Ciberdelincuentes están utilizando malware para robar tokens de sesión y claves API, permitiéndoles acceder a cuentas de IA como Google y OpenAI sin necesidad de contraseñas ni MFA. Estos accesos robados se venden en foros clandestinos para realizar espionaje, robos de recursos o generar costos elevados para las víctimas. Expertos recomiendan implementar tokens de corta duración y tecnologías resistentes al phishing para mitigar este riesgo.






Los cibercriminales están secuestrando cuentas de usuario de inteligencia artificial (IA) a través de registros de ladrones de información (infostealers) para crear "claves robadas" que otorgan acceso ilícito a herramientas de proveedores de modelos como Google, Anthropic y otros.

Los infostealers, como Lumma Stealer o Vidar, están equipados para recolectar una amplia gama de datos de sistemas comprometidos. Esto puede incluir credenciales, tokens de sesión y claves API.

Una vez robados los datos, los actores de amenazas que han comprado acceso a estas ofertas comerciales los ponen a la venta en foros clandestinos en forma de registros de stealer para permitir ataques posteriores.

"Los tokens de sesión y las claves API son buscados específicamente por los actores de amenazas porque a menudo es posible repetir esos secretos y evitar la autenticación basada en credenciales", dijo Jeremy Kirk, director de inteligencia de amenazas de Okta, en un informe compartido con Okta.

"Una vez repetidos con éxito, el actor de amenazas ha iniciado sesión efectivamente en un servicio de LLM sin haberse autenticado realmente. El uso de estas llaves maestras hace que el abuso sea más difícil, pero no imposible de detectar".

El proveedor de servicios de identidad señaló que analizó un volcado de infostealer de 7 GB publicado en un canal de Telegram el 2 de agosto de 2026. El registro contenía datos pertenecientes a 5,871 máquinas infectadas en 162 países.

Entre ellos había miles de tokens de autenticación no caducados correspondientes a servicios como Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com y Pika AI. De los 44,791 tokens web JSON (JWT) únicos del conjunto de datos, 555 JWT probablemente estaban relacionados con la autenticación de servicios de IA.

De manera similar a un token de sesión, un JWT válido puede ser abusado para obtener acceso directo a la cuenta evitando la autenticación regular mediante nombre de usuario y contraseña, así como la autenticación de múltiples factores (MFA).

Okta dijo que también identificó 2,937 estructuras de datos de Cifrado Web JSON (JWE aquí más detalles) relacionadas con la autenticación que representan JWT cifrados. Se dice que la mayoría de estos tokens fueron establecidos por OpenAI, que utiliza NextAuth.js. Aunque estas claves solo pueden ser descifradas y analizadas por la parte que posee la clave, sigue siendo posible que un atacante repita estos tokens y acceda a una cuenta siempre que no hayan caducado.

En total, se dice que los datos robados contenían 1,843 JWT y JWE no caducados el día de su publicación. Preocupantemente, se ha descubierto que el 17.7% de los 44,791 JWT incluyen información de identificación personal (PII) en texto plano, como nombre, número de teléfono o dirección de correo electrónico.

"Este es otro aspecto problemático ya que esa información no caduca ni desaparece, y vincula directamente a un usuario con un servicio específico, lo que podría ser útil para intentos de ingeniería social o phishing", dijo Kirk.

Un aspecto clave que vale la pena mencionar es que los ataques de repetición de sesión pueden no funcionar en escenarios donde una organización utiliza listas blancas de IP, una función de seguridad que bloquea todo el tráfico de red excepto para direcciones IP o rangos específicos aprobados. Además, Google ha añadido soporte para Credenciales de Sesión Vinculadas al Dispositivo (DBSC) en Chrome para vincular criptográficamente un token de sesión a un dispositivo, de modo que un token robado no pueda usarse en otro sistema.

