Tấn công LLMjacking làm cạn kiệt ngân sách đám mây doanh nghiệp chỉ trong vài giờ

Google đã đưa ra cảnh báo về làn sóng tấn công mạng mới được gọi là LLMjacking, nơi các nhóm đe dọa chiếm quyền truy cập vào các Mô hình Ngôn ngữ Lớn (Large Language Models - LLM) của doanh nghiệp. Được báo cáo vào ngày 3 tháng 11 năm 2026, những sự cố này đã khiến một số tổ chức chịu thiệt hại lên tới 1 triệu USD do các khoản phí điện toán đám mây gian lận trước khi bị phát hiện.

Chuyện gì đã xảy ra

Các nhóm đe dọa đang đánh cắp hoặc để lộ các khóa API và token danh tính nhằm có được quyền truy cập trái phép vào các tài khoản LLM của doanh nghiệp. Khác với cryptojacking truyền thống vốn tiêu tốn tài nguyên từ từ, LLMjacking tạo ra những đợt tăng chi phí khổng lồ chỉ trong vòng vài giờ. Nhóm Tình báo Đe dọa của Google (Google Threat Intelligence Group) và Mandiant đã quan sát thấy các sự cố riêng lẻ mà trong đó phí gian lận vượt quá 100.000 USD chỉ trong một ngày. Các cuộc tấn công đã ảnh hưởng đến các thực thể trên khắp Bắc Mỹ, Nam Mỹ và khu vực Châu Á - Thái Bình Dương, trải dài qua nhiều lĩnh vực như dịch vụ tài chính, bán lẻ, công nghệ và giao thông vận tải.

Các vector tấn công rất đa dạng, từ thao túng ở cấp độ thấp đối với chatbot hỗ trợ khách hàng cho đến khai thác trực tiếp backend. Tin tặc thường bắt đầu bằng cách lấy các token danh tính đám mây, bao gồm thông tin xác thực IAM, khóa Tài khoản Dịch vụ (Service Account keys) hoặc GitHub Personal Access Tokens. Một nhóm đe dọa cụ thể, UNC6993, đã xâm nhập vào một instance đám mây bằng cách sử dụng khóa Service Account được cấu hình sai. Sau đó, chúng sử dụng điểm tựa này để truy cập vào các API LLM và tạo thêm các khóa để mở rộng quy mô hoạt động, tích lũy các khoản phí hóa đơn đáng kể. Trong một biến thể khác, tin tặc lừa người dùng dán các payload JSON thô chứa token truy cập đang hoạt động vào các cổng thông tin giả mạo, qua đó bỏ qua các biện pháp kiểm soát mật khẩu và xác thực đa yếu tố.

Ngoài việc trộm cắp đơn thuần, một hệ sinh thái mới gồm các "LLM Mixers" đã xuất hiện. Những thực thể này hoạt động như các cổng định tuyến bất hợp pháp, proxy và bán lại quyền truy cập LLM trái phép cho các tội phạm khác. Các dịch vụ như Jet Night cung cấp các gói token không giới hạn cho các mô hình tiên phong (frontier models) với giá chỉ bằng một phần nhỏ so với giá thị trường, trong khi tổ chức nạn nhân phải trả tiền. Một dịch vụ thị trường xám khác cài đặt các công cụ CLI chính thức cho OpenAI Codex hoặc Anthropic Claude Code nhưng cấu hình lại chúng để định tuyến yêu cầu qua cơ sở hạ tầng của bên thứ ba, chủ yếu nhắm mục tiêu vào các khu vực mà các nhà cung cấp này không hoạt động chính thức.

Cách thức hoạt động

LLMjacking dựa vào việc xâm phạm thông tin xác thực chứ không chỉ dựa vào các lỗ hổng phần mềm. Khi tin tặc giành được quyền truy cập ban đầu thông qua token bị đánh cắp hoặc khóa bị lộ, chúng thực hiện trinh sát nội bộ để lập bản đồ các dịch vụ khả dụng và chính sách danh tính. Chúng sao chép mã nguồn để tìm kiếm các bí mật được hard-code và quét nhật ký truy cập để tìm thông tin xác thực cho các môi trường phụ. Sự di chuyển ngang (lateral movement) này cho phép chúng leo thang đặc quyền và duy trì quyền truy cập bền vững, thường bằng cách tạo ra các tài khoản dịch vụ backdoor được ngụy trang thành các tiện ích thanh toán hợp lệ.

