«LLM-jacking»: las cuentas de IA secuestradas alimentan un nuevo auge del cibercrimen

El 26 de septiembre de 2026, el Financial Times publicó una investigación según la cual los investigadores de seguridad han advertido de un auge del «LLM-jacking», una clase de ataque en la que los delincuentes roban credenciales de la nube y de IA para ejecutar o revender, a costa ajena, el acceso a costosos modelos de lenguaje de gran tamaño. El artículo, de Tom Wilson, describe el acceso ilícito a modelos de IA y potencia de cálculo como una mercancía que se está convirtiendo rápidamente en «la más codiciada del hampa cibercriminal».

Lectura relacionada: La policía neerlandesa detiene al presunto líder de ShinyHunters mientras crece el impacto de la brecha del FBI · Leakers$ secuestró pantallas LED públicas en Egipto, Malasia y Brasil.

John Hultquist, analista jefe de Google Threat Intelligence Group, dijo al FT que su unidad había visto un aumento importante del LLM-jacking este año, incluida la venta de credenciales de acceso robadas para herramientas públicas de IA y el robo de recursos de cálculo por parte de grupos que quieren ejecutar sus propios modelos gratis.

«Lo que vemos en el submundo es una economía creciente asociada al acceso a la IA», dijo al FT Hultquist, un veterano de la ciberseguridad con 20 años de trayectoria. El acceso barato a modelos costosos, señaló, da a los atacantes una ventaja financiera sobre las empresas que deben usar las mismas herramientas para defenderse. «En última instancia, todo este comportamiento les da una especie de ventaja económica o de eficiencia frente a nosotros, porque van a poder hacerse con estos tokens a un precio mucho más barato», dijo.

Qué es el LLM-jacking

La mecánica es simple, y eso es lo que hace atractivo el ataque. Los agentes y aplicaciones de IA empresariales se autentican ante un modelo con una clave de API o un token de sesión, una cadena que a menudo conlleva todo el poder de gasto de la cuenta de una empresa. Si un atacante obtiene esa cadena, puede llamar a los mismos modelos que paga la empresa y dejar la factura a la víctima.

El ataque recibió su nombre en mayo de 2024 del equipo de investigación de amenazas de Sysdig, que dijo haber acuñado el término «LLMjacking» tras observar credenciales de la nube robadas usadas para atacar diez servicios de modelos alojados en la nube. Las credenciales de ese caso provenían de un sistema que ejecutaba una versión vulnerable de Laravel catalogada como CVE-2021-3129. Sysdig encontró indicios de un proxy inverso de LLM, un software que permite a un operador revender el acceso a un conjunto de cuentas comprometidas ocultando las claves subyacentes.

Sysdig estimó que una sola cuenta abusada de Anthropic Claude 2.x podía generar más de 46.000 dólares en costes de inferencia al día. Una nota de investigación posterior de la Cloud Security Alliance situó los ataques dirigidos a Claude 3 Opus por encima de 100.000 dólares al día.

Por qué vale la pena robar cuentas de IA

Las suscripciones más avanzadas de ChatGPT y Claude pueden costar hasta 200 dólares por usuario al mes, y el FT, citando a los investigadores de amenazas de Google, informó de que los mercados de la dark web venden acceso a modelos de Anthropic, Google y OpenAI con descuentos de hasta el 97 %. A medida que más empresas alojan o compran capacidad de IA costosa, la cuenta en sí se convierte en el botín.

El grupo de inteligencia de amenazas de Google dijo en un informe del 8 de septiembre de 2026 que la demanda subterránea de cuentas de IA creció a lo largo del año, concentrada en credenciales de Claude y Gemini, y que los precios medios de mercado por cuenta más que se duplicaron en 2026. La demanda también alcanzó a herramientas de programación autónoma como Cursor Pro y Devin.

El negocio no es nuevo. La unidad de respuesta a amenazas de eSentire informó en julio de 2024 de que los delincuentes vendían unas 400 cuentas individuales de IA generativa al día, y las credenciales de OpenAI eran las más comunes, con unas 200 publicadas a diario. Los registros de infostealers se vendían a unos 10 dólares cada uno, y las claves de API robadas de GPT-4 o Claude se anunciaban a unos 15 dólares, según la firma.

