Gestohlene KI-Token in Infostealer-Logs umgehen MFA
Eine neue Analyse von Infostealer-Logs zeigt, dass gestohlene Session-Token und API-Schlüssel wiederverwendet werden, um Konten für künstliche Intelligenz ohne Passwort oder Multi-Faktor-Authentifizierung zu übernehmen. Okta, ein Anbieter von Identitätsdiensten, untersuchte einen 7 GB großen Information-Stealer-Dump, der am 2. August 2026 in einem Telegram-Kanal auftauchte. Der Dump enthielt Daten von 5.871 infizierten Rechnern in 162 Ländern. Unter den gestohlenen Datensätzen befanden sich Tausende nicht abgelaufene Authentifizierungs-Token für Dienste wie Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com und Pika AI. Information Stealer wie Lumma Stealer und Vidar sind bösartige Programme, die still und leise Anmeldedaten, Session-Token und API-Schlüssel von einem kompromittierten Computer sammeln; diese gestohlenen Datensätze werden dann in Untergrundforen als Stealer-Logs verkauft.
In diesem Datensatz fand Okta 44.791 eindeutige JSON Web Tokens, kurz JWTs. Ein JWT ist ein kompakter digitaler Ausweis, der einem Server beweist, wer man ist. Davon standen 555 wahrscheinlich im Zusammenhang mit der Authentifizierung für KI-Dienste. Das Unternehmen identifizierte außerdem 2.937 JSON Web Encryption-Strukturen, sogenannte JWEs, bei denen es sich um verschlüsselte Versionen solcher Token handelt. Die meisten dieser verschlüsselten Token sollen von OpenAI gesetzt worden sein, das ein Tool namens NextAuth.js verwendet. Selbst wenn ein Token verschlüsselt ist und ohne den richtigen Schlüssel nicht gelesen werden kann, können Angreifer es dennoch wiederverwenden, um in ein Konto einzudringen, solange es nicht abgelaufen ist. Insgesamt enthielten die gestohlenen Daten am Tag ihrer Veröffentlichung 1.843 nicht abgelaufene JWTs und JWEs. Okta stellte außerdem fest, dass 17,7 Prozent der 44.791 JWTs personenbezogene Daten im Klartext enthielten, wie Name, Telefonnummer oder E-Mail-Adresse. Kirk merkte an, dass diese Informationen nicht ablaufen und einen Nutzer direkt mit einem bestimmten Dienst verknüpfen, was bei Social Engineering oder Phishing helfen kann.
Der Bericht von Okta, der mit The Hacker News geteilt wurde, erklärt, dass Session-Token und API-Schlüssel für Angreifer besonders wertvoll sind, weil ihre Wiederverwendung die auf Anmeldedaten basierende Authentifizierung und die Multi-Faktor-Authentifizierung umgeht. Jeremy Kirk, Director of Threat Intelligence bei Okta, sagte, sobald ein Token erfolgreich wiederverwendet werde, sei der Angreifer praktisch in einen LLM-Dienst eingeloggt, ohne sich tatsächlich einzuloggen, und dieser Missbrauch sei schwerer, aber nicht unmöglich zu erkennen. Er fügte hinzu, dass stärkere Authentifizierung und phishing-resistente Technologien wie Passkeys die Übernahme von Benutzername und Passwort erschwert hätten, aber einen gestohlenen Session-Token oder API-Schlüssel nicht aufhielten. Allerdings können Session-Replay-Angriffe fehlschlagen, wenn eine Organisation IP-Allowlisting verwendet, das den Datenverkehr außer von genehmigten Adressen blockiert. Google hat außerdem Device Bound Session Credentials, kurz DBSC, zu Chrome hinzugefügt, um einen Session-Token kryptografisch an ein Gerät zu binden, sodass ein gestohlener Token nicht auf einem anderen System verwendet werden kann.
