你的信用卡，可能在网购付款时被偷走

总编按：

GFM《财经调查》目前正持续推进《大火之后，谁来重建洛杉矶？ 》系列，追踪灾后住房、保险、房贷、城市治理与社区公平等公共议题。然而，当支付安全出现正在扩大的现实风险时，媒体同样有责任及时介入。

本文聚焦一宗仍在进行的AI Agent 攻击行动。它把网站测试、漏洞利用与支付资料窃取串成低成本、可复制的流程，直接触及消费者信用卡安全、商户付款页面、PCI DSS 合规、网络安全与企业治理。

因此，GFM 将本文列为《财经调查》之下的「数字支付安全」最新特别调查，不纳入《大火之后，谁来重建洛杉矶？ 》系列。这既回应当下风险，也维持两条公共调查主线各自完整、清楚的编辑边界。

Jeff Morgan

（图片说明）一台显示网购付款介面的笔记型电脑与信用卡，画面以抽象资料分流呈现付款资料可能在商户网站端面临的安全风险，对应本文对网购付款流程与支付资料窃取的讨论。

暴露伺服器留下的攻击链

消费者在网上购物时，通常把注意力放在商品、价格与付款是否成功，却很少追问：输入卡号、有效期与安全码的那个页面，是否仍由商户完整控制？

一宗仍在进行的资安行动，让这个问题变得格外具体。资安公司Gambit Security 表示，其威胁情报团队在一台意外暴露于公开网路的攻击者暂存伺服器上，发现并重建了一条以AI Agent 为核心的攻击链。调查显示，操作者以简短中文指令驱动多套公开工具，持续扫描线上商户、尝试取得系统存取权、在结帐页植入窃卡程式，并整理外流资料。

事件令人不安之处，不只是大量支付卡纪录疑似外流，而是攻击的组织方式正在改变。过去需要多名技术人员分工完成的工作，如今可以被拆解成连续任务，交由Agent 长时间执行；人类操作者保留目标选择与关键决策，却不必再亲手完成每一个技术步骤。

Gambit 也强调，这仍是一份中期调查报告。其判断部分来自已取得的外流资料与攻击工具，部分来自仍在运作或已被移除、但留有纪录的付款页面窃卡程式，另有部分来自攻击者伺服器上的日志与Agent 报告。受害范围、资料数量与企业损失，仍待涉事公司、支付机构与执法部门进一步确认。

数字不能混为一谈

根据Gambit 的初步重建，这项活动可追溯至2026 年7 月，且尚未完全停止。仅在9 月10 日至15 日间，名为Cairn 的自动化工具就启动了105 个攻击项目；至少27 家企业受到不同程度的入侵。

这些数字代表不同层次的风险，不应被合并理解。逾60 万笔尚未到期的支付卡纪录，据称来自其中两家受害企业；研究人员确认，至少19 家受害网站的结帐页面曾被植入窃取卡片资料的程式。另有逾100 个网站，被外部研究人员标记为与同一组skimmer 基础设施有关，但其受感染时间、资料外流量与实际损失，尚未全部得到独立确认。

Gambit 与反诈欺公司Overwatch Data 合作处理涉案卡片资料并通知发卡机构。依其公布的发卡地统计，约48.8 万笔纪录、约占全部纪录的79%，属于美国持卡人。对普通家庭来说，这可能意味着停卡、补发、可疑交易、帐户监测，以及对个人支付资讯长期遭滥用的担忧。

（图片说明）资安调查工作空间中的伺服器、事件时间线与抽象网路节点，呈现研究人员依据暴露伺服器、日志与技术证据重建攻击行动的调查环境。

攻击被拆成三套工具

这次行动使用的并非传闻中的秘密武器。 Gambit 指出，操作者将三套公开可取得的AI 工具串连使用：Strix 用于发现网站漏洞与暴露面；Cairn 接受目标与任务后，持续尝试取得系统存取权；Hermes 则负责协调任务、保存过往工作纪录、安排下一轮行动并提供策略建议。