La competencia entre vendedores ha cambiado la oferta. Como los laboratorios de IA vigilan el abuso y desactivan las cuentas comprometidas, algunos vendedores ahora ofrecen «acceso garantizado», según Hultquist, comprometiéndose a facilitar credenciales de reemplazo sin coste adicional si se bloquea la primera cuenta.

Una plantilla para el delito barato asistido por IA

El LLM-jacking consiste en robar acceso a modelos, pero una campaña paralela muestra hasta qué punto ha caído el coste de la intrusión impulsada por IA. Gambit Security informó el 22 de septiembre de 2026 de que un operador con motivación económica, descrito por los investigadores como de habla china, usó tres arneses de IA de código abierto para atacar a cientos de minoristas en línea. Las herramientas eran Strix para el escaneo de vulnerabilidades, Cairn para la explotación autónoma y Hermes para la orquestación.

La campaña comenzó en julio de 2026 y seguía activa a finales de septiembre. BleepingComputer informó de que el operador robó más de 600.000 registros válidos de tarjetas de crédito de dos empresas, incluidos 488.372 pertenecientes a titulares estadounidenses, y colocó skimmers de pago en al menos 119 sitios. Gambit estimó que toda la operación costó entre 12.000 y 18.000 dólares, una media de 25,46 dólares en 101 escaneos completados. Cuando se lograba el acceso, solía tardar menos de un día.

Cómo se filtran las credenciales

El informe de inteligencia de amenazas de Anthropic de septiembre de 2026 describe una cadena de suministro criminal madura construida en torno al acceso a la IA. Afirma que el acceso en forma de claves de API, tokens de sesión y dispositivos comprometidos «se ha convertido cada vez más en el único objetivo de múltiples grupos criminales», que después venden ese acceso a través de intermediarios que alimentan redes fraudulentas de revendedores de IA.

El informe sostiene que los operadores que obtienen credenciales de IA ganan tres cosas a la vez. Las etiqueta como «botín», que significa valor de reventa en mercados consolidados; «cómputo», es decir, cargas de trabajo de ataque que se ejecutan a costa ajena; y «cobertura», porque la actividad se atribuye al propietario legítimo de la credencial. Anthropic describe a afiliados de ShinyHunters que, tras robar las claves de IA de una víctima, trasladaron sus propias cargas de trabajo de ataque a las claves de la víctima, y una campaña hacktivista que funcionó durante un mes enteramente con claves de API robadas.

El equipo de inteligencia de amenazas de Google atribuyó buena parte del suministro a malware infostealer, y mencionó a Lumma, Stealc, Vidar y ACRStealer. En mayo de 2026, dijo, los controladores de ACRStealer lanzaron reglas de captura de archivos contra los almacenes de configuración de asistentes de programación con IA, apuntando al archivo secrets.json de Cline y al archivo config.yaml de Continue. Esos archivos pueden contener claves de API en texto plano y puntos de enlace de modelos personalizados. En un caso aparte de abril de 2026, Mandiant respondió a una intrusión en la que un token de acceso personal de GitHub expuesto permitió a un atacante montar infraestructura de IA no autorizada y solicitar aumentos de cuota de GPU.

Cuán grande se ha vuelto el problema

Los datos públicos son escasos, y buena parte de los que existen proceden de proveedores que también venden defensas. La cifra oficial más clara viene del FBI. Su Centro de Quejas por Delitos en Internet registró 22.364 denuncias con un descriptor relacionado con la IA en 2025, el primer año en que siguió esta categoría, con pérdidas declaradas de casi 893 millones de dólares.

Las estimaciones privadas son más altas. CTech, la división tecnológica del medio israelí Calcalist, informó en agosto de 2026 de que el secuestro de LLM ya había causado ese año unas pérdidas organizativas acumuladas estimadas en 1.000 millones de dólares. Dima Tatur, vicepresidente de ciberdefensa de la firma de seguridad Commit, dijo a CTech que «las pérdidas promedian entre 50.000 y 100.000 dólares al día por cada empresa afectada».

