Cibercriminosos estão sequestrando contas de usuários de inteligência artificial (IA, do inglês artificial intelligence) por meio de logs de softwares ladrões de informações para criar "chaves roubadas" que concedem acesso ilícito a ferramentas de provedores de modelos como Google, Anthropic e outros.
Como o ataque funciona
Softwares ladrões de informações como Lumma Stealer ou Vidar são equipados para coletar uma ampla gama de dados de sistemas comprometidos. Isso pode incluir credenciais, tokens de sessão e chaves de API (Interface de Programação de Aplicações).
Uma vez roubados os dados, agentes maliciosos que compraram acesso a essas ferramentas prontas para uso os colocam à venda em fóruns clandestinos na forma de logs de ladrão de informações para viabilizar ataques subsequentes.
"Tokens de sessão e chaves de API são buscados especificamente por agentes maliciosos porque muitas vezes é possível reproduzir esses segredos e contornar a autenticação baseada em credenciais", afirmou Jeremy Kirk, diretor de inteligência de ameaças da Okta, em um relatório compartilhado com o The Hacker News.
"Uma vez reproduzidos com sucesso, o agente malicioso fica efetivamente logado em um serviço de LLM (Modelo de Linguagem de Grande Porte, do inglês Large Language Model) sem realmente fazer login. O uso dessas chaves mestras torna o abuso mais difícil, mas não impossível de detectar."
Análise do vazamento
O provedor de serviços de identidade afirmou que analisou um despejo de 7 GB de infostealer divulgado em um canal do Telegram em 2 de agosto de 2026 e descobriu que o log continha dados pertencentes a 5.871 máquinas infectadas em 162 países.
Entre eles estavam milhares de tokens de autenticação não expirados correspondentes a serviços como Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com e Pika AI. Dos 44.791 JWTs (JSON Web Tokens, ou tokens web em formato JSON) únicos do conjunto de dados, 555 estavam provavelmente relacionados à autenticação de serviços de IA.
Semelhante a um token de sessão, um JWT válido pode ser abusado para obter acesso direto à conta, contornando a autenticação regular com nome de usuário e senha, bem como a autenticação multifator (MFA, do inglês Multi-Factor Authentication).
A Okta afirmou que também identificou 2.937 estruturas de dados de JWE (JSON Web Encryption, ou Criptografia Web em JSON) relacionadas à autenticação, representando JWTs criptografados. A maior parte desses tokens teria sido definida pela OpenAI, que utiliza o NextAuth.js. Embora essas chaves só possam ser descriptografadas e processadas pela parte que detém a chave, ainda é possível que um atacante reproduza esses tokens e obtenha acesso a uma conta, desde que não estejam expirados.
No total, os dados roubados supostamente continham 1.843 JWTs e JWEs não expirados no dia em que foram divulgados. Preocupantemente, 17,7% dos 44.791 JWTs foram encontrados com informações de identificação pessoal (PII, do inglês Personally Identifiable Information) em texto puro, como nome, número de telefone ou endereço de e-mail.
"Este é mais um aspecto problemático, já que essas informações não expiram nem desaparecem, e vinculam diretamente um usuário a um serviço específico, o que pode ser útil para tentativas de engenharia social ou phishing", disse Kirk.
Um aspecto importante a ser mencionado é que os ataques de reprodução de sessão podem não funcionar em cenários nos quais uma organização utiliza IP allowlisting (lista de IPs permitidos), um recurso de segurança que bloqueia todo o tráfego de rede, exceto para endereços ou faixas de IP específicos e aprovados. Além disso, o Google adicionou suporte ao DBSC (Device Bound Session Credentials, ou Credenciais de Sessão Vinculadas ao Dispositivo) ao Chrome para vincular criptograficamente um token de sessão a um dispositivo, de modo que um token roubado não possa ser utilizado em outro sistema.
O que é LLMjacking
Além de credenciais e tokens, uma análise do despejo do infostealer usando a ferramenta TruffleHog descobriu 24 chaves de API ainda válidas para quatro serviços relacionados à IA, como Google Gemini, OpenAI, Groq e OpenRouter. Um atacante que esteja de posse de uma chave desse tipo pode transformá-la em arma para espionagem, extorsão ou roubo de recursos, além de acumular contas de consumo de tokens de IA.
