O verão de 2026 marcou a indústria de segurança com um novo termo: o login de IA roubado. Em agosto, a Anthropic respondeu a incidentes de sequestro de sessões do Claude, deslogando usuários, limpando métodos de pagamento salvos e reembolsando cobranças não autorizadas, conforme reportado pela BleepingComputer.

Se aquele foi o lado da oferta, um relatório recente da SOCRadar investiga a demanda: as empresas cujos empregados são as credenciais comercializadas. A pesquisa analisou mais de um milhão de registros de infostealers relacionados a serviços de IA em mais de 80 mil domínios corporativos, refinando o conjunto para 482 empresas estabelecidas. O objetivo era responder a uma pergunta: quando um login de IA aparece em um log de roubos, de quem é e o que o comprador herda?

Dos 482 participantes, 68% são organizações bilionárias em 36 países e oito setores, concentradas na América do Norte, muitas delas listadas pela Forbes. Entre elas, localizaram-se 5.434 registros de logs de roubos vinculados a 1.500 endereços corporativos distintos, e 295 dessas empresas surgiram apenas nos últimos 90 dias.

Desagregando os dados por plataforma, um nome dominou o cenário. Sessões capturadas do ChatGPT ou OpenAI apareceram para 358 das 482 empresas, que carregam aproximadamente 90% de todos os registros do estudo. Plataformas como Zapier, Notion, Hugging Face, Replit, Lovable e ElevenLabs aparecem muito atrás.

Essa disparidade é relevante, mas o ponto mais interessante é quem está ausente. Não há Claude entre os principais. Nenhuma representação do Gemini. A SOCRadar interpreta essa dominância quase total do ChatGPT como um sinal de IA sombra, não como um julgamento sobre a segurança de qualquer fornecedor. O vantagem de primeiro-movimento significa que muitos empregados se registraram silenciosamente com um e-mail corporativo em um dispositivo pessoal, e essa é a população que os infostealers exploram. À medida que a adoção de outros assistentes se iguala, espera-se que esse gráfico se equilibre.

A lição para um CISO não é escolher um assistente mais seguro, mas que a exposição acompanha os usuários, e eles estão em todo lugar onde sua política não chega. Uma conta de IA é simultaneamente um arquivo pesquisável, um mecanismo de execução, um recurso cobrável e uma identidade. Uma sessão roubada entrega os quatro em um só, sem pedir senha. Funcionários colam código-fonte, registros de clientes, contratos e planos não divulgados em prompts, tornando a conta um armazém de memória corporativa.

Um cookie roubado é uma sessão ativa. Conforme Jeremy Kirk, da Okta, tokens de sessão e API keys são buscados justamente porque podem ser retransmitidos para bautenticar baseada em credenciais. Rotacionar a senha deixa o invasor logado. Plataformas de automação mantêm permissões OAuth permanentes em CRM, e-mail e armazenamento. Uma sessão roubada do Zapier permite a um atacante criar um fluxo que exfiltr dados em horários programados, a partir de um IP confiável do fornecedor.

Chaves copiadas para um aplicativo de notas ou em configurações de espaço de trabalho são roubadas junto com tudo o mais, e então cobradas da vítima ou revendidas. Vendors subterrâneos vendem acesso descontado a contas de Claude, Gemini e Cursor com garantia de reembolso. Empresas de tecnologia e serviços de internet são o maior grupo, com 144 empresas e 40% de todos os registros, mantendo dados para muitos clientes downstream. Setores como industriais, serviços financeiros, varejo, saúde e energia também aparecem fortemente.

Desagregando os setores pelo tipo de IA exposta, o perfil de risco muda. A exposição a plataformas LLM é quase universal, mais alta em energia, afetando 93% das empresas. A exposição a agentes e automação, que carrega a autoridade do funcionário para outros sistemas, concentra-se em saúde, serviços financeiros e tecnologia. Nenhum disso exige um enxame de agentes autônomos. Basta um funcionário, um laptop não gerenciado, uma senha salva do ChatGPT e um infostealer comum à venda em canais Telegram desde 2022.

Os controles não são exóticos. O que é novo é que as plataformas de IA agora pertencem à mesma categoria que seu provedor de identidade e seus repositórios de código. A resposta da Anthropic ao seu próprio incidente é o modelo digno de cópia: invalidou sessões, removeu os métodos de pagamento que os atacantes abusavam e notificou as pessoas cujas máquinas estavam infectadas antes que a fraude se espalhasse.

Com informações de: BleepingComputer