Un vendedor presuntamente ofreció una clave de la API de VirusTotal Enterprise por 350 dólares en un foro de la Dark Web el 7 de octubre. Aunque el vendedor afirma que la clave permite 5,000 solicitudes diarias y hasta mil millones en total, la veracidad de esta oferta no ha sido confirmada, por lo que se desconoce si la clave es auténtica, robada o si sigue activa.

Un vendedor supuestamente ofreció una clave API de VirusTotal Enterprise por 350 dólares en una publicación de Dark Web Informer el 7 de octubre, pero la afirmación sigue sin ser verificada, ya que no hay pruebas que confirmen si la clave es genuina, robada o está activa.

Según la publicación, el vendedor afirma límites de 5.000 solicitudes por día, 300.000 por hora y mil millones por mes. Según se informa, el vendedor acepta pagos en Bitcoin o Litecoin y ofrece un servicio de depósito en garantía (escrow).

Estos detalles describen el anuncio del vendedor, no capacidades confirmadas. La publicación original de Dark Web Informer es la fuente de la acusación.

Los límites anunciados merecen un análisis detallado. Una asignación diaria de 5.000 solicitudes evitaría que un comprador utilice 300.000 solicitudes en una hora si ambos límites se aplicaran a la misma actividad. El anuncio no explica si las cifras se refieren a diferentes servicios, cuotas separadas o afirmaciones inexactas.

La documentación oficial de cuotas de VirusTotal describe los límites de la API por minuto, día y mes. Puedes consultar tus asignaciones y el consumo a través de la página de la clave API de tu cuenta.

Eso hace que la verificación a nivel de cuenta sea importante: una captura de pantalla o una demostración breve por sí sola no pueden establecer la propiedad, el acceso continuo o la asignación total anunciada.

Vendiendo claves API de VirusTotal

La plataforma también separa el acceso público de las funciones de API de pago. Su API pública permite 500 solicitudes por día y cuatro solicitudes por minuto. Las asignaciones premium dependen del nivel de servicio contratado. Por lo tanto, una etiqueta de "Enterprise" en una publicación de venta no puede, por sí misma, probar qué funciones recibiría un comprador.

Una clave API permite que el software se comunique con VirusTotal sin que alguien envíe manualmente cada solicitud a través de su sitio web. Los equipos de seguridad utilizan este acceso para recuperar informes de archivos, investigar dominios sospechosos y añadir datos de amenazas a flujos de trabajo automatizados. La guía de investigación de amenazas de VirusTotal explica cómo estas consultas apoyan las investigaciones a escala.

Técnicamente, las solicitudes de la API de VirusTotal se autentican a través del encabezado HTTP x-apikey. VirusTotal advierte que una clave personal conlleva los privilegios del usuario y no debe compartirse.

Por lo tanto, la posesión no autorizada podría permitir que otra persona realice solicitudes bajo la cuenta afectada, sujeto a sus permisos y cuotas. Esto es un uso indebido de credenciales, no necesariamente una brecha de seguridad de VirusTotal en sí mismo.

Dependiendo de la suscripción, el uso indebido podría exponer capacidades de investigación con licencia o consumir asignaciones necesarias para analistas legítimos. VirusTotal documenta un tratamiento de cuotas separado para algunas operaciones, por lo que el impacto real dependería del acceso de la clave y los endpoints utilizados. La posesión por sí sola no prueba el acceso irrestricto a cada servicio.

El informe proporcionado no identifica al propietario de la cuenta, no explica cómo el vendedor obtuvo la supuesta clave, ni proporciona pruebas de un compromiso más amplio. Las afirmaciones en las respuestas de las redes sociales sobre posibles fuentes no deben tratarse como hallazgos. Una demostración funcional mostraría el acceso en ese momento, no la propiedad legal o la disponibilidad duradera.

Si tu organización está preocupada por la exposición, deberías revisar el uso de la API, investigar solicitudes inexplicables y revocar las credenciales expuestas. La cobertura sobre el robo de claves API destaca las revisiones de uso y la revocación como respuestas a las claves robadas.

Por ahora, este anuncio sigue siendo una acusación que requiere verificación independiente, más que una evidencia de una brecha confirmada de VirusTotal o un acceso empresarial validado.

Fuentes:
https://cybersecuritynews.com/hackers-selling-virustotal-api-keys/