Según el FT, Anthropic dijo que su equipo de inteligencia de amenazas frustró el uso malicioso de Claude en más de dos docenas de países, entre ellos Estados Unidos, Reino Unido y Yemen, en los ocho meses previos a agosto de 2026.

Qué deberían hacer las empresas

Los consejos defensivos coinciden en tratar las credenciales de IA con la misma seriedad que los secretos de producción. El informe de Anthropic afirma sin rodeos que el acceso a la IA solo debería comprarse por canales autorizados, porque un descuento que exige encaminar las credenciales a través de un intermediario desconocido expone datos y sistemas a ese tercero.

De la investigación se derivan varios controles prácticos:

• Dé a las claves de API vidas cortas, delimítelas al privilegio mínimo y rótelas según un calendario. El análisis original de Sysdig recomienda la gestión de secretos y de derechos para que una cuenta abusada retenga el mínimo acceso que necesita.
• Escanee código, contenedores y repositorios públicos en busca de claves expuestas, y vigile en particular los archivos de configuración de desarrolladores de IA, porque, según Google, ahí es donde miran ahora los infostealers.
• Vigile los registros de invocación de modelos y el gasto. Hultquist dijo al FT que el mejor momento para que los atacantes pasen desapercibidos es ahora, mientras las empresas todavía aprenden cuánta IA usan. «Podrías pensar que un aumento grande y repentino del uso de cómputo es completamente normal porque acabas de adoptar toda esta infraestructura de IA», dijo. «Es una oportunidad real para que alguien se esconda en el ruido».
• eSentire recomienda claves de acceso (passkeys) y llaves de seguridad FIDO2 donde las plataformas de IA las admitan, además de vigilancia de la dark web para detectar credenciales robadas cuando se anuncian.

Tatur, de Commit, propuso una respuesta a incidentes en tres pasos: bloquear de inmediato la clave comprometida y limitar el consumo; trasladar la clave de reemplazo a una bóveda segura en lugar de volver a pegarla en el código fuente, que es como se producen los robos repetidos; y después investigar la intrusión y pedir un crédito al proveedor del modelo. Advirtió que las empresas suelen tener dificultades para contactar con los laboratorios, y describió la comunicación como limitada.

Salvedades

Conviene precisar algunos límites. Las cifras de precios y demanda del submundo proceden de proveedores de inteligencia de amenazas que también venden productos de seguridad, así que deben leerse como estimaciones informadas y no como cuentas auditadas. La cifra del IC3 cuenta denuncias con un descriptor de IA adjunto, lo que no equivale a incidentes de LLM-jacking confirmados. La estimación de 1.000 millones de dólares en pérdidas y las pérdidas diarias por empresa son cálculos privados. Y la voz central del FT es Hultquist, de Google, cuyo empleador compite en el mercado de seguridad que describe.

Lo que no está en disputa es la dirección. El artículo del FT, las revelaciones de Anthropic, el rastreador de Google y los informes de incidentes independientes describen todos el mismo cambio: el acceso a la IA se ha convertido en una mercancía que vale la pena robar, y el coste de una credencial está muy por debajo del daño que puede causar una robada.

Qué hay que seguir

Los seguros podrían fijar el precio efectivo del riesgo. En abril de 2026, el FT informó de que QBE y Beazley redactaban cláusulas para limitar las pérdidas relacionadas con la IA, y QBE aplicaba sublímites a los eventos de LLM-jacking, de modo que una póliza que cubriera hasta 5 millones de dólares pagaría solo unos 250.000 por esas reclamaciones. Que más aseguradoras adopten topes similares determinará qué parte de la factura acaban asumiendo las propias empresas.

Conviene vigilar también si los laboratorios de IA mejoran los procesos de contabilidad y crédito que las víctimas consideran hoy opacos, y con qué rapidez siguen apareciendo cuentas de IA robadas en las intrusiones que investiguen después los equipos de seguridad. La advertencia final de Hultquist al FT fue tajante: «Quien decida que la IA es una moda pasajera y quiera dejar que le pase por encima se despertará un día bajo el agua. Tendrá más incidentes, más alertas y más ataques que nunca».

Imagen de portada: aceleradores NVIDIA H100 en un servidor. Foto de Geekerwan, vía Wikimedia Commons (CC BY 3.0).