LLMjacking攻撃が企業クラウド予算を数時間で枯渇させる

Googleは、大規模言語モデル（LLM）への企業アクセスを脅威アクターが乗っ取る「LLMjacking」と呼ばれる新たなサイバー攻撃の波について警告を発しました。2026年11月3日に報告されたこれらのインシデントでは、検知される前に一部の組織で最大100万ドルに相当する不正なクラウドコンピューティング料金が発生しています。

何が起きたか

脅威アクターは、企業のLLMアカウントへ不正にアクセスするために、APIキーやIDトークンを窃取または露出させています。リソースを徐々に消費する従来のクリプトジャッキングとは異なり、LLMjackingはわずか数時間で巨額の費用発生という急激なスパイクを生み出します。Google Threat Intelligence GroupとMandiantは、不正請求額が1日だけで10万米ドルを超えた個別の事例を観察しています。これらの攻撃は北米、南米、アジア太平洋地域のエンティティに影響を与えており、金融サービス、小売、テクノロジー、輸送などのセクターが含まれています。

攻撃ベクトルは、カスタマーサポートチャットボットの低レベルな操作から、バックエンドの直接的な悪用まで多岐にわたります。攻撃者は多くの場合、IAM認証情報、Service Accountキー、GitHub Personal Access Tokensなど、クラウドIDトークンの取得から始めます。特定の脅威アクターであるUNC6993は、設定ミスのあるService Accountキーを使用してクラウドインスタンスを侵害しました。その後、この足掛かりを利用してLLM APIにアクセスし、追加のキーを作成して活動を拡大し、高額な請求を積み上げました。別の変種では、攻撃者がユーザーを騙し、有効なアクセストークンを含む生のJSONペイロードを偽ポータルに貼り付けさせ、パスワードおよび多要素認証（MFA）制御を実質的に回避しています。

単純な窃盗に加え、「LLM Mixers」という新しいエコシステムも出現しています。これらのアクターは不正なルーティングゲートウェイとして機能し、他の犯罪者に不正なLLMアクセスをプロキシ経由で再販します。Jet Nightのようなサービスは、フロンティアモデル向けの無制限トークンプランを市場価格の一部で提供しており、被害を受けた組織がその請求を負担することになります。また別のグレーマーケットサービスは、OpenAI CodexやAnthropic Claude Codeの本物のCLIツールをインストールしますが、これらを第三者インフラ経由でリクエストをルーティングするように再設定し、主にベンダーが公式に運営していない地域をターゲットにしています。

仕組み

LLMjackingはソフトウェア脆弱性だけでなく、認証情報の漏洩に依存しています。攻撃者が盗まれたトークンや露出したキーを通じて初期アクセスを獲得すると、利用可能なサービスとIDポリシーをマッピングするために内部偵察を実行します。コードベースをクローン化してハードコードされた秘密情報を検索し、二次環境用の認証情報を見つけるためにアクセスログをスキャンします。この横方向の移動により、権限のエスカレーションと永続的なアクセスの維持が可能になり、多くの場合、正当な請求ユーティリティを装ったバックドアサービスアカウントを作成します。

グレーマーケットのリレーサービスの場合、メカニズムには公式開発者ツールの転用が含まれます。ユーザーが正当なCLIツールをインストールした後、スクリプトが~/.codex/config.tomlや~/.claude/settings.jsonなどの設定ファイルを上書きします。このスクリプトはセキュリティサンドボックスを無効化し、実際のAPI認証情報をリレー発行のトークンに置き換え、テレメトリをオフにします。トラフィックはその後、攻撃者のサーバーを経由してルーティングされ、エンドユーザーには割引されたアクセスを提供しながら、攻撃者は企業のクォータを収益化することが可能になります。

主要な詳細

• LLMjackingは、1日あたり10万米ドルを超える不正なクラウド請求を生じさせる可能性があります。
• アクセスが取り消されるまでの累積損失が、一部の組織では100万米ドルに達しています。
• 一般的な侵入経路には、盗まれたIAM認証情報、Service Accountキー、GitHub Personal Access Tokensが含まれます。
• 脅威アクターUNC6993は、セッションハイジャックページを使用してユーザーから有効なアクセストークンを窃取します。
• Jet NightのようなLLM Mixersは、地下店舗を通じて盗まれたアクセスを月額約60ドルで再販します。
• グレーマーケットサービスは、本物のCLIツールを再設定し、サンドボックスを無効にしてサードパーティサーバー経由でトラフィックをルーティングします。

なぜ重要なのか

ソフトウェアエンジニアや技術リーダーにとって、LLMjackingは漸進的なリソース窃盗から、即時かつ高利益率の財務的損害への移行を表しています。これらの攻撃が予算を消費する速度は、従来の月次請求レビューでは検知に不十分であることを意味します。チームは、LLM APIキーをルートデータベースパスワードと同じ深刻度で扱う必要があり、あらゆる漏洩が数時間以内に壊滅的な財務的リスクにつながる可能性があるためです。

LLM Mixersの出現は、初期アクセスブローカーと収益化インフラの間で分業が生じることで、セキュリティ状況をさらに複雑にしています。この成熟は、攻撃がより自動化され、標的型になることを示唆しています。エージェント型ワークフローを構築したり、上位モデルを本番環境に統合したりするエンジニアは、自社のエンドポイントが高価値な標的であると想定しなければなりません。セキュリティプラクティスは、トークン使用パターンの厳格な監視や即時の取り消し機能を組み込むよう進化させる必要があります。

対策

• すべてのクラウドIDトークンを監査し、特に広範な権限を持つService Accountキーを定期的にローテーションしてください。
• 公開コードリポジトリおよび内部コードベースをスキャンし、ハードコードされたAPIキーや秘密情報を検出してください。
• LLM APIの使用に対して厳格なレート制限とアラートを設定し、消費量の急増を検知できるようにしてください。
• 未使用のIAM権限を無効にし、LLMとやり取りするすべてのサービスアカウントに対して最小権限アクセスを適用してください。
• 開発者CLIツールにおける異常な設定変更、特にサンドボクシングやネットワーク設定の変更を監視してください。
• AIツールに対する不正な再販業者や修正されたCLI設定を使用するリスクについて、開発者を教育してください。