Cibercriminosos estão sequestrando contas de usuários de inteligência artificial (IA) por meio de logs de infostealers para criar “chaves roubadas” que garantem acesso ilícito a ferramentas de provedores de modelos como Google, Anthropic e outros.
Infostealers como Lumma Stealer e Vidar foram projetados para coletar uma ampla variedade de dados em sistemas comprometidos. Isso pode incluir credenciais, tokens de sessão e chaves de API.
Depois que esses dados são roubados, threat actors que compraram acesso a essas ferramentas prontas passam a revendê-los em fóruns clandestinos na forma de logs de infostealers, para viabilizar ataques posteriores.
“Tokens de sessão e chaves de API são alvos específicos de threat actors porque muitas vezes é possível reproduzir esses segredos e contornar a autenticação baseada em credenciais”, afirmou Jeremy Kirk, diretor de inteligência de ameaças da Okta, em um relatório compartilhado com pesquisadores.
“Uma vez reproduzido com sucesso, o threat actor fica, na prática, conectado a um serviço de LLM sem precisar fazer login de fato. O uso dessas chaves-skeleton torna o abuso mais difícil de detectar, mas não impossível.”
A empresa de serviços de identidade informou que analisou um descarte de infostealer de 7 GB publicado em um canal do Telegram em 2 de agosto de 2026. O log continha dados de 5.871 máquinas infectadas em 162 países.
Entre eles havia milhares de tokens de autenticação ainda válidos, ligados a serviços como Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com e Pika AI. Dos 44.791 JSON Web Tokens (JWTs) exclusivos no conjunto de dados, 555 provavelmente estavam relacionados à autenticação de serviços de IA.
Assim como um token de sessão, um JWT válido pode ser abusado para obter acesso direto à conta, contornando a autenticação normal com nome de usuário e senha, além da autenticação multifator (MFA).
A Okta disse também ter identificado 2.937 estruturas de JSON Web Encryption (JWE) relacionadas à autenticação, representando JWTs criptografados. A maioria desses tokens teria sido definida pela OpenAI, que usa NextAuth.js. Embora essas chaves só possam ser descriptografadas e interpretadas por quem detém a chave correspondente, ainda assim um invasor pode reproduzir esses tokens e obter acesso à conta, desde que eles não tenham expirado.
No total, os dados roubados continham 1.843 JWTs e JWEs ainda válidos no dia em que foram publicados. Mais preocupante, 17,7% dos 44.791 JWTs continham informações pessoais identificáveis (PII) em texto simples, como nome, número de telefone ou endereço de e-mail.
“Esse é outro aspecto problemático, porque essa informação não expira nem desaparece e vincula diretamente um usuário a um serviço específico, o que pode ser útil para tentativas de engenharia social ou phishing”, disse Kirk.
Um ponto importante é que ataques de reprodução de sessão podem não funcionar em cenários em que a organização usa allowlisting de IP, um recurso de segurança que bloqueia todo o tráfego de rede, exceto endereços IP específicos e aprovados, ou faixas autorizadas. Além disso, o Google adicionou ao Chrome o suporte a Device Bound Session Credentials (DBSC) para vincular criptograficamente um token de sessão a um dispositivo, impedindo que um token roubado seja usado em outro sistema.
Além de credenciais e tokens, uma análise do descarte de infostealer usando o TruffleHog encontrou 24 chaves de API ainda válidas para quatro serviços relacionados à IA, como Google Gemini, OpenAI, Groq e OpenRouter. Um invasor em posse de uma dessas chaves pode transformá-la em arma para espionagem, extorsão ou roubo de recursos, além de acumular cobranças de tokens de IA em nome da vítima.
O abuso de chaves de API por agentes maliciosos para obter acesso não autorizado ao LLM de uma vítima e usar os serviços para atingir seus objetivos, ou vender esse acesso a outros cibercriminosos, recebe o nome de LLMjacking. A técnica é semelhante a campanhas que usam secretamente os recursos de um sistema para minerar criptomoedas, repassando à vítima os altos custos de processamento.
À medida que a adoção de IA cresce nos ambientes corporativos, os dados extraídos por infostealers passaram a diversificar o portfólio de monetização dos cibercriminosos, com o surgimento de novos sites no mercado clandestino para compra de pacotes de tokens roubados e navegadores anti-detecção.
Em uma publicação no Telegram sinalizada pela Okta, um fornecedor não identificado foi flagrado vendendo acesso a Claude, Cursor, ChatGPT e Gemini com preço promocional, além de oferecer suporte 24 horas por dia, 7 dias por semana, e garantia de reembolso. Outro serviço, chamado Poison Claude, afirma fornecer acesso aos modelos Opus 4.8, Opus 4.7, Opus 4.6 e Sonnet 4.6 da Anthropic.
“Obter acesso a contas usando dados de sessão roubados exige ferramentas específicas”, afirmou a Okta. “Os chamados navegadores ‘anti-detect’ têm recursos projetados para usar dados de autenticação roubados e evitar controles de segurança.”
“Outras ferramentas, como o navegador anti-detecção open source Camoufox ou a ferramenta de automação SeleniumBase, conseguem carregar com facilidade, a partir de um arquivo, dados roubados do sessionStorage e do localStorage do navegador. Muitas dessas ferramentas permitem configurar proxies, o que ajuda a contornar detecções de ‘viagem impossível’ ou gatilhos comportamentais que, de outra forma, denunciariam o acesso não autorizado.”
A divulgação ocorre no momento em que o Google informou ter observado “mais pessoas buscando comprar contas relacionadas à IA e mais vendedores anunciando essas contas” no submundo do cibercrime, à medida que cresce o uso de IA por threat actors. Publicações nesses fóruns indicam demanda de compradores por credenciais do Claude e do Gemini, em conjunto com IDEs autônomas de programação como Cursor Pro e Devin.
Em pelo menos um atendimento de resposta a incidentes conduzido pela equipe Mandiant do Google, foi constatado que um threat actor obteve acesso inicial ao ambiente cloud de uma vítima por meio de um GitHub Personal Access Token (PAT) exposto e o utilizou para implantar infraestrutura de IA não autorizada e ampliar recursos de computação de alto desempenho.
“O custo do acesso a modelos premium e da computação de alto desempenho é uma das principais barreiras para threat actors que tentam operacionalizar IA”, afirmou o Google Threat Intelligence Group (GTIG). “Isso levou a um aumento da busca, da extração e da venda de contas de IA em comunidades de cibercrime, além de um número crescente de invasões envolvendo o comprometimento de ambientes cloud corporativos para sequestrar recursos de computação.”
Os achados reforçam a necessidade urgente de proteger o acesso a sistemas de IA, monitorar a reutilização de tokens de sessão, limitar o escopo de chaves de API e adotar fluxos OAuth 2.0 com tokens de curta duração, que expiram rapidamente em caso de roubo.
“À medida que o acesso a modelos de ponta se torna mais caro, cresce também o incentivo para roubar em vez de pagar”, disse Kirk. “Uma autenticação mais forte e o uso de tecnologias resistentes a phishing, como passkeys, tornaram mais difícil o sequestro com nome de usuário e senha, mas isso não impede o uso de um token de sessão ou de uma chave de API roubados.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...