정보 탈취형 악성코드(인포스틸러)가 훔친 AI 서비스 로그인 토큰과 API 키가 다크웹과 텔레그램에서 거래되고 있으며, 이 토큰들은 비밀번호나 MFA(다단계 인증) 없이도 계정에 그대로 접속할 수 있어 매우 위험합니다. 보안업체 Okta가 분석한 7GB 규모의 유출 데이터에는 Google, Microsoft, Anthropic, OpenAI 등 주요 AI 서비스의 유효한 인증 토큰 1,843개와 API 키 24개가 포함되어 있었습니다. 공격자는 이른바 'LLM재킹(LLMjacking)'이라 불리는 방식으로 피해자의 AI 계정을 무단 사용하거나 고가의 AI 사용 요금을 피해자에게 전가합니다. 대응책으로는 단수명 토큰 사용, API 키 범위 제한, 세션 토큰 재사용 모니터링, IP 허용 목록 적용 등이 권고됩니다.
Lumma Stealer, Vidar 등 인포스틸러로 탈취된 AI 서비스 세션 토큰·JWT·API 키가 텔레그램과 다크웹 포럼에서 판매되고 있음. Okta가 2026년 8월 2일 공개된 7GB 덤프를 분석한 결과 162개국 5,871대 감염 PC 데이터와 AI 서비스용 유효 토큰 1,843개, API 키 24개 확인.
비밀번호·MFA 없이 Google, Anthropic, OpenAI, Microsoft 등 주요 AI 계정 무단 접근 가능. API 키 탈취 시 무단 AI 자원 사용(LLMjacking)으로 고액 청구서 피해 발생. JWTs의 17.7%에 이름·전화·이메일 등 평문 PII 포함되어 추가 피싱 위협.
인포스틸러가 브라우저의 sessionStorage·localStorage에서 토큰 및 API 키를 수집. 세션 토큰은 만료 전까지 재전송(replay)만으로 인증 우회 가능하며, 암호화된 JWE도 키 없이 복호화는 불가하나 재전송 자체는 가능.
Okta가 TruffleHog로 유효 API 키 확인 후 관련 AI 서비스에 통보. Google은 Chrome에 기기에 토큰을 암호학적으로 결합하는 DBSC(Device Bound Session Credentials) 지원 추가. 업계 차원에서 단기 만료 토큰 및 OAuth 2.0 흐름 도입 권고.
기업 내 AI 서비스 API 키와 세션 토큰을 주기적으로 교체하고 최소 권한으로 범위를 제한해야 함. 세션 토큰 재사용 탐지, IP 허용 목록, 패스키 등 피싱 저항형 인증 수단 도입이 핵심 대응책임.
본문
사이버 범죄자들이 정보 탈취형 악성코드(인포스틸러) 로그를 활용해 AI 사용자 계정을 탈취하고 있습니다. 이를 통해 Google, Anthropic 등 AI 모델 제공업체의 서비스에 불법으로 접근할 수 있는 "훔친 열쇠"를 만들어냅니다.
Lumma Stealer나 Vidar 같은 인포스틸러는 감염된 시스템에서 광범위한 데이터를 수집할 수 있습니다. 여기에는 자격 증명(credential), 세션 토큰, API 키 등이 포함됩니다.
데이터가 탈취되면, 이런 기성품 악성코드를 구입한 위협 행위자들은 후속 공격을 가능하게 하는 스틸러 로그 형태로 이를 지하 포럼에 다시 판매합니다.
"세션 토큰과 API 키는 위협 행위자들이 특히 노리는 표적입니다. 이 비밀값들을 재전송(replay)해 자격 증명 기반 인증을 우회하는 것이 종종 가능하기 때문입니다." Okta의 위협 인텔리전스 디렉터 Jeremy Kirk이 The Hacker News와 공유한 보고서에서 밝혔습니다.
"재전송에 성공하면 위협 행위자는 실제로 로그인하지 않고도 LLM(대규모 언어 모델) 서비스에 사실상 로그인된 상태가 됩니다. 이런 '만능 열쇠'의 사용은 남용을 탐지하기 더 어렵게 만들지만, 불가능한 것은 아닙니다."
이 신원 확인 서비스 제공업체는 2026년 8월 2일 텔레그램 채널에 공개된 7GB 규모의 인포스틸러 덤프를 분석했습니다. 해당 스틸러 로그에는 162개국 5,871대 감염 기기에 속한 데이터가 담겨 있었습니다.
그 중에는 Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com, Pika AI 등의 서비스에 대한 수천 개의 만료되지 않은 인증 토큰이 포함되어 있었습니다. 데이터셋의 고유 JWT(JSON 웹 토큰) 44,791개 중 555개의 JWT가 AI 서비스 인증과 관련된 것으로 추정됩니다.
세션 토큰과 마찬가지로, 유효한 JWT는 사용자 이름·비밀번호를 이용한 일반 인증은 물론 MFA(다단계 인증)까지 우회하여 계정에 직접 접근하는 데 악용될 수 있습니다.
Okta는 암호화된 JWT를 나타내는 인증 관련 JWE(JSON 웹 암호화) 데이터 구조 2,937개도 확인했다고 밝혔습니다. 이 토큰들의 대부분은 NextAuth.js를 사용하는 OpenAI가 설정한 것으로 알려졌습니다. 이 키는 키를 보유한 당사자만 복호화하고 파싱할 수 있지만, 만료되지 않은 상태라면 공격자가 이 토큰을 재전송해 계정에 접근하는 것은 여전히 가능합니다.
