流出インフォスティーラーログからAIサービスの認証トークンが大量発見、MFA回避やAPI不正利用の実態が判明

要点

• Oktaの調査により、流出したインフォスティーラーのログからGoogleやOpenAI、Anthropicなど主要AIサービスの認証トークンが多数特定された。

• 盗まれたセッション情報やJWTが悪用されると、IDやパスワードだけでなく多要素認証（MFA）も迂回してアカウントへ不正侵入される恐れがある。

• 流出データには公開時点で有効なトークンが1,800個以上含まれ、平文の個人情報や有効なAI APIキーも複数確認された。

• 奪われたアクセス権は闇市場で安価に転売されており、他人の費用負担でAIを利用する「LLMjacking」などの被害拡大が懸念されている。

• 米国のアイデンティティ管理サービス大手Oktaの脅威インテリジェンス部門は、サイバー犯罪者が利用する情報窃取マルウェア（インフォスティーラー）の流出ログから、主要なAIサービスへの不正アクセスを可能にする認証トークンやAPIキーが大量に発見されたとする調査結果を公表した。盗まれたセッション情報を再利用（リプレイ）することで、パスワード認証だけでなく多要素認証（MFA）すらも迂回して正規ユーザーとしてログインできてしまう実態が明らかになっている。企業のAIツール導入が急速に進む中、こうした認証情報がアンダーグラウンド市場で新たな標的として取引されているという。

7GBの流出データから見つかった数千件の認証情報

Oktaによると、今回の調査は2026年8月2日にメッセージングアプリ「Telegram」上のチャンネルへ投稿された、約7GBにおよぶインフォスティーラーのデータダンプを分析したものだ。このデータには、世界162か国にまたがる5,871台の感染マシンから盗み出された情報が含まれていた。

感染端末からは、「Lumma Stealer」や「Vidar」といった市販の情報窃取マルウェアを通じて、アカウントの認証情報やブラウザのセッション情報、各種APIキーが網羅的に収集されていた。分析の結果、データ内には4万4,791個の一意なJSON Web Token（JWT：Web上で認証情報を安全にやり取りするためのデータ形式）が存在し、そのうち555個がAI関連サービスの認証に用いられるトークンであると特定された。

対象となったサービスには、Google、Microsoft、Anthropic、Amazonといった大手プラットフォームのほか、Cursor、Notion、Gamma、Character.ai、Poe.com、Pika AIなどの各種AIツールが含まれていた。

多要素認証を突破するセッションリプレイ攻撃の手口

Webサービスの認証において、有効なJWTやセッション情報を攻撃者が入手した場合、IDやパスワードを入力することなく、さらには多要素認証（MFA）による保護もすり抜けてアカウントへの直接アクセスが可能となる。

Oktaの脅威インテリジェンス担当ディレクターであるJeremy Kirk氏は、攻撃者がこれらのトークンを「合鍵」のように再利用（リプレイ）することで、正規のログイン手続きを踏むことなくLLM（大規模言語モデル）サービスへ潜入できると指摘している。また、認証フレームワーク「NextAuth.js」を採用しているOpenAIなどによって設定された、暗号化トークンであるJSON Web Encryption（JWE）のデータ構造も2,937件確認された。JWEは暗号鍵を持つ事業者側でしか復号できないものの、有効期限内であればそのまま送信してセッションを確立することが可能だという。

データダンプが公開された当日時点で、失効していない有効な状態のJWTおよびJWEは計1,843個確認された。

個人情報の平文露出と「LLMjacking」による経済的被害

今回の調査では、盗まれたJWTのうち17.7%に、氏名や電話番号、メールアドレスなどの個人を特定できる情報（PII）が暗号化されず平文のまま含まれていたことも判明した。Kirk氏によれば、こうした個人情報は有効期限によって消えることがないため、ユーザーと利用サービスを結びつける情報として、後続の標的型攻撃やソーシャルエンジニアリング、フィッシング詐欺に悪用される危険性があるという。

さらに、シークレット検出ツール「TruffleHog」を用いた検証により、Google Gemini、OpenAI、Groq、OpenRouterという4つのAIサービスに対応する、現在も有効な24個のAPIキーが発見された。

攻撃者がこうしたAPIキーを入手した場合、機密情報の収集や脅迫だけでなく、被害者の計算リソースを不正利用して高額な利用料金を押し付ける「LLMjacking」が行われるリスクがある。これは他人のインフラを無断で使って暗号資産を発掘するクリプトジャッキングと同様の手法であり、攻撃者がLLMの利用枠を消費または転売する一方で、被害者には莫大なトークン請求が発生することになる。

闇市場で広がるトークン転売とセキュリティ対策

AIの普及に伴い、アンダーグラウンドのサイバー犯罪市場では、盗み出したAIアカウントやトークンのセットが新たな収益源としてパッケージ化されている。Oktaが確認した事例では、Telegram上でChatGPT、Claude、Cursor、Geminiへのアクセス権が、24時間年中無休のサポートや返金保証付きで割引販売されていた。また「Poison Claude」と呼ばれるサービスでは、Anthropicの「Opus 4.8」「Opus 4.7」「Opus 4.6」「Sonnet 4.6」といったモデルへのアクセス提供を謳う投稿も見られたという。

攻撃者はセキュリティ検知をすり抜けるため、「Camoufox」などのオープンソースツールを含む「アンチディテクトブラウザ」を活用し、盗んだ認証情報を用いて正規端末になりすまして接続を試みている。

こうしたセッションリプレイ攻撃に対しては、特定のIPアドレス以外からの通信を遮断する「IP許可リスト（IP allowlisting）」を導入している環境では侵入を防げる場合がある。また、Google Chromeが導入を進めている「DBSC（Device Bound Session Credentials：端末結びつき型セッション認証）」のように、暗号技術を用いてセッショントークンを物理端末に紐付けることで、盗まれたトークンを別の端末から再利用できないようにする仕組みも対抗手段として挙げられている。