O abuso de chaves de API por agentes mal-intencionados para obter acesso não autorizado ao LLM de uma vítima e usar os serviços para atingir seus objetivos, ou vender o acesso a outros cibercriminosos, é chamado de LLMjacking. A técnica é semelhante a campanhas que utilizam secretamente os recursos de um sistema para minerar criptomoedas, enquanto repassam as pesadas contas de computação para a vítima.
O mercado clandestino de contas de IA
À medida que a adoção de IA cresce em ambientes corporativos, os dados coletados por infostealers diversificaram o portfólio de monetização dos cibercriminosos, com novos sites de mercado negro surgindo no cenário de ameaças para a compra de pacotes de tokens roubados e navegadores anti-detecção.
Em uma postagem no Telegram sinalizada pela Okta, um fornecedor não identificado foi flagrado vendendo acesso a Claude, Cursor, ChatGPT e Gemini com preço promocional, além de oferecer suporte 24 horas e garantia de reembolso. Outro serviço chamado Poison Claude afirma oferecer acesso aos modelos Opus 4.8, Opus 4.7, Opus 4.6 e Sonnet 4.6 da Anthropic.
"Acessar contas usando dados de sessão roubados exige ferramentas específicas", afirmou a Okta. "Os chamados navegadores 'anti-detect' possuem recursos projetados para usar dados de autenticação roubados e driblar controles de segurança."
"Outras ferramentas, como o navegador anti-detecção de código aberto Camoufox ou a ferramenta de automação SeleniumBase, conseguem carregar dados roubados do sessionStorage e localStorage de um navegador facilmente a partir de um arquivo. Muitas dessas ferramentas permitem que os usuários configurem proxies, possibilitando burlar detecções de 'viagem impossível' ou gatilhos comportamentais que, de outra forma, sinalizariam acessos não autorizados."
O cenário visto pelo Google
A revelação ocorre em um momento em que o Google divulgou que observou "mais personas interessadas em comprar contas relacionadas a IA e mais vendedores anunciando essas contas" no submundo do cibercrime, em meio ao uso crescente de IA por agentes de ameaças. Postagens nesses fóruns indicam demanda de compradores por credenciais de Claude e Gemini, em conjunto com IDEs (Ambientes Integrados de Desenvolvimento) de codificação autônoma como Cursor Pro e Devin.
Em pelo menos um trabalho de resposta a incidentes conduzido pela equipe Mandiant do Google, um agente malicioso conseguiu acesso inicial ao ambiente de nuvem de uma vítima por meio de um PAT (Personal Access Token, ou Token de Acesso Pessoal) do GitHub exposto, e o utilizou para implantar infraestrutura de IA não autorizada e escalar recursos de computação de alto desempenho.
"O custo do acesso a modelos premium e à computação de alto desempenho é uma das principais barreiras para os agentes maliciosos que buscam operacionalizar IA", afirmou o GTIG (Google Threat Intelligence Group, ou Grupo de Inteligência de Ameaças do Google). "Isso resultou em um aumento do direcionamento, exfiltração e venda de contas de IA em comunidades cibercriminosas, acompanhado por um número crescente de invasões que envolvem o comprometimento de ambientes corporativos em nuvem para sequestrar recursos de computação."
Recomendações de segurança
As conclusões destacam a necessidade premente de proteger o acesso a sistemas de IA, monitorar a reutilização de tokens de sessão, limitar o escopo das chaves de API e utilizar fluxos OAuth 2.0 (protocolo padrão de autorização) com tokens de curta duração que expirem rapidamente caso sejam roubados.
"À medida que o acesso a modelos de fronteira se torna mais caro, o incentivo para roubar em vez de pagar também cresce", disse Kirk. "Autenticações mais fortes e o uso de tecnologias resistentes a phishing, como passkeys, dificultaram as invasões baseadas em nome de usuário e senha, mas não impedem o roubo de um token de sessão ou chave de API."