전체적으로 탈취된 데이터에는 공개 당일 기준 만료되지 않은 JWT 및 JWE 1,843개가 포함된 것으로 알려졌습니다. 우려스러운 점은, 44,791개의 JWT 중 17.7%에 이름, 전화번호, 이메일 주소 등 개인식별정보(PII)가 평문으로 포함되어 있다는 사실입니다.
"이 정보는 만료되거나 사라지지 않으며 사용자를 특정 서비스와 직접 연결하기 때문에 소셜 엔지니어링 시도나 피싱에 활용될 수 있다는 점에서 또 다른 문제입니다." Kirk은 말했습니다.
한 가지 중요하게 짚어볼 점은, IP 허용 목록(특정 승인된 IP 주소 또는 범위를 제외한 모든 네트워크 트래픽을 차단하는 보안 기능)을 사용하는 조직에서는 세션 재전송 공격이 통하지 않을 수 있다는 것입니다. 또한 Google은 Chrome에 DBSC(Device Bound Session Credentials) 지원을 추가해 세션 토큰을 기기에 암호학적으로 결합함으로써, 탈취된 토큰이 다른 시스템에서 사용되지 못하도록 했습니다.
자격 증명과 토큰 외에도, TruffleHog를 이용한 스틸러 덤프 분석에서 Google Gemini, OpenAI, Groq, OpenRouter 등 4개 AI 관련 서비스에 대한 유효한 API 키 24개가 발견됐습니다. 이러한 키를 보유한 공격자는 이를 스파이 활동, 협박, 자원 탈취에 악용하고 AI 토큰 요금 폭탄을 발생시킬 수 있습니다.
나쁜 행위자가 API 키를 남용해 피해자의 LLM(대규모 언어 모델)에 무단으로 접근하고 자신의 목적에 서비스를 활용하거나 다른 사이버 범죄자에게 접근 권한을 판매하는 행위를 LLM재킹(LLMjacking)이라고 합니다. 이 기술은 시스템 자원을 몰래 사용해 암호화폐를 채굴하면서 막대한 컴퓨팅 비용을 피해자에게 떠넘기는 캠페인과 유사합니다.
기업 환경에서 AI 도입이 급증함에 따라, 인포스틸러로 빼낸 데이터가 사이버 범죄자들의 수익화 수단을 다양화하고 있으며, 탈취된 토큰 묶음과 안티 탐지 브라우저 판매를 위한 새로운 블랙마켓 사이트들이 위협 생태계에 등장하고 있습니다.
Okta가 포착한 한 텔레그램 게시물에서 신원 미상의 판매자가 24시간 지원과 환불 보장까지 제공하며 Claude, Cursor, ChatGPT, Gemini 접근 권한을 할인 가격에 판매하는 것이 확인됐습니다. 또 다른 서비스인 'Poison Claude'는 Anthropic의 Opus 4.8, Opus 4.7, Opus 4.6, Sonnet 4.6 모델 접근 권한을 제공한다고 주장합니다.
"탈취된 세션 데이터를 사용해 계정에 접근하려면 특정 도구가 필요합니다." Okta는 밝혔습니다. "소위 '안티 탐지' 브라우저는 탈취된 인증 데이터를 사용하고 보안 통제를 우회하도록 설계된 기능을 갖추고 있습니다."
"오픈소스 안티 탐지 브라우저 Camoufox나 자동화 도구 SeleniumBase 같은 다른 도구들도 브라우저의 sessionStorage 및 localStorage에서 탈취한 데이터를 파일로부터 손쉽게 불러올 수 있습니다. 이 도구들 중 다수는 사용자가 프록시를 설정할 수 있어, 비정상적인 이동 탐지나 무단 접근을 표시하는 행동 트리거를 우회할 수 있습니다."
이번 공개는 Google이 사이버 범죄 지하 세계에서 "AI 관련 계정을 구매하려는 페르소나와 이를 판매하는 판매자 모두 증가하고 있다"고 공개한 것과 맞물립니다. 이는 위협 행위자들의 AI 사용 증가에 따른 것으로, 해당 포럼의 게시물들은 Cursor Pro, Devin 같은 자율 코딩 IDE와 함께 Claude 및 Gemini 자격 증명에 대한 구매자 수요를 보여주고 있습니다.
Google의 Mandiant 팀이 처리한 적어도 하나의 사고 대응 사례에서, 위협 행위자는 노출된 GitHub PAT(Personal Access Token)을 통해 피해자의 클라우드 환경에 최초 접근 권한을 획득한 뒤, 이를 활용해 무단 AI 인프라를 배포하고 고성능 컴퓨팅 자원을 확장한 것이 확인됐습니다.
"프리미엄 모델 접근 비용과 고성능 컴퓨팅 비용은 AI를 운용화하려는 위협 행위자들의 주요 장벽 중 하나입니다." Google 위협 인텔리전스 그룹(GTIG)은 밝혔습니다. "이로 인해 사이버 범죄 커뮤니티 전반에서 AI 계정의 표적화·탈취·판매가 증가하고 있으며, 컴퓨팅 자원 탈취를 위해 기업 클라우드 환경을 침해하는 침입 사례도 늘고 있습니다."
이번 결과는 AI 시스템에 대한 접근 보안 강화, 세션 토큰 재사용 모니터링, API 키 범위 제한, 그리고 탈취 시 신속히 만료되는 단기 토큰과 OAuth 2.0 흐름 사용의 필요성을 긴급하게 부각시킵니다.
"첨단 모델 접근 비용이 높아질수록, 돈을 내는 대신 훔치려는 동기도 커집니다." Kirk은 말했습니다. "패스키 같은 피싱 저항형 기술과 강화된 인증은 사용자 이름·비밀번호 탈취를 더 어렵게 만들었지만, 훔친 세션 토큰이나 API 키까지 막아주지는 못합니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
