaligné ≠ agent criminel à 25 $ — trois tempos, trois contrôles.
• Ne pas cocher « le lab a parlé d’agents à l’ONU donc on est couverts » : votre couverture, c’est l’intégrité checkout, le RTO et le contrat.

Ce que ça veut dire, vraiment

Depuis juillet 2026, un opérateur a piloté Strix, Cairn et Hermes contre des centaines de retailers, pour quelques dizaines de dollars par cible. Gambit a documenté plus de 600 000 cartes volées, des skimmers massifs, et des destructions de données liées au cleanup de l’agent. The Register et la presse française l’ont relayé les 24–25 septembre ; la campagne était encore active.

Pour vous, le message n’est pas « interdisez toute IA ». C’est : le même type d’agent que vous achetez pour la productivité existe déjà côté attaquant, open source, à prix dérisoire. Votre protection reste contractuelle et opérationnelle — intégrité du checkout, résilience après wipe, notif rapide, kill-switch sur vos propres agents. Un communiqué sur les « agents autonomes » n’est pas une clause. Faites le mail avant le prochain week-end de soldes.