模型服务也被接入这条工作链。根据Gambit 掌握的帐户与日志资料，操作者透过OpenRouter 取得模型能力；不同阶段使用了DeepSeek、GLM 与较早期的Claude Opus 4.6。研究人员称，较新的模型曾拒绝部分请求，操作者其后转向其他选项推进工作。

在260 次Hermes 工作阶段中，研究人员记录到操作者输入1,951 条指令。许多指令很短，例如要求系统阅读漏洞报告后开始工作，或根据既有结果继续寻找下一个入口。

这不代表人类已经退出攻击。目标由谁挑选、资料如何处理、何时停止、如何清理痕迹，仍然是人做出的决定。改变的是，人不再需要逐台操作电脑、逐行撰写程式，或亲自追踪每一个失败步骤。 Agent 可以在几小时内反覆测试不同路径，读取结果后继续下一轮工作。

过去，能同时掌握漏洞研究、系统入侵、恶意程式开发与支付资料处理能力的团伙，往往需要长期积累与明确分工。现在，这些工作可以被拆成模组，接入同一个自动化流程。能力没有凭空出现，但取得、协调与扩张能力的成本正在下降。

成本下降，长尾商户成为目标

Gambit 在攻击者帐户中发现，截至8 月25 日的四周内，OpenRouter 模型存取支出约为7,005.71 美元。依据其后三周更高的模型调用量，研究人员估计，整个行动的模型存取成本约为12,000 至18,000 美元。

另一组更具启示性的数字，来自攻击者自己的成本纪录：在101 次完成的扫描中，平均每个目标的模型成本约为25.46 美元，最低为3.13 美元，最高为79.31 美元。

这不是完整的犯罪成本。租用伺服器、代理服务、失败任务、资料转移与后续变现，都可能产生额外支出。但对企业治理层而言，关键在于：测试一个商户的边际成本，已低到足以改变攻击者选择目标的方式。

当测试一个网站只需数十美元，攻击者不需要每次都成功，也不必优先挑战防御最严密的大型平台。他们可以持续对大量网站进行测试，寻找历史技术债、过期元件、错误设定、外包开发留下的缺口，以及管理不善的第三方程式码。

全球支付生态真正脆弱的地方，经常不是少数拥有庞大安全团队的科技巨头，而是数量庞大的中型零售商、旅游网站、订阅服务、垂直电商与地方品牌。它们依赖网站收入，却未必有能力持续审查所有程式码、外部脚本、云端权限与供应商连结。 AI Agent 让攻击者可以以极低成本、极长耐心，逐一寻找这些薄弱点。

（图片说明）多个不同类型的零售商品与网站图示连向单一控制节点，呈现自动化工具以低边际成本测试大量商户、扩大攻击覆盖范围的经济逻辑。

信用卡可能在付款前被截走

这类攻击在支付安全领域被称为e-skimming，亦常被归入Magecart 式攻击。它的危险之处，在于攻击者未必需要进入银行核心系统，也不一定需要直接突破信用卡公司的防线。

只要商户网站的付款页面或相关程式码被植入恶意脚本，消费者在浏览器中输入的卡号、有效期与安全码，便可能在送往合法支付系统之前被复制并外传。消费者看见的网站仍可能照常运作，订单也可能正常完成，因此很难立即察觉。

这正是PCI Security Standards Council 在PCI DSS v4.0 及v4.0.1 中，针对付款页面提出新增要求的原因。第6.4.3 项要求商户对付款页面中载入与执行的每段脚本建立清单，确认其受到授权、具备完整性验证，并有合理的业务或技术理由；第11.6.1 项则要求企业建立机制，侦测付款页面与安全相关HTTP 标头的未授权变更。

对消费者来说，这些规则显得专业而遥远；但它们回答的是一个简单而重要的问题：你在结帐页看不见的那段程式，究竟是谁放上去的？谁确认过它没有被替换？谁会在它被窜改时收到警报？

