Okta Japan株式会社は9月10日、AIアクセスのアンダーグラウンド市場の現状について発表した。
Okta脅威インテリジェンスチームでは、過去数ヶ月にわたりアンダーグラウンドのAI経済を調査してきたが、その手口は「AIアカウントの乗っ取り」と「偽アカウントの登録」の2つに大別されるという。
AIアカウントを乗っ取るために、攻撃者は必ずしもユーザー名とパスワードを必要とせず、代わりに、何度もパスワードを入力することなくログイン状態を維持する「セッショントークン」や、マシンに持続的なアクセスを提供する「APIキー」などの万能鍵（スケルトンキー）を盗み出す。
ハッカーがユーザーをだましてマルウェア（人気ビデオゲームのトロイの木馬化されたバージョンなど）をダウンロードさせると、コンピューターをインフォスチーラーに感染させることができ、これらの悪意のあるプログラムは、ブラウザからセッショントークンやAPIキーを静かに吸い上げる。
攻撃者は「アンチディテクト」ウェブブラウザやプロキシネットワークを使用して、盗まれたセッショントークンを再利用することで、ログイン画面を完全にバイパスでき、実際にはサインインすることなく事実上サインインした状態になり、従来の資格情報ベースの認証や多要素認証（MFA）を完全に回避する。
Okta脅威インテリジェンスチームでは2026年8月2日に、Telegramチャンネルで公開されたインフォスチーラーデータのダンプを分析した結果、7GBのデータセットに162ヶ国に散らばる5,871台の感染マシンからのログが含まれていた。同チームでは、主要なテックおよびAIプロバイダーの有効で期限切れ前のセッショントークンを数千個、プレーンテキストで保存された数十個の有効なAPIキーを発見している。また、攻撃者は別のデジタルアクセスバッジの形態であるJSON Web Token（JWT）も数千個盗み出していた。
