Token AI rubati nei log degli infostealer aggirano l'MFA
Un dump di infostealer da 7 GB conteneva migliaia di token di accesso non scaduti per Google, Anthropic e altri servizi AI, permettendo agli attaccanti di riutilizzare gli account senza password né MFA.
Una nuova analisi dei log degli infostealer mostra che token di sessione e chiavi API rubati vengono riutilizzati per prendere il controllo di account di intelligenza artificiale senza password né autenticazione a più fattori. Okta, un fornitore di servizi di identità, ha esaminato un dump di infostealer da 7 GB apparso su un canale Telegram il 2 agosto 2026. Il dump conteneva dati provenienti da 5.871 macchine infette in 162 paesi. Tra i record rubati c'erano migliaia di token di autenticazione non scaduti per servizi tra cui Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com e Pika AI. Gli infostealer come Lumma Stealer e Vidar sono programmi malevoli che raccolgono silenziosamente credenziali, token di sessione e chiavi API da un computer compromesso, e questi record rubati vengono poi venduti su forum clandestini come log di stealer.
All'interno di quel dataset, Okta ha trovato 44.791 JSON web token unici, o JWT. Un JWT è un pass digitale compatto che dimostra chi sei a un server. Di questi, 555 erano probabilmente legati all'autenticazione per servizi AI. L'azienda ha anche identificato 2.937 strutture JSON Web Encryption, note come JWE, che sono versioni cifrate di tali token. La maggior parte di questi token cifrati sarebbe stata impostata da OpenAI, che utilizza uno strumento chiamato NextAuth.js. Anche quando un token è cifrato e non può essere letto senza la chiave giusta, gli attaccanti possono comunque riutilizzarlo per entrare in un account purché non sia scaduto. In totale, i dati rubati contenevano 1.843 JWT e JWE non scaduti il giorno della loro pubblicazione. Okta ha anche scoperto che il 17,7 percento dei 44.791 JWT includeva informazioni personali identificabili in chiaro come nome, numero di telefono o indirizzo email. Kirk ha osservato che queste informazioni non scadono e collegano direttamente un utente a un servizio specifico, il che può aiutare nell'ingegneria sociale o nel phishing.
Il rapporto di Okta, condiviso con The Hacker News, spiega che i token di sessione e le chiavi API sono particolarmente preziosi per gli attaccanti perché il loro riutilizzo aggira l'autenticazione basata su credenziali e l'autenticazione a più fattori. Jeremy Kirk, direttore della threat intelligence di Okta, ha affermato che una volta che un token viene riutilizzato con successo, l'attaccante è di fatto connesso a un servizio LLM senza effettuare realmente il login, e questo abuso è più difficile ma non impossibile da rilevare. Ha aggiunto che un'autenticazione più forte e tecnologie resistenti al phishing come le passkey hanno reso più difficili le compromissioni tramite nome utente e password, ma non fermano un token di sessione o una chiave API rubati. Tuttavia, gli attacchi di riutilizzo della sessione possono fallire quando un'organizzazione utilizza l'allowlisting IP, che blocca il traffico tranne quello proveniente da indirizzi approvati. Google ha anche aggiunto Device Bound Session Credentials, o DBSC, a Chrome per legare crittograficamente un token di sessione a un dispositivo, in modo che un token rubato non possa essere usato su un altro sistema.
Usando lo strumento open source di scansione dei segreti TruffleHog, Okta ha anche scoperto 24 chiavi API ancora valide per quattro servizi legati all'AI: Google Gemini, OpenAI, Groq e OpenRouter. Un attaccante in possesso di una tale chiave può usarla per spionaggio, estorsione o furto di risorse, e può accumulare ingenti bollette di token AI sull'account della vittima. Questo abuso di chiavi API rubate per usare il modello linguistico di grandi dimensioni di una vittima senza permesso, o per vendere quell'accesso ad altri criminali, è noto come LLMjacking. La tecnica assomiglia alle campagne che usano segretamente la potenza di calcolo di un sistema per minare criptovalute mentre la vittima paga il conto. Okta afferma che l'impennata nell'adozione aziendale dell'AI ha ampliato i modi in cui i criminali possono monetizzare i dati rubati, e nuovi siti del mercato nero ora vendono pacchetti di token rubati e browser anti-detect.
