🔍 Contexte

Publié le 9 septembre 2026 par Jeremy Kirk, Director of Okta Threat Intelligence, cet article constitue la deuxième partie d’une série de recherches sur la fraude liée aux services d’IA générative. Il s’appuie sur l’analyse d’un dump d’infostealer publié gratuitement sur Telegram le 2 août 2026.

📦 Dataset analysé

Le dump analysé comprend 5 871 dossiers représentant 5 871 machines infectées pour un total de 7 Go de données, réparties sur 162 pays. Chaque dossier contient des données d’authentification : credentials, session tokens, clés API, JWTs.

🎯 Tokens de session par fournisseur IA (tokens uniques / non expirés au 2 août 2026)

  • Google (Workspace + consumer) : 9 829 tokens uniques, 4 144 non expirés
  • Microsoft (Entra + consumer) : 2 491 tokens uniques, 1 753 non expirés
  • Anthropic : 561 tokens uniques, 404 non expirés
  • Amazon (AWS + retail) : 349 tokens uniques, 245 non expirés
  • Gamma : 160 tokens uniques, 154 non expirés
  • Notion : 90 tokens uniques, 86 non expirés
  • Character.ai : 38 tokens uniques, 34 non expirés
  • Cursor : 32 tokens uniques, 26 non expirés
  • Poe.com : 28 tokens uniques, 26 non expirés
  • Pika AI : 20 tokens uniques, 20 non expirés

🔑 JSON Web Tokens (JWT / JWE)

Parmi 44 791 JWTs uniques identifiés dans le dataset, 555 sont liés à l’authentification de services IA. Par ailleurs, 2 937 JWEs (JSON Web Encryption, dont la majorité émis par OpenAI via NextAuth.js) ont été identifiés. Au moment de la publication du dump, 1 843 JWTs et JWEs n’avaient pas encore expiré. De plus, 17,7 % des JWTs contiennent des données PII en clair (nom, téléphone, email).

🗝️ Clés API

TruffleHog a identifié 24 clés API encore valides dans le dataset, réparties sur quatre services : Google Gemini, OpenAI, Groq et OpenRouter. Ces clés étaient stockées en clair dans des fichiers de configuration.

💰 Impact financier documenté

  • ~1 million USD de surcoût pour une organisation
  • 25 000 USD de facture pour un architecte logiciel
  • 600 000 USD de crédits IA volés via une clé API compromise

🛠️ Outillage des attaquants

Les acteurs malveillants utilisent :

  • Des outils de parsing de logs d’infostealers avec sélection ciblée de tokens IA
  • Des navigateurs anti-detect (ex : Camoufox, open-source) pour rejouer les sessions volées
  • SeleniumBase pour charger des données de sessionStorage/localStorage
  • Des proxies pour contourner les détections de type « impossible travel »

📌 Type d’article

Il s’agit d’une publication de recherche CTI produite par Okta Threat Intelligence, visant à documenter et quantifier la menace que représentent les infostealers pour les comptes de services IA, à partir de données empiriques issues d’un dump réel.

🧠 TTPs et IOCs détectés

TTP

  • T1555.003 — Credentials from Web Browsers (Credential Access)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1528 — Steal Application Access Token (Credential Access)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1078 — Valid Accounts (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)

Malware / Outils

  • Remus (stealer)
  • TruffleHog (tool)
  • Camoufox (tool)
  • SeleniumBase (tool)

🟡 Indice de vérification factuelle : 40/100 (moyenne)

  • ⬜ okta.com — source non référencée (0pts)
  • ✅ 15964 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 6 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.okta.com/blog/threat-intelligence/signing_in_without_actually_signing_in/