Expediente wiz-llmjacking-cloud-billing-adsLLMjackingGlobal
Phishing mediante anuncios de búsqueda secuestra cuentas de facturación en la nube para un uso no autorizado de API de LLM
Wiz CIRT indica que los atacantes compraron anuncios de Google Search para términos como “google cloud” que dirigían a páginas falsas de inicio de sesión de Google, capturaban credenciales y códigos MFA y, después, vinculaban proyectos de GCP controlados por los atacantes a las cuentas de facturación de las víctimas. En un plazo de 24 a 48 horas, las organizaciