Pe 9 septembrie 2026, Okta a publicat o cercetare despre tokenuri de sesiune și chei API pentru servicii AI găsite în date colectate de malware de tip infostealer. Lecția pentru organizații privește felul în care răspund angajații și echipele de suport: recuperarea parolei trebuie legată de investigarea dispozitivului și de verificarea accesului rămas în aplicații.
Ce arată cercetarea și unde se opresc cifrele
Okta a analizat un eșantion de 7 GB, asociat cu 5.871 de dispozitive din 162 de țări. Cercetătorii spun că 1.843 de tokenuri JWT și JWE nu erau expirate la 2 august 2026, data publicării eșantionului, și că analiza a găsit 24 de chei API încă valide pentru patru servicii AI. Acestea sunt măsurătorile autorilor, nu o estimare a tuturor conturilor AI compromise.
Un token neexpirat nu dovedește că a fost reutilizat cu succes și nu înseamnă că este valabil astăzi. Existența lui în eșantion nu demonstrează nici compromiterea infrastructurii furnizorului AI. Datele provin din dispozitive infectate.
The Hacker News relatează studiul, dar cifrele sale provin tot de la Okta. Ca reper independent privind impactul, Unit 42 descrie separat cazuri de furt al cheilor API și consum AI neautorizat. Cercetarea Unit 42 susține relevanța riscului financiar; nu validează numărul de tokenuri din eșantionul Okta.
Trei întrebări pentru primul apel la help desk
Angajatul nu trebuie să știe să decodeze un token. Are nevoie de întrebări la care poate răspunde fără să expună alte secrete. Un formular de incident poate începe cu următoarele trei:
- Pe ce dispozitiv ai lucrat și când a apărut semnalul? Notează dacă era un calculator administrat de organizație sau unul personal folosit pentru muncă.
- În ce servicii de lucru erai autentificat? Include aplicațiile AI, conturile de dezvoltare și portalurile care permit administrarea accesului.
- Ai configurat instrumente care folosesc chei API? Spune numele serviciului și proiectului, fără să copiezi cheia în formular.
Răspunsurile alcătuiesc o listă de verificat. Ele nu confirmă automat că fiecare serviciu a fost accesat de atacator. Ajută însă echipa să evite închiderea cazului după recuperarea unui singur cont.
Cine preia fiecare parte a incidentului
- Angajatul oprește folosirea dispozitivului suspect pentru autentificări noi și contactează suportul prin canalul stabilit. Nu instalează un „cleaner” găsit într-un rezultat sponsorizat și nu șterge dovezile pe cont propriu.
- IT și securitatea stabilesc izolarea, colectarea dovezilor și readucerea dispozitivului într-o stare de încredere. Momentul reluării activității trebuie comunicat explicit.
- Administratorul aplicației verifică sesiunile și procedura de revocare disponibilă în serviciul respectiv. Nu presupune că logout-ul din browserul local a închis orice acces.
- Responsabilul integrării inventariază cheile posibil expuse și dependențele lor. Stabilește înlocuirea și revocarea, apoi verifică funcționarea serviciului și absența folosirii cheii vechi.
- Persoana care urmărește consumul AI verifică activitatea neobișnuită și confirmă dacă pragurile configurate doar trimit alerte sau chiar opresc utilizarea.
Tabletop: alerta dispare, consumul continuă
Acesta este un scenariu fictiv de 30 de minute pentru IT, dezvoltare, responsabilul aplicației AI și manager. Facilitatorul folosește date sintetice și cere la fiecare pas o decizie, un responsabil și dovada necesară pentru închiderea acțiunii.
- Prima etapă: un laptop semnalează un infostealer, iar utilizatorul spune că a schimbat parola. Cine verifică starea dispozitivului și cine inventariază aplicațiile deschise?
- A doua etapă: portalul AI nu arată o autentificare nouă evidentă. Ce alte informații cere echipa înainte să concluzioneze că nu există acces neautorizat?
- A treia etapă: consumul unui proiect crește după revocarea sesiunilor utilizatorului. Echipa identifică separat integrarea și cheia API; decide cine poate suspenda utilizarea.
- Ultima etapă: rotația cheii oprește un proces de business. Managerul decide continuitatea temporară, iar dezvoltatorul arată cum validează noua configurație fără să reactiveze secretul expus.
Cum măsori răspunsul
Măsoară timpul până la identificarea responsabililor pentru dispozitiv, aplicație și integrare. Urmărește câte chei au o dependență și o procedură de rotație cunoscute, dacă echipa poate demonstra revocarea și dacă pragul de consum produce efectul așteptat. Notează separat ipotezele rămase deschise; absența unei dovezi dintr-un singur jurnal nu închide investigația.
Pentru următorul ciclu de instruire din Learning Awarely, construiește întrebări pe roluri din blocajele descoperite. Angajatul exersează raportarea fără secrete, help desk-ul predarea completă a cazului, iar managerul decizia de suspendare. Procedurile tehnice și verificarea lor rămân responsabilitatea echipelor care administrează serviciile.