L’ombra dell’AI: I token rubati dagli infostealer bypassano l’MFA e alimentano il mercato nero dei modelli linguistici

L’esplosione dell’adozione dell’intelligenza artificiale nelle aziende ha creato un nuovo e vulnerabile fronte per i criminali informatici. Non si tratta più solo di rubare password, ma di intercettare le “chiavi di accesso” digitali che permettono di aggirare le autenticazioni più avanzate. Un’analisi condotta da Okta su un massiccio dump di dati rubati da infostealer ha rivelato come i token di sessione e le chiavi API per i principali servizi di AI siano diventati beni di lusso nel sottobosco del cybercrime. Questi artefatti, una volta rubati, funzionano come “skeleton keys” (chiavi master): permettono all’attaccante di accedere direttamente ai servizi di LLM (Large Language Models) di Google, Anthropic, OpenAI e altri, bypassando completamente la verifica in due fattori (MFA) e le credenziali standard.

### La meccanica del furto: Token JWT e il bypass dell’MFA

Il cuore del problema risiede nella natura dei token di autenticazione moderni. Jeremy Kirk, direttore della threat intelligence di Okta, ha spiegato che i token di sessione e le chiavi API sono particolarmente ricercati perché sono spesso “replayable” (riutilizzabili). Una volta che un infostealer come Lumma o Vidar ha compromesso un sistema, estrae questi dati dal browser o dal sistema operativo.

L’analisi di un dump di 7 GB rilasciato su Telegram ad agosto 2026 ha mostrato dati provenienti da 5.871 macchine infette in 162 paesi. Tra questi, sono stati identificati 44.791 JSON Web Tokens (JWT) unici, di cui 555 erano specificamente legati all’autenticazione di servizi AI. A questi si aggiungono 2.937 strutture JWE (JSON Web Encryption), spesso generate da OpenAI tramite NextAuth.js. Sebbene i JWE siano cifrati, se l’attaccante possiede il token valido e non scaduto, può “riprodurlo” per ottenere l’accesso all’account come se fosse l’utente legittimo. Al momento della pubblicazione del report, 1.843 di questi token risultavano ancora attivi e utilizzabili.

### Il mercato nero dell’AI: LLMjacking e servizi “Poison Claude”

La disponibilità di questi token ha dato vita a un fenomeno definito “LLMjacking”. Simile al mining di criptovalute non autorizzato, gli attori malevoli utilizzano le risorse computazionali e l’accesso ai modelli premium delle vittime per scopi di spionaggio, estorsione o per rivendere l’accesso ad altri criminali.

Il mercato nero si è specializzato: su forum sotterranei sono emersi vendor che vendono pacchetti di accesso a Claude, Cursor, ChatGPT e Gemini a prezzi scontati, offrendo persino garanzie di rimborso e supporto 24/7. Un servizio specifico, denominato “Poison Claude”, pubblicizza l’accesso a modelli avanzati come Opus 4.8 e Sonnet 4.6. Per sfruttare questi accessi, gli attaccanti utilizzano browser “anti-detect” (come Camoufox) e strumenti di automazione come SeleniumBase, che caricano i dati rubati da sessionStorage e localStorage, configurando proxy per eludere i controlli di sicurezza comportamentali e le rilevazioni di “impossible travel” (viaggi impossibili).

### Il rischio PII e le lacune nelle difese attuali

Un aspetto allarmante emerso dall’analisi è che il 17,7% dei JWT rubati conteneva informazioni personali identificabili (PII) in chiaro, come nomi, numeri di telefono e indirizzi email. Questo dato non scade mai e collega direttamente l’utente al servizio, fornendo agli attaccanti materiale prezioso per campagne di phishing mirato e social engineering.

Le difese attuali mostrano limiti significativi. Sebbene l’implementazione di IP allowlisting e delle Device Bound Session Credentials (DBSC) in Chrome (che lega criptograficamente il token al dispositivo) possa mitigare il rischio, non è una soluzione universale. Inoltre, l’analisi ha rivelato 24 chiavi API ancora valide per servizi come Google Gemini, OpenAI, Groq e OpenRouter. Il costo elevato dell’accesso ai modelli frontier e delle risorse di calcolo ad alte prestazioni è il principale ostacolo per gli attori malevoli; rubare questi accessi elimina questa barriera economica.

### Strategie di mitigazione e il futuro dell’autenticazione

Il caso evidenzia l’urgenza di rivedere le strategie di sicurezza per l’AI. Okta e Google Threat Intelligence Group (GTIG) sottolineano che l’MFA tradizionale non protegge da un token di sessione già validato. Le raccomandazioni chiave includono:

1. **Monitoraggio attivo del replay:** Implementare sistemi che rilevino l’uso anomalo o simultaneo di token di sessione.
2. **Scoping rigoroso delle API:** Limitare i permessi delle chiavi API e monitorarne l’utilizzo per prevenire l’estrazione di risorse.
3. **Token a vita breve:** Utilizzare flussi OAuth 2.0 con token che scadono rapidamente, riducendo la finestra di opportunità per gli attaccanti.
4. **Adozione di Passkey:** Sebbene le passkey rendano più difficile il furto delle credenziali username/password, non bloccano il replay di token esistenti, rendendo necessaria una difesa in profondità.

Come ha concluso Kirk, “Mentre l’accesso ai modelli frontier diventa più costoso, l’incentivo a rubare piuttosto che pagare cresce. L’autenticazione più forte ha reso più difficile il takeover tramite password, ma non ferma un token di sessione o una chiave API rubata”. La sicurezza dell’AI non è più solo una questione di protezione dei dati, ma di protezione dell’infrastruttura di calcolo e dell’identità digitale degli utenti.