צוות מודיעין האיומים של Okta ניתח מאגר נתונים שדלף בגודל 7 גיגה-בייט, שפורסם בערוץ Telegram ומקורו בנוזקות מסוג infostealer, וגילה שבתוכו אלפי טוקני הרשאה (session tokens) ומפתחות API תקפים לשירותי AI כמו Claude ו-ChatGPT. כשמדובר בטוקן הרשאה חי, תוקף לא צריך סיסמה או קוד אימות — הוא פשוט "משתמש מחדש" (replay) בטוקן הגנוב ומקבל גישה לחשבון כאילו הוא המשתמש הלגיטימי, כולל בחשבונות עם אימות דו-שלבי מופעל.
הפרטים
המאגר שנותח, שפורסם ב-2 באוגוסט 2026, הכיל נתונים ממעל 5,800 מכשירים נגועים ב-162 מדינות. Okta מצאה בו כ-1,843 טוקנים תקפים (מסוג JWT) שטרם פקעו, כ-555 מתוכם שייכים ספציפית לשירותי AI, וכ-24 מפתחות API תקפים לשירותים כמו Gemini של Google, OpenAI, ועוד. כ-17.7% מהטוקנים כללו גם מידע אישי בטקסט גלוי — שמות, מספרי טלפון וכתובות אימייל. לפי Jeremy Kirk, מנהל מודיעין האיומים ב-Okta, טוקני הרשאה ומפתחות API מבוקשים במיוחד על ידי תוקפים בדיוק בגלל שאפשר "להפעיל אותם מחדש ולעקוף אימות מבוסס סיסמה". החוקרים מצאו גם עדות לשוק שחור פעיל בטלגרם שמוכר גישה לחשבונות Claude, Cursor, ChatGPT ו-Gemini במחיר מוזל, כולל שירות תמיכה.
נקודות לשים לב
- ההגנה הרגילה — סיסמה חזקה ואימות דו-שלבי — לא עוזרת מול טוקן גנוב, כי הטוקן מחליף את תהליך ההתחברות ולא עובר דרכו. ההגנה האפקטיבית היא זיהוי שימוש חוזר בטוקן (למשל התחברות מאותו טוקן משני מיקומים גיאוגרפיים שונים בפרק זמן קצר).
- אם בארגון שלכם משתמשים בכלי AI בהיקף רחב (במיוחד עם מפתחות API משותפים לצוות) — בדקו שהמכשירים שדרכם ניגשים לכלים האלה מוגנים מפני נוזקות מסוג infostealer, ולא רק שהחשבון עצמו מוגן.
- שקלו מעבר לטוקנים קצרי חיים (short-lived tokens) במקום הרשאות שנשארות תקפות לאורך זמן, והגבלת מפתחות API להרשאות המינימליות הנדרשות בלבד — כך שגם אם טוקן נגנב, החלון לניצולו קצר וההיקף מוגבל.
- העובדה שכמעט 18% מהטוקנים כללו מידע אישי בטקסט גלוי היא תזכורת שדלף טוקן הרשאה הוא גם דלף מידע אישי, לא רק סיכון לגישה לא מורשית לחשבון.
- המחקר מבוסס על ניתוח מאגר נתונים שדלף וכבר פורסם, ולא על דיווח מארגון ספציפי שנפרץ — אין להסיק שספקי ה-AI עצמם נפרצו; מקור הדליפה הוא נוזקות שפעלו במכשירי הקצה של המשתמשים.
מקורות: The Hacker News · Okta Threat Intelligence
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
