LLMjacking: la factura llega antes que la alarma

Gastar a cuenta de otro

Google Threat Intelligence Group (GTIG), el equipo de inteligencia de amenazas de Google, publicó el lunes 2 de noviembre en el blog de Google Cloud un informe firmado con Mandiant, una empresa estadounidense de ciberseguridad especializada en respuesta a incidentes e inteligencia de amenazas. Google completó su compra el 12 de septiembre de 2022 y la integró en Google Cloud manteniendo la marca.

Según GTIG, Mandiant atendió en 2026 varios incidentes de este tipo, con distintos proveedores de nube y de modelos, en organizaciones de Norteamérica, Sudamérica y Asia-Pacífico de los sectores financiero, comercio minorista, tecnología y transporte.

Según GTIG y Mandiant, en algunos incidentes los cargos fraudulentos superaron los 100.000 dólares en un solo día, y en algunas organizaciones el total llegó a un millón de dólares antes de que se revocara el acceso. No hay víctimas con nombre ni confirmación independiente de estas cifras.

Una cuenta que se dispara en horas

Según GTIG, frente al consumo gradual del criptosecuestro, el LLMjacking puede disparar los cargos en cuestión de horas. Una razón, según Mandiant: en varios incidentes la víctima ni tenía activados los servicios de modelos. Con las claves robadas, el atacante los activó —el informe cita Bedrock, de la nube de Amazon, y la API de Gemini, de Google— y generó facturas enormes en minutos u horas.

Según GTIG, otro atacante suscribió las cuentas de la víctima al pago por uso con modelos de gama alta y, para sortear los límites, creaba y borraba sin parar cuentas de servicio de vida corta («burn and rotate») mientras revisaba el panel de facturación del proveedor de la nube para vigilar el gasto.

Las llaves, robadas o a la vista

Según GTIG, la vía de entrada dominante son las credenciales de la nube expuestas o robadas: credenciales de gestión de identidades y accesos (IAM, identity and access management), claves de cuentas de servicio, tokens de acceso personal de GitHub y tokens de sesión activos.

Hay otras dos, según GTIG. Una, servidores de Ollama —un programa de código abierto para ejecutar modelos en un equipo propio— abiertos a internet, donde un atacante llamaba a /api/create para registrar sus propios modelos. Otra, claves de API publicadas en repositorios públicos de GitHub, que un grupo comprobaba con peticiones de un solo token (max_tokens=1) para no disparar las alertas de volumen.

Ya dentro, según GTIG, inyectaban claves SSH y creaban cuentas, en un caso disfrazadas de «utilidades internas de optimización de facturación».

UNC6993 y el portal falso

UNC6993 es el identificador con el que el informe designa a uno de los grupos atacantes. Según GTIG, a mediados de 2026 entró en la nube de una víctima por una clave de cuenta de servicio mal configurada y se dio acceso a una API de modelos. Montó además una página falsa de alta en un grupo de usuarios de un servicio de modelos que hacía pegar a la víctima el JSON con su token de acceso activo; con él se saltaba la contraseña y la MFA.

Según GTIG, el grupo intentó crear más claves y activar servicios, y acumuló «rápidamente» más de 100.000 dólares en cargos. Usaba herramientas de código abierto como new-api y gcli2api, probablemente para juntar claves robadas, y GTIG «cree» que vende ese acceso en tiendas clandestinas.

Jet Night: barra libre a precio de saldo

Jet Night (jet-night.com) es un servicio de reventa de tokens. Según GTIG, un atacante hizo más de 500.000 llamadas en menos de ocho horas con claves robadas de API de proveedores externos para alimentarlo, y Jet Night cargó a la víctima casi un millón de dólares.

Según GTIG, su plan «ilimitado», con supuesto acceso a modelos frontier, cuesta mucho menos que un servicio equivalente, y por eso cree que solo es rentable con claves robadas. Ha anunciado en Telegram varias caídas que GTIG atribuye, «probablemente», a que las víctimas revocan las claves.

Otro actor, según GTIG, abrió puntos de acceso públicos a varios modelos frontier rebautizados bajo el alias D1337-KAIROS, instaló en la nube de la víctima una puerta trasera con Manus, un entorno de agentes, activó máquinas con GPU potentes y pidió más cuota. GTIG no da cifra de gasto.

La pasarela, otra puerta abierta

LiteLLM, del proyecto de código abierto BerriAI/litellm, es una pasarela de IA que permite llamar a más de cien API de modelos con control de gasto. Según GTIG, un segundo grupo obtuvo de quien había entrado claves virtuales ya comprobadas de la LiteLLM de la víctima y explotó un fallo en /key/regenerate, registrado como CVE-2026-40217 en el catálogo CVE (Common Vulnerabilities and Exposures), para convertirlas en credenciales de administrador maestro (PROXY_ADMIN). El informe no detalla su gravedad, las versiones afectadas ni la versión que lo corrige.

Según GTIG, es una división del trabajo: unos consiguen el acceso y otros lo revenden con los «LLM Mixers», pasarelas ilícitas que juntan claves robadas, miden el uso y ocultan el origen de las peticiones. Publica dos dominios como indicadores: jet-night.com y newapi.pro.

Cuatro formas de cobrarle la IA a otro

El informe no da el nombre de ninguna víctima y, entre estos cuatro casos, solo detalla la factura de dos.

Lo que recomiendan vigilar

GTIG y Mandiant piden tratar cualquier activación no autorizada de un servicio de modelos como un «evento de seguridad crítico»; en Google Cloud, por ejemplo, alertar ante el método EnableService sobre la plataforma de agentes de Gemini. Según GTIG y Mandiant, allí los registros de acceso a datos (Data Access logs), que muestran el uso de los modelos, vienen desactivados por defecto por su volumen y coste, y hay que activarlos a mano.

Proponen además límites de gasto y cuotas por modelo, claves acotadas para que una de un modelo barato no sirva para los caros, escanear el código en busca de secretos, vigilar las peticiones de un solo token, parchear pasarelas como LiteLLM y exigir MFA resistente al phishing.