Von den 44.791 einzelnen JSON Web Tokens (JWTs) im Datensatz ordnete Okta 555 mit hoher Wahrscheinlichkeit der Authentifizierung bei KI-Diensten zu. Ein gültiges JWT wirkt ähnlich wie ein Sitzungstoken: Es verschafft direkten Kontozugriff und umgeht dabei sowohl die Anmeldung mit Benutzername und Passwort als auch die Mehr-Faktor-Authentifizierung.
Hinzu kamen 2.937 authentifizierungsbezogene JSON Web Encryption-Strukturen (JWE), also verschlüsselte JWTs. Die meisten davon stammen laut Okta von OpenAI, das NextAuth.js einsetzt. Zwar kann nur der Schlüsselinhaber sie entschlüsseln und auswerten — abspielen und damit Kontozugriff erlangen lässt sich ein solches Token aber trotzdem, solange es nicht abgelaufen ist. Am Tag der Veröffentlichung waren insgesamt 1.843 JWTs und JWEs des Dumps noch gültig.
Ein zweites Problem sind personenbezogene Daten: 17,7 Prozent der 44.791 JWTs enthielten im Klartext Namen, Telefonnummern oder E-Mail-Adressen. „Das ist ein weiterer problematischer Aspekt, denn diese Informationen laufen nicht ab und verschwinden nicht, und sie verknüpfen einen Nutzer direkt mit einem bestimmten Dienst — das kann für Social Engineering oder Phishing nützlich sein", so Kirk.
Eine Auswertung des Dumps mit TruffleHog förderte zudem 24 weiterhin gültige API-Schlüssel für vier KI-nahe Dienste zutage, darunter Google Gemini, OpenAI, Groq und OpenRouter. Wer einen solchen Schlüssel besitzt, kann ihn für Spionage, Erpressung oder Ressourcendiebstahl nutzen und dem Opfer hohe Rechnungen für KI-Tokens hinterlassen. Dieses Vorgehen wird als LLMjacking bezeichnet und ähnelt Kampagnen, die fremde Systeme heimlich zum Mining von Kryptowährungen nutzen und die Rechenkosten dem Opfer aufbürden.
Für die Verwertung gestohlener Sitzungsdaten braucht es spezielle Werkzeuge. Okta verweist auf sogenannte Anti-Detect-Browser wie das quelloffene Camoufox oder das Automatisierungswerkzeug SeleniumBase, die aus dem sessionStorage und localStorage eines Browsers entwendete Daten bequem aus einer Datei laden. Viele dieser Tools erlauben die Konfiguration von Proxys und umgehen so Erkennungsmechanismen wie „unmögliche Reisen" oder verhaltensbasierte Auslöser.
In einem von Okta markierten Telegram-Beitrag bot ein nicht näher bezeichneter Anbieter vergünstigten Zugang zu Claude, Cursor, ChatGPT und Gemini an — samt Rund-um-die-Uhr-Support und Geld-zurück-Garantie. Ein Dienst namens Poison Claude wirbt mit Zugang zu Anthropics Modellen Opus 4.8, Opus 4.7, Opus 4.6 und Sonnet 4.6.
Google meldet parallel, in der Cyberkriminalitäts-Szene träten „mehr Personas auf, die KI-Konten kaufen wollen, und mehr Verkäufer, die solche Konten anbieten". Nachgefragt werden demnach Zugangsdaten für Claude und Gemini sowie für autonome Coding-Umgebungen wie Cursor Pro und Devin. Bei mindestens einem Einsatz des Mandiant-Teams verschaffte sich ein Angreifer über einen offenliegenden GitHub Personal Access Token Zugang zur Cloud-Umgebung eines Opfers und baute dort unautorisierte KI-Infrastruktur samt Hochleistungsrechenressourcen auf. Die Kosten für Zugang zu Spitzenmodellen und Rechenleistung seien eine der wichtigsten Hürden für Angreifer, so die Google Threat Intelligence Group — entsprechend nähmen Diebstahl und Handel mit KI-Konten zu.
Gegen Session-Replay helfen laut Bericht IP-Allowlisting sowie Device Bound Session Credentials (DBSC), die Google in Chrome unterstützt und die ein Sitzungstoken kryptografisch an ein Gerät binden. Empfohlen werden zudem eng begrenzte API-Schlüssel, Überwachung auf Wiederverwendung von Sitzungstokens und OAuth-2.0-Abläufe mit kurzlebigen Tokens. „Stärkere Authentifizierung und phishing-resistente Technik wie Passkeys hat Übernahmen per Benutzername und Passwort erschwert", sagt Kirk, „aber sie stoppt kein gestohlenes Sitzungstoken und keinen gestohlenen API-Schlüssel."