Logs de infostealers expõem tokens de sessão de IA reaproveitáveis que contornam MFA
A análise de um dump de 7 GB coletado por infostealers como Lumma Stealer e Vidar revelou milhares de tokens de sessão e chaves de API válidos para serviços de IA da Google, Anthropic, OpenAI e outros provedores, incluindo pelo menos 24 chaves de API ainda ativas para Gemini, OpenAI, Groq e OpenRouter. Como esses tokens autenticam diretamente a sessão, criminosos conseguem reproduzi-los com navegadores 'anti-detecção' e ferramentas de automação para assumir contas de IA sem precisar da senha nem disparar o desafio de MFA.
Infostealers como Lumma Stealer e Vidar são projetados para coletar de máquinas comprometidas o máximo possível de material de autenticação: credenciais, tokens de sessão e chaves de API, entre outros dados. Esses logs são depois vendidos em massa em fóruns clandestinos, e uma análise de um desses dumps, de cerca de 7 GB, encontrou tokens de autenticação ainda não expirados para uma lista extensa de serviços, incluindo Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com e Pika AI, além de 24 chaves de API funcionais para Google Gemini, OpenAI, Groq e OpenRouter.
O motivo técnico de esses tokens contornarem o MFA é simples: eles são artefatos pós-autenticação, gerados depois que o usuário legítimo já passou pelo login e por qualquer desafio de múltiplo fator. Diferente de uma combinação de usuário e senha, que precisa refazer todo o fluxo de autenticação, um token de sessão ou chave de API válido pode ser reproduzido diretamente, retomando a sessão como se fosse o próprio usuário, sem acionar nenhuma nova verificação. Para operacionalizar isso em escala, os atacantes usam navegadores 'anti-detecção' e ferramentas de automação, como Camouflex e SeleniumBase, que carregam os dados de navegador roubados e falsificam características do dispositivo e a localização geográfica, dificultando que o provedor detecte a anomalia de acesso.
O impacto prático para provedores e usuários de IA é direto: contas pagas de ferramentas de IA se tornam alvo tão viável quanto qualquer outro SaaS corporativo, com o agravante de que muitas dessas contas têm acesso a histórico de conversas, integrações com outras ferramentas e, no caso de chaves de API, permissão para consumir cota de uso faturável em nome da vítima.
As mitigações discutidas incluem controles que dificultam justamente esse tipo de replay: allowlisting de IP, credenciais de sessão vinculadas ao dispositivo (device-bound session credentials), tokens OAuth 2.0 de vida curta, autenticação resistente a phishing como passkeys, e monitoramento contínuo para detectar reuso de token fora do padrão esperado. O caso reforça que, à medida que provedores de IA se tornam parte central do fluxo de trabalho de empresas e desenvolvedores, suas credenciais de sessão passam a ser um alvo de primeira linha para o mesmo ecossistema de infostealers que já monetiza acesso a contas bancárias e corporativas.