En el ámbito de la ciberseguridad, un nuevo fenómeno ha emergido como una amenaza significativa para las finanzas corporativas: el LLMjacking. Según un informe reciente de Google Threat Intelligence Group (GTIG) y Mandiant, publicado el 2 de noviembre de 2026, este método de ataque, que implica el uso indebido de credenciales de la nube para explotar modelos de lenguaje de gran tamaño (LLM), ha resultado en cobros exorbitantes para las organizaciones afectadas. Algunas de ellas han experimentado facturas superiores a los 100,000 dólares en tan solo un día, y en casos más extremos, los costos han ascendido a un millón de dólares antes de que se pudiera cortar el acceso.
Este problema no se limita a un sector en específico, ya que las víctimas se encuentran en diversas industrias, como servicios financieros, comercio minorista, tecnología y transporte, con operaciones en Norteamérica, Sudamérica y Asia-Pacífico. Los atacantes han utilizado una combinación de claves expuestas, tokens de sesión robados y servicios de reventa para llevar a cabo estos ataques, transfiriendo el costo del consumo de IA a las organizaciones cuyos sistemas han sido comprometidos.
A diferencia de otros abusos relacionados con la nube, la rapidez con la que se pueden acumular los costos en un ataque de LLMjacking es alarmante. Un ejemplo destacado en el informe es el de Jet Night, un servicio de reventa que generó más de 500,000 llamadas a la API en menos de ocho horas, lo que resultó en una factura cercana al millón de dólares para una sola empresa. Este tipo de operación se comercializaba a precios sorprendentemente bajos, lo que sugiere que el acceso era obtenido de manera fraudulenta.
La mayor parte del costo recae en la empresa afectada. A pesar de que los grandes proveedores de servicios cloud como AWS, Azure y Google Cloud cuentan con mecanismos de presupuestos y alertas, estas medidas a menudo no son suficientes para detener el gasto antes de que se produzca un daño financiero significativo. Las herramientas actuales ofrecen notificaciones cuando se supera un cierto umbral de gasto, pero no siempre tienen la capacidad de cortar de inmediato el consumo. Por ejemplo, los presupuestos de Microsoft Azure solo emiten alertas, y su acción requeriría intervención manual programada.
Para mitigar estos riesgos, GTIG recomienda la implementación de controles proactivos, como establecer cuotas de API, limitar el uso de claves de API según el modelo y denegar explícitamente los servicios de LLM que no son necesarios para la empresa. Además, aboga por una colaboración más estrecha entre los equipos de FinOps y seguridad para establecer controles que actúen antes de que el gasto se materialice.
En conclusión, el LLMjacking representa una amenaza financiera creciente para las empresas que dependen de la inteligencia artificial en la nube. La velocidad y magnitud de los costos asociados a estos ataques subrayan la necesidad de mejores prácticas en la gestión de credenciales y gastos en la nube, así como una mayor conciencia en la intersección entre seguridad y finanzas. Las organizaciones deben adoptar medidas proactivas para salvaguardar sus operaciones y mitigar el impacto financiero de posibles ataques.
Más información y referencias en Noticias Cloud.
