Un informe de SOCRadar advierte sobre el aumento del robo de credenciales y sesiones de IA (principalmente ChatGPT) mediante *infostealers*, afectando a cientos de grandes empresas. Estos ataques son críticos ya que permiten saltar el MFA y acceder a historiales de chats con datos confidenciales, claves API y permisos de automatización. Para mitigarlo, se recomienda implementar SSO con sesiones cortas, rotar claves API y monitorear la reutilización de tokens.

El verano de 2026 enseñó a la industria de la seguridad una nueva frase: el inicio de sesión de IA robado. A finales de agosto, Anthropic respondió al secuestro de sesiones de Claude impulsado por infostealers, cerrando las sesiones de los usuarios, eliminando los métodos de pago guardados y reembolsando los cargos que identificó como no autorizados.


Partiendo de más de un millón de registros de infostealers vinculados a servicios de IA en más de 80,000 dominios corporativos, la investigación redujo el conjunto a 482 empresas importantes y establecidas para responder a una sola pregunta: cuando un inicio de sesión de IA cae en un registro de stealer, ¿de quién es y qué hereda el comprador?

De las 482, el 68% son organizaciones de miles de millones de dólares en 36 países y ocho sectores, concentradas en América del Norte, y docenas de ellas clasificadas por Forbes.

Entre ellas se encuentran 5,434 registros de stealer vinculados a 1,500 direcciones de correo electrónico corporativas distintas, y 295 de las 482 aparecieron en los últimos 90 días.

Chatgpt domina el conjunto de datos; hugging face y replit muestran que las herramientas de desarrollador también están expuestas

Al desglosar el conjunto de datos por plataforma, un nombre acapara el gráfico. Una sesión capturada de ChatGPT u OpenAI aparece en 358 de las 482 empresas, y esas empresas concentran aproximadamente el 90% de todos los registros del estudio. Zapier, Notion, Hugging Face, Replit, Lovable y ElevenLabs quedan muy atrás.

Empresas (de 482) con al menos una credencial o sesión de empleado robada.

Ese sesgo es importante, pero la parte más interesante es quién falta. No hay rastro de Claude en los primeros puestos. Ni de Gemini.

Comentario del investigador

“Interpretamos el dominio casi total de ChatGPT como una señal de IA en la sombra (shadow-AI), no como un veredicto sobre la seguridad de ningún proveedor. Su ventaja de ser el primero en el mercado significa que muchos más empleados se han registrado discretamente con un correo electrónico de trabajo en un dispositivo personal, y esa es la población que rastrean los infostealers. A medida que la adopción de otros asistentes se iguale, esperamos que este gráfico se equilibre”.

Es una advertencia oportuna. El incidente de Anthropic a finales de agosto mostró que las sesiones de Claude son objetivo en el momento en que existen en volumen suficiente; la plataforma simplemente tiene una huella corporativa más pequeña para recolectar hoy.

La lección para un CISO no es “elegir un asistente más seguro”. Es que la exposición sigue a los usuarios, y los usuarios están en todas partes donde su política no llega.

por qué un inicio de sesión de IA robado es peor que una contraseña robada

Una credencial tradicional desbloquea una aplicación. Una cuenta de IA son cuatro cosas a la vez: un archivo searchable, un motor de ejecución, un recurso facturable y una identidad. Una sesión robada entrega las cuatro sin pedir una contraseña.

El historial de conversaciones es la brecha

Los empleados pegan código fuente, registros de clientes, contratos y planes no publicados en los prompts. La cuenta se convierte en un depósito de memoria corporativa, y quien replique la sesión hereda ese archivo antes de tocar un sistema interno.

Las cookies de sesión saltan el MFA

Una cookie robada es una sesión activa. Como ha dicho Jeremy Kirk de Okta, los tokens de sesión y las claves API son buscados precisamente porque pueden ser replicados para evadir la autenticación basada en credenciales. Cambiar la contraseña deja al intruso conectado.

Los agentes actúan con la autoridad del empleado

Las plataformas de automatización mantienen concesiones OAuth permanentes en CRM, correo electrónico y almacenamiento. Una sesión de Zapier robada permite a un atacante crear un flujo de trabajo que exfiltra datos de forma programada, desde un espacio de IP confiable del proveedor.

Las claves API son dinero, capacidad y cobertura - LLMJacking

Las claves copiadas en una aplicación de notas o en una página de configuración de espacio de trabajo se roban junto con todo lo demás, y luego se facturan a la víctima o se revenden. Vendedores clandestinos venden acceso con descuento a cuentas de Claude, Gemini y Cursor con garantías de devolución de dinero.

Listados recientes en el mercado negro de claves API de IA y cookies de sesión.

La tecnología lidera, pero la exposición está en todas partes

Las empresas de tecnología y servicios de internet son el grupo más grande con 144 empresas y el 40% de todos los registros, y estas firmas custodian datos de muchos clientes derivados.

Industrias, servicios financieros, comercio minorista, salud y energía también aparecen con fuerza.

Empresas afectadas y registros de stealer por sector (a escala 1/10).

Al desglosar los mismos sectores según el tipo de IA expuesta, el perfil de riesgo cambia. La exposición de plataformas LLM es casi universal, siendo la más alta en energía con el 93% de las empresas afectadas.

La exposición de agentes y automatización, que traslada la autoridad de un empleado a otros sistemas, se concentra en salud, servicios financieros y tecnología.

Porcentaje de empresas expuestas de cada sector con una credencial robada.

Nada de esto requiere un enjambre de agentes autónomos. Un empleado, una computadora portátil no gestionada, una contraseña de ChatGPT guardada y un infostealer común que ha estado a la venta en canales de Telegram desde 2022 es suficiente.

¿Qué hacer al respecto?

Los controles no son exóticos. Lo nuevo es que las plataformas de IA ahora pertenecen al mismo nivel que su proveedor de identidad y sus repositorios de código.

* Coloque cada plataforma de IA detrás de un SSO con sesiones de corta duración: Use OAuth 2.0 / OIDC con rotación de tokens de actualización para que una cookie robada expire antes de que pueda ser vendida. El SSO elimina la contraseña guardada, no la cookie de sesión activa, y no sirve para cuentas abiertas antes de que existiera la política.
* Limite, tope y rote las claves API: Alerte sobre el uso desde ASN no familiarizados o en horarios extraños; la huella digital del LLMjacking.
* Monitoree la reutilización de tokens de sesión: Una sesión que cambia de país o de huella de dispositivo a mitad de su vida es una sesión replicada. Trate cualquier empleado que aparezca en un registro de stealer como un incidente de endpoint, no como un simple restablecimiento de contraseña.
* Encuentre primero las cuentas en la sombra: No puede rotar lo que no sabe que existe. Comience por encontrar cuáles de sus dominios ya aparecen en los registros de stealer. 


Fuente:
BleepingComputer