En un inquietante informe de ciberseguridad publicado el 2 de noviembre de 2026, Google Threat Intelligence Group (GTIG) y Mandiant han desvelado el crecimiento del fenómeno conocido como LLMjacking. Este nueva táctica de ciberdelincuencia implica el uso de credenciales robadas en la nube para acceder de manera no autorizada a modelos de lenguaje de gran tamaño (LLM), llevando a las organizaciones atacadas a enfrentar facturas inesperadas y astronómicas, que pueden superar los 100.000 dólares en un solo día. En algunos casos, estos cargos se acumularon hasta alcanzar cifras cercanas al millón de dólares antes de que las empresas afectadas cortaran el acceso.
El informe destaca que las víctimas de estos ataques pertenecen a sectores diversos como los servicios financieros, el comercio minorista, la tecnología y el transporte, con presencia en regiones como Norteamérica, Sudamérica y Asia-Pacífico. La manera en que se perpetran estos ataques a menudo involucra la exposición de claves, el robo de tokens de sesión y el aprovechamiento de pasarelas vulnerables o servicios de reventa.
Aunque las principales plataformas como AWS, Microsoft Azure y Google Cloud proporcionan herramientas para gestionar presupuestos y establecer alertas, no todas ofrecen mecanismos automáticos para frenar el gasto una vez que se supera un determinado umbral. Por ejemplo, Microsoft Azure simplemente notifica al usuario cuando se alcanzan ciertos límites, sin detener automáticamente el consumo, lo que puede dejar a las organizaciones expuestas hasta recibir la alerta horas después de iniciado el ataque. Google, por su parte, permite configurar funciones que pueden detener los recursos al recibir notificaciones de presupuesto, pero esto requiere de acciones manuales por parte del usuario. AWS es el único proveedor que facilita acciones automáticas de bloqueo, aunque también depende de datos de facturación que pueden tener un retraso.
El LLMjacking no es un concepto nuevo. Según el informe, fue acuñado por Sysdig en 2024, y Microsoft ha emprendido acciones legales en el pasado contra redes que explotaron servicios en la nube con credenciales robadas. Sin embargo, la rapidez y magnitud de los cargos asociados a LLMjacking lo diferencian de otras formas de abuso en la nube, como el cryptojacking.
Ante esta situación, GTIG recomienda a las empresas establecer controles preventivos como cuotas de API, límites de gasto por modelo, y la gestión estricta de identidades y credenciales. Además, subraya la importancia de que los equipos de seguridad y financieros trabajen de manera conjunta para abordar las amenazas y manejar los costos de la IA, un gasto que ya no se circunscribe al ámbito tecnológico sino que impacta directamente en el balance financiero.
En un contexto donde el abuso de credenciales está reemplazando al malware como el principal riesgo silencioso, la vigilancia proactiva y la implementación de medidas de control se tornan críticas para proteger a las organizaciones de sorpresas desagradables en su factura de la nube.
