WardenStealer y Aoki ya no se conforman con las contraseñas del navegador: estos dos ladrones de información para Windows recogen tokens de IA de Claude Code, Codex, Cursor y GitHub Copilot, y abren las cuentas sin contraseña. La firma SpyCloud lo comprobó en registros de infecciones reales recuperados de fuentes criminales. Solo de WardenStealer, la firma ingresó más de 130.000 infecciones únicas desde que lo vio por primera vez el 3 de agosto de 2026.
El detalle que cambia el problema es el tipo de archivo robado. Una contraseña guardada se cambia y listo. Los archivos de las herramientas de IA guardan otra cosa: credenciales OAuth, el protocolo que autoriza a una aplicación a entrar en una cuenta sin repetir el ingreso, con sus tokens de acceso y de refresco, claves API permanentes y la configuración local. Un token de refresco pide tokens nuevos: ese acceso sobrevive al cambio de contraseña y a la verificación en dos pasos.
Un archivo de Claude Code vale más que la contraseña
WardenStealer está escrito en Rust, se vende como servicio por suscripción y se anuncia abiertamente en los foros criminales en ruso Exploit y XSS. Gen Digital, la empresa dueña de Norton y Avast, lo sigue como el mismo programa que antes llamaba CallbackBeaver, con primeras versiones de mayo de 2026. La recolección de IA llegó a la versión estándar 1.9 el 29 de septiembre.
En los registros revisados por SpyCloud, la carpeta de Claude Code traía el archivo de credenciales OAuth con los tokens de acceso y de refresco de la cuenta, con los tokens de los servidores MCP conectados, el Protocolo de Contexto de Modelo que enlaza el asistente con otros servicios. Venían además la configuración con los identificadores del usuario y de la máquina, y el CLAUDE.md, sus instrucciones permanentes. De Codex salió su archivo de autenticación, con una clave API de OpenAI junto a sus tokens. El resto del botín suma AnyDesk, TeamViewer, Steam, Telegram y Discord. Las credenciales de Claude Code ya aparecieron expuestas en repositorios públicos por otra vía; esta segunda copia los tokens de IA directo de la computadora del programador.
Aoki juega distinto. Apareció en los datos de SpyCloud el 4 de octubre de 2026, está escrito en Go y ordena el robo en carpetas con nombre propio: Navegador, Juegos, Mensajeros, FTP y una dedicada a la IA, AISessions, con una subcarpeta por herramienta: ChatGPT, Claude Code, Codex, GitHub Copilot, Cursor y Claude Desktop. Lo más peligroso, de acuerdo con SpyCloud, son las cookies guardadas en formato Netscape: las aplicaciones de escritorio de ChatGPT y de Claude guardan sus cookies de sesión en el disco, igual que un navegador, porque su ventana interna usa Chromium, el motor de Chrome. Una cookie viva permite retomar la sesión ya abierta, sin contraseña y sin el aviso de verificación. Dos indicadores lo delatan, y Symantec lo analizó el 15 de octubre sin ligarlo a otra familia: archivos en la carpeta temporal con el prefijo akg_ y tráfico hacia el dominio de mando neihite.cc.
El crédito robado de IA ya tiene precio de remate
El robo tiene comprador porque la inferencia, el trabajo de los modelos al responder, cuesta dinero real. SpyCloud rastreó la cháchara criminal en Telegram y encontró tiendas clandestinas que venden suscripciones de IA y crédito de API con entrega automática. Un catálogo ofrecía una clave de Codex con US$100 de crédito por US$8,94, y un token de Claude con el mismo saldo al mismo precio. Un bot prometía acceso a OpenAI y Anthropic hasta 91 por ciento más barato, con depósitos desde US$1.
Debajo de las tiendas hay una capa mayorista. Un servicio paga comisión a quien suba claves ajenas: 35 por ciento de la facturación en claves de Anthropic y de Claude en Amazon Bedrock, 20 por ciento en claves de OpenAI, con pagos diarios. Ese circuito alimenta el LLMjacking: correr IA con la cuenta de otro y dejarle la factura. Sysdig calculó en 2024 que una sola cuenta abusada podía pasar de US$46.000 diarios en cargos, en su escenario más caro. SpyCloud aclara el límite de su hallazgo: no puede confirmar que todo lo vendido saliera de programas ladrones, porque parte pudo venir de secretos filtrados en código o de engaños de inicio de sesión, y Gen Digital matiza que el acceso duradero depende del alcance y la vida de cada token.
La entrada sigue siendo la de siempre: señuelos ClickFix, anuncios falsos en buscadores, trampas para juegos e instaladores alterados. La respuesta que piden SpyCloud y Gen Digital cambia el orden de la limpieza: primero se aísla la computadora y se limpia o reinstala, porque rotar claves con el ladrón dentro le entrega las nuevas; las sesiones se revocan desde un equipo limpio, cuenta por cuenta; las claves API expuestas se rotan, incluidas las de los servidores MCP conectados, y se vigila el consumo de API: un pico raro en la factura delata el LLMjacking. Cambiar solo la contraseña deja vivos los tokens de IA que el ladrón ya se llevó.
SpyCloud advierte que su cifra de infecciones recientes viene incompleta, con registros atrasados por entregar: los 130.000 casos de WardenStealer van a subir cuando lleguen los archivos atrasados, y cada registro nuevo puede traer una carpeta de IA que hace un año ni existía en estos botines.
Fuente: SpyCloud