Además de las credenciales y los tokens, un análisis del volcado del stealer utilizando TruffleHog ha desenterrado 24 claves API aún válidas para cuatro servicios relacionados con la IA, como Google Gemini, OpenAI, Groq y OpenRouter. Un atacante que posea dicha clave puede utilizarla para espionaje, extorsión o robo de recursos, y generar facturas elevadas de tokens de IA.

El abuso de claves API por parte de malos actores para obtener acceso no autorizado al modelo de lenguaje extenso (LLM) de una víctima y usar los servicios para lograr sus objetivos, o vender el acceso a otros cibercriminales, se denomina LLMjacking. La técnica está descrita aquí y es similar a las campañas que usan secretamente los recursos de un sistema para minar criptomonedas, mientras pasan las pesadas facturas de computación a la víctima según este análisis.

A medida que la adopción de la IA aumenta en los entornos empresariales, los datos extraídos por los infostealers han diversificado la cartera de monetización para los cibercriminales, surgiendo nuevos sitios de mercado negro para comprar paquetes de tokens robados y navegadores anti-detección.

En una publicación de Telegram señalada por Okta, se ha detectado a un vendedor no especificado vendiendo acceso a Claude, Cursor, ChatGPT y Gemini a un precio reducido, además de ofrecer soporte 24x7 y garantías de devolución de dinero. Otro servicio llamado Poison Claude afirma proporcionar acceso a los modelos Opus 4.8, Opus 4.7, Opus 4.6 y Sonnet 4.6 de Anthropic.

"Acceder a cuentas usando datos de sesión robados requiere herramientas específicas", dijo Okta. "Los llamados navegadores 'anti-detect' tienen funciones diseñadas para usar datos de autenticación robados y evitar los controles de seguridad".

"Otras herramientas, como el navegador anti-detect de código abierto Camoufox o la herramienta de automatización SeleniumBase, pueden cargar fácilmente desde un archivo datos robados del sessionStorage y localStorage de un navegador. Muchas de estas herramientas permiten a los usuarios configurar proxies, permitiéndoles evitar las detecciones de 'viaje imposible' o disparadores conductuales que de otro modo señalarían el acceso no autorizado".

La revelación llega mientras Google informaba que ha observado "más personas buscando comprar cuentas relacionadas con la IA y más vendedores anunciando estas cuentas" en el submundo del cibercrimen ante el creciente uso de la IA por parte de los actores de amenazas. Las publicaciones en estos foros han indicado la demanda de compradores de credenciales de Claude y Gemini, en conjunto con IDEs de codificación autónomos como Cursor Pro y Devin.

En al menos una intervención de respuesta a incidentes gestionada por el equipo Mandiant de Google, se descubrió que un actor de amenazas había obtenido acceso inicial al entorno en la nube de una víctima a través de un Token de Acceso Personal (PAT) de GitHub expuesto y lo aprovechó para desplegar infraestructura de IA no autorizada y escalar recursos de computación de alto rendimiento.

"El costo del acceso a modelos premium y la computación de alto rendimiento es una de las principales barreras para los actores de amenazas que buscan operativizar la IA", dijo el Grupo de Inteligencia de Amenazas de Google (GTIG). "Esto ha resultado en un aumento del objetivo, la exfiltración y la venta de cuentas de IA en las comunidades de cibercrimen, junto con un número creciente de intrusiones que implican el compromiso de entornos de nube empresariales para secuestrar recursos de computación".

Los hallazgos resaltan la necesidad urgente de asegurar el acceso a los sistemas de IA, monitorear la reutilización de tokens de sesión, limitar el alcance de las claves API y usar flujos OAuth 2.0 con tokens de corta duración que expiren rápidamente en caso de ser robados.

"A medida que el acceso a los modelos de frontera se vuelve más caro, el incentivo para robar en lugar de pagar también crece", dijo Kirk. "Una autenticación más fuerte y el uso de tecnologías resistentes al phishing, como las passkeys, han hecho que el robo de nombre de usuario y contraseña sea más difícil, pero esto no detiene un token de sesión o una clave API robada".

Fuente:
THN