持卡人能做的是及早发现

消费者无法自行审查商户网站的程式码，也不可能判断某个结帐页是否已经被植入窃卡程式，但仍可藉由几项习惯缩短发现风险与处理问题的时间。

首先，应为信用卡及银行帐户开启即时交易通知。卡片资料遭窃后，最早出现的信号往往不是银行的正式信函，而是一笔金额很小、看似不起眼的测试交易。

其次，网购时宜优先使用信用卡，而非直接连结银行帐户的金融卡；信用卡通常具有较清楚的争议交易与处理程序。若发卡银行提供虚拟卡号、数位钱包或一次性支付功能，也可减少实体卡号反覆暴露在不同商户系统中的机会。

最后，消费者应定期查看交易纪录，而不是只等月底帐单。发现陌生、小额或描述模糊的交易时，应立即向发卡机构查询并采取停卡或换卡措施。外观成熟的大型商户未必绝对安全；付款页面窃取最棘手的地方，正是它可能藏在一家长期被信任、表面运作正常的网站之中。

（图片说明）消费者在笔记型电脑前准备进行网购付款，透明图层以概念方式呈现付款页面的完整性与程式码安全问题，提醒读者付款成功不代表资料绝对安全。

企业必须以机器速度守住付款页

攻击者一旦利用自动化工具持续工作，企业若仍完全依赖人工告警、跨部门会议与排程修补，反应时间就容易被拉开。这不是要求企业把重要决策全部交给AI，而是要求防御流程也具备足够速度。

企业应持续盘点面向网际网路的资产、付款页面与第三方依赖，监测脚本完整性、异常管理员存取与不寻常的资料外传行为；当付款页面程式、云端权限或管理帐户出现异常时，系统应能先行隔离高风险连线，并把最需要判断的事件迅速交给资安人员。

对上市公司而言，这同时是披露与治理问题。美国证券交易委员会的Form 8-K Item 1.05 规定，公司一旦判定网路事件具有重大性，通常须在四个工作日内披露事件的性质、范围、时点及实际或合理可能的影响。这个时钟从重大性判定开始，而不是从最初发现事件开始；但公司也不能无理拖延重大性判断。

攻击速度提升后，技术鉴识、法务、财务、资安、客户服务与投资人沟通便不能各自运作。它们必须在事件的最初阶段就进入同一条决策链，否则企业很可能在尚未看清全部损失之前，已经错过隔离、通知与披露的重要时间窗口。

（图片说明）企业资安与营运团队监测抽象化的付款页面与异常警示资讯，对应本文提出企业需以持续监测、权限管理与快速应变守住数位支付环境。

封禁帐户解决不了整条风险链

这宗行动也说明，模型安全护栏有必要，却不能被当作全部答案。新版模型拒绝危险指令，能提高滥用成本，也能留下重要的异常信号；但攻击者可以改用不同模型、不同框架、不同帐户与不同云端资源。

因此，责任不能只落在一家模型公司身上。模型服务商需要识别高风险任务编排与异常工具调用；开源Agent 框架应将权限控制、工具沙箱与审计纪录纳入预设设计；云端与域名服务商应更快处置明确的恶意控制节点；支付企业与商户则必须承担付款页面完整性与第三方程式码治理的直接责任。

网路保险、PCI DSS 合规、事件应变演练与董事会风险报告，也需要重新假设一件事：未来的攻击者不会只在白天工作，不会因重复任务而疲倦，更不需要用人工逐一测试每一间公司。

这起事件并不证明AI 必然导致网路犯罪失控。相同的Agent 能力，也可以被用于程式码审查、漏洞修复、威胁侦测与事件回应。真正的分水岭，在于防御方是否愿意以同样的速度更新制度、权限与安全基础设施。

对每一位持卡人而言，最直接的提醒很简单：信用卡安全不只取决于你有没有把卡拿在手上，也取决于你输入卡号的那个结帐页，是否仍由应该负责的人妥善守住。

免责声明

本文依公开资料及资安研究人员的中期调查撰写，部分受害范围、外流规模与技术细节仍待企业、执法及监管机关进一步确认；内容仅供新闻研究与资讯参考，不构成法律、投资或资安建议。