I venditori clandestini stanno già confezionando l'accesso ai più diffusi strumenti AI. In un post su Telegram segnalato da Okta, un venditore non specificato offriva accesso a Claude, Cursor, ChatGPT e Gemini a prezzo scontato, con supporto 24x7 e garanzie di rimborso. Un altro servizio chiamato Poison Claude afferma di fornire accesso ai modelli Opus 4.8, Opus 4.7, Opus 4.6 e Sonnet 4.6 di Anthropic. Okta spiega che usare dati di sessione rubati richiede strumenti speciali. I browser anti-detect hanno funzionalità progettate per caricare dati di autenticazione rubati ed evitare i controlli di sicurezza. Strumenti open source come il browser anti-detect Camoufox e lo strumento di automazione SeleniumBase possono caricare dati sessionStorage e localStorage da un file, e molti consentono proxy che fanno sembrare locale il traffico di un attaccante e aggirano avvisi di viaggio impossibile o comportamentali. Google ha rivelato di aver osservato più acquirenti e venditori di account legati all'AI sui forum di cybercrime, con domanda di credenziali Claude e Gemini nonché di strumenti di coding autonomi come Cursor Pro e Devin. In un incidente gestito dal team Mandiant di Google, un attore malevolo ha ottenuto l'accesso iniziale tramite un token di accesso personale GitHub esposto e lo ha usato per distribuire infrastrutture AI non autorizzate e scalare risorse di calcolo ad alte prestazioni. Google Threat Intelligence Group ha affermato che il costo dell'accesso ai modelli premium e del calcolo è una barriera importante per i criminali, il che ha portato a più targeting, esfiltrazione e vendita di account AI e a più intrusioni che dirottano il calcolo cloud.
I risultati indicano una necessità urgente di proteggere l'accesso ai sistemi AI, monitorare il riutilizzo dei token di sessione, limitare l'ambito delle chiavi API e usare flussi OAuth 2.0 con token di breve durata che scadono rapidamente se rubati. Kirk ha affermato che man mano che l'accesso ai modelli di frontiera diventa più costoso, cresce l'incentivo a rubarlo invece di pagarlo. Per le organizzazioni che gestiscono siti web, servizi cloud o strumenti AI, AEU-I offre IT, infrastruttura e consulenza all'insegna della sicurezza che possono aiutare a rivedere gli ambiti dei token, l'accesso API e le politiche di sessione in tutta la loro infrastruttura.
Come Proteggerti
- Fai logout dagli account AI e web su qualsiasi computer che non è tuo, e usa la pagina di sicurezza dell'account per revocare le sessioni che non riconosci più.
- Attiva l'autenticazione a due fattori ovunque puoi, ma ricorda che un token di accesso rubato può comunque aggirarla.
- Non scaricare software craccato, giochi piratati o estensioni del browser da luoghi sconosciuti, perché spesso nascondono ladri di informazioni.
- Usa un gestore di password e una password diversa per ogni account, così una password rubata non può aprire i tuoi altri account.
- Se gestisci un sito web o un servizio che si connette a un altro strumento usando un codice segreto chiamato chiave API, dai a quella chiave il permesso più piccolo di cui ha bisogno e imposta un limite di spesa se il servizio lo offre.
I Termini Spiegati
- infostealer Un tipo di malware che raccoglie silenziosamente password salvate, token di accesso e altri dati privati da un computer infetto.
- session token Un pass digitale temporaneo che ti mantiene connesso a un sito web o servizio senza bisogno della tua password ogni volta.
- API key Un codice segreto che permette a un software di connettersi a un altro servizio, come un modello AI.
- JWT Un pass digitale compatto che dimostra chi sei a un server, spesso usato per mantenerti connesso.
- MFA Autenticazione a più fattori, un controllo extra oltre alla password, come un codice dal tuo telefono.
- LLMjacking Quando i criminali usano l'accesso rubato all'account AI o alla chiave API di un'altra persona per eseguire modelli AI a spese della vittima.