Mit dem Open-Source-Tool TruffleHog zur Suche nach Geheimnissen fand Okta außerdem 24 noch gültige API-Schlüssel für vier KI-bezogene Dienste: Google Gemini, OpenAI, Groq und OpenRouter. Ein Angreifer, der einen solchen Schlüssel besitzt, kann ihn für Spionage, Erpressung oder Ressourcendiebstahl nutzen und auf dem Konto des Opfers hohe KI-Token-Rechnungen verursachen. Dieser Missbrauch gestohlener API-Schlüssel, um das große Sprachmodell eines Opfers ohne Erlaubnis zu nutzen oder diesen Zugang an andere Kriminelle zu verkaufen, ist als LLMjacking bekannt. Die Technik ähnelt Kampagnen, die heimlich die Rechenleistung eines Systems zum Mining von Kryptowährung nutzen, während das Opfer die Rechnung bezahlt. Okta sagt, die zunehmende KI-Einführung in Unternehmen habe die Möglichkeiten für Kriminelle erweitert, gestohlene Daten zu Geld zu machen, und neue Schwarzmarktseiten verkaufen jetzt gestohlene Token-Bundles und Anti-Detect-Browser.
Untergrundverkäufer verpacken bereits den Zugang zu beliebten KI-Tools. In einem von Okta markierten Telegram-Beitrag bot ein nicht näher genannter Anbieter Zugang zu Claude, Cursor, ChatGPT und Gemini mit Rabatt an, inklusive 24x7-Support und Geld-zurück-Garantie. Ein weiterer Dienst namens Poison Claude behauptet, Zugang zu Anthropics Modellen Opus 4.8, Opus 4.7, Opus 4.6 und Sonnet 4.6 zu bieten. Okta erklärt, dass die Nutzung gestohlener Sitzungsdaten spezielle Tools erfordert. Anti-Detect-Browser haben Funktionen, die darauf ausgelegt sind, gestohlene Authentifizierungsdaten zu laden und Sicherheitskontrollen zu umgehen. Open-Source-Tools wie der Anti-Detect-Browser Camoufox und das Automatisierungstool SeleniumBase können sessionStorage- und localStorage-Daten aus einer Datei laden, und viele erlauben Proxys, die den Datenverkehr eines Angreifers lokal erscheinen lassen und unmögliche Reisen oder Verhaltenswarnungen umgehen. Google gab bekannt, dass es in Cybercrime-Foren mehr Käufer und Verkäufer von KI-bezogenen Konten beobachtet hat, mit Nachfrage nach Claude- und Gemini-Zugangsdaten sowie nach autonomen Coding-Tools wie Cursor Pro und Devin. In einem von Googles Mandiant-Team bearbeiteten Incident Response-Fall erlangte ein Threat Actor ersten Zugang über einen exponierten persönlichen GitHub-Zugriffstoken und nutzte ihn, um unbefugte KI-Infrastruktur bereitzustellen und Hochleistungs-Compute-Ressourcen zu skalieren. Die Google Threat Intelligence Group sagte, die Kosten für den Zugang zu Premium-Modellen und Compute seien eine große Hürde für Kriminelle, was zu mehr Zielgerichtetheiten, Exfiltration und Verkauf von KI-Konten und mehr Eindringlingen geführt habe, die Cloud-Compute kapern.
Die Ergebnisse weisen auf einen dringenden Bedarf hin, den Zugang zu KI-Systemen zu sichern, die Wiederverwendung von Session-Token zu überwachen, API-Schlüssel mit minimalen Rechten auszustatten und OAuth 2.0-Flows mit kurzlebigen Token zu verwenden, die schnell ablaufen, wenn sie gestohlen werden. Kirk sagte, je teurer der Zugang zu Frontier-Modellen werde, desto größer werde der Anreiz, ihn zu stehlen statt zu bezahlen. Für Organisationen, die Websites, Cloud-Dienste oder KI-Tools betreiben, bietet AEU-I Security-first-IT, Infrastruktur und Beratung, die helfen kann, Token-Berechtigungen, API-Zugriff und Sitzungsrichtlinien in ihrer Infrastruktur zu überprüfen.