ハッカーがAIキーを1つ盗み、その計算資源を転売——被害者には数百万ドルの請求書

「AIトークンジャッキング」と呼ばれる金融サイバー犯罪の手法が急速に広がっています。脅威アクターが人気のAIプラットフォームの開発者用APIキーを盗み出し、被害者に割り当てられたモデル利用枠を消費した上で、その計算資源をグレーマーケットのプロキシサービスを通じて転売するというものです。

ここでいう「トークン」とは、ブラウザのセッショントークンのことではありません。大規模言語モデル（LLM）のAPIが処理する入力・出力の従量課金単位を指します。

企業は、アプリケーションやスクリプト、そしてAIエージェントが人手によるログインを介さずにプログラム的にモデルプロバイダーへ認証できるよう、APIキーを利用しています。

この利便性こそが、キーを非常に価値の高いものにしています。キーを1つ手に入れるだけで、攻撃者は事実上、被害者が課金対象となるAI利用枠へのアクセス権を得られるのです。

従来の多くのクラウドワークロードとは異なり、LLMの利用量は予測が難しいという特徴があります。プロンプトやコンテキストウィンドウ、ツール呼び出し、エージェントループなどによってトークン消費が急激に増加する一方、プロバイダー側は自動化ワークフローの中断を避けるために大幅なスケーリングを許容している場合があります。攻撃者はこの仕組みを悪用しています。

Hacking& Cracking

攻撃者は盗んだキーを自分自身のワークロードに使うだけでなく、「トランスファーステーション」と呼ばれる不正サービスを通じてトラフィックを転送し、複数のフロンティアモデルへの割引アクセスを下流の顧客に再販します。

こうしたトランスファーステーションの多くは、new-apiやone-apiといったオープンソースプロジェクトで構築されたAPIプロキシとして稼働しています。

このソフトウェアは、上流の認証情報をローテーションし、プロンプトを正規化し、複数モデルへリクエストを振り分け、顧客への課金を管理し、実際の計算資源の出所を隠すことができます。

顧客の目には安価なAIアクセスとして映りますが、正規のAPIキー所有者には、次回の請求書に身に覚えのない利用料として現れます。

その経済構造は単純です。トランスファーステーションの運営者は、プレミアムなAIアクセスを小売価格で購入し、それを大幅に値引きして販売するようなことを持続的に行うことはできません。

Unit 42の研究者によれば、あるケースでは、流出した認証情報1件がわずか数分で転売オペレーションに組み込まれ、封じ込めが行われるまでに約100万ドルの利用料が発生したといいます。

数百万ドル規模のリスク

盗まれた認証情報は、モデルそのものを利益率の高い犯罪サービスへと変えてしまいます。Unit 42によると、こうしたオペレーションは1日あたり数千万回ものAPI呼び出しを生み出すことがあり、これは侵害された組織にとって数十万ドル規模の請求額に相当するといいます。

初期侵入の手口としては、インフォスティーラー型マルウェア、フィッシング、公開状態のリポジトリ、保護されていないファイル共有、侵害された開発者アカウントといった、おなじみの手法が挙げられます。脅威アクターはソフトウェアサプライチェーンを狙うこともあります。

Antivirus& Malware

Unit 42は特に、開発環境から認証情報を盗み出し、下流のリリースへと拡散していく毒入りのnpmパッケージに注目しています。これはビルドシステムやリポジトリ全体に波及効果をもたらします。

リスクは直接的な金銭詐欺にとどまりません。権限を持つ開発者アカウントが乗っ取られると、侵入者は代替キーを新規発行したり、より高コストなモデルをプロビジョニングしたり、支出上限を撤廃したり、アラートを無効化したり、ログ記録を減らしたりすることが可能になります。

これにより、流出したAPIキーは、単なる秘密情報管理の失敗から、被害範囲の広いクラウドアイデンティティ侵害へと姿を変えます。

トランスファーステーションは、利用する側にも新たなリスクをもたらします。低コストなモデルアクセスに惹かれた開発者が、知らず知らずのうちに信頼できないプロキシ経由で、独自のプロンプトや認証情報、ソースコード、顧客データを送信してしまう可能性があるためです。

こうしたプロンプトは記録・保存されたり、より性能の低いモデルへ転送されたり、さらなる侵害につながる情報として収集・分析されたりする恐れがあります。

防御側は、AI用のAPIキーを単なるアプリケーション設定ではなく、価値の高いクラウド認証情報として扱うべきです。

組織は明確な支出上限を設定し、通常のトークン利用ベースラインからの逸脱を検知した際にアラートを発し、可能な限り長期有効なシークレットを短命なベアラートークンに置き換え、キーの発行や課金設定の変更が許可されているすべてのIDを見直す必要があります。

AI関連リソースへのネットワーク制限や、送信されるLLMトラフィックの継続的な監視も、不正な再利用をさらに抑制する助けとなります。

AIゲートウェイを導入すれば、モデルトラフィックに対する一元的なポリシー適用、ワークロード認証、異常検知も実現できます。

Palo Alto Networksは、関連する対策として自社のPrisma AIRS AI Gateway、Idira Agentic Identity Security、Koi Agentic Endpoint Security、Cortex XDRおよびXSIAM、Advanced URL Filteringを挙げています。

Cloudsecurity services

侵害指標（IoC）

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）を用いています。再有効化はMISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

[ライブウェビナー] ElasticとUnderDefenseが登壇し、少人数のセキュリティチームがAIの可視性とエージェント型対応を1つの運用モデルに統合する方法を解説します。 -> 今すぐ登録