Trong trường hợp các dịch vụ relay trên thị trường xám, cơ chế liên quan đến việc tái sử dụng các công cụ dành cho nhà phát triển chính thức. Sau khi người dùng cài đặt một công cụ CLI hợp pháp, một tập lệnh sẽ ghi đè các tệp cấu hình, chẳng hạn như ~/.codex/config.toml hoặc ~/.claude/settings.json. Tập lệnh này vô hiệu hóa các sandbox bảo mật, thay thế thông tin xác thực API thật bằng các token do relay cấp và tắt tính năng telemetry. Lưu lượng truy cập sau đó được định tuyến qua máy chủ của tin tặc, cho phép chúng kiếm lời từ hạn mức của doanh nghiệp trong khi cung cấp quyền truy cập giảm giá cho người dùng cuối ở các khu vực bị hạn chế.

Chi tiết chính

• LLMjacking có thể tạo ra các khoản phí đám mây gian lận vượt quá 100.000 USD chỉ trong một ngày.
• Tổng thiệt hại tích lũy đối với một số tổ chức đã lên tới 1 triệu USD trước khi quyền truy cập bị thu hồi.
• Các điểm xâm nhập phổ biến bao gồm thông tin xác thực IAM bị đánh cắp, khóa Service Account và GitHub Personal Access Tokens.
• Nhóm đe dọa UNC6993 sử dụng các trang chiếm đoạt phiên (session hijacking pages) để đánh cắp token truy cập đang hoạt động từ người dùng.
• Các LLM Mixer như Jet Night bán lại quyền truy cập bị đánh cắp thông qua các cửa hàng ngầm với giá khoảng 60 USD mỗi tháng.
• Các dịch vụ thị trường xám cấu hình lại các công cụ CLI chính thức để định tuyến lưu lượng truy cập qua máy chủ của bên thứ ba, đồng thời vô hiệu hóa các sandbox.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và trưởng nhóm kỹ thuật, LLMjacking đại diện cho sự chuyển đổi từ việc trộm cắp tài nguyên dần dần sang thiệt hại tài chính tức thì và biên lợi nhuận cao. Tốc độ mà các cuộc tấn công này tiêu thụ ngân sách có nghĩa là các quy trình xem xét hóa đơn hàng tháng truyền thống là không đủ để phát hiện. Các đội ngũ bây giờ phải đối xử với các khóa API LLM với mức độ nghiêm trọng tương đương như mật khẩu root của cơ sở dữ liệu, vì bất kỳ sự rò rỉ nào cũng có thể dẫn đến phơi nhiễm tài chính thảm khốc trong vòng vài giờ.

Sự xuất hiện của các LLM Mixer cũng làm phức tạp bối cảnh bảo mật bằng cách tạo ra sự phân công lao động giữa những kẻ môi giới quyền truy cập ban đầu và cơ sở hạ tầng kiếm tiền. Sự trưởng thành này gợi ý rằng các cuộc tấn công sẽ trở nên tự động hóa và nhắm mục tiêu chính xác hơn. Các kỹ sư xây dựng quy trình làm việc agentic hoặc tích hợp các mô hình cao cấp hơn vào môi trường sản xuất phải giả định rằng các endpoint của họ là những mục tiêu có giá trị cao. Các thực hành bảo mật cần phải phát triển để bao gồm giám sát chặt chẽ các mẫu sử dụng token và khả năng thu hồi ngay lập tức.

Bạn có thể làm gì

• Kiểm toán tất cả các token danh tính đám mây và xoay vòng (rotate) các khóa Service Account thường xuyên, đặc biệt là những khóa có quyền hạn rộng.
• Quét các kho lưu trữ mã công khai và mã nguồn nội bộ để tìm các khóa API và bí mật được hard-code.
• Triển khai các giới hạn tốc độ (rate limits) nghiêm ngặt và cảnh báo ngân sách cho việc sử dụng API LLM để phát hiện sự gia tăng đột ngột trong mức tiêu thụ.
• Vô hiệu hóa các quyền IAM không sử dụng và áp dụng nguyên tắc đặc quyền tối thiểu (least-privilege) cho tất cả các tài khoản dịch vụ tương tác với LLM.
• Giám sát các thay đổi cấu hình bất thường trong các công cụ CLI dành cho nhà phát triển, đặc biệt là trong các thiết lập sandboxing và mạng.
• Giáo dục các nhà phát triển về rủi ro khi sử dụng các nhà bán lại không được ủy quyền hoặc các cấu hình CLI đã sửa đổi cho các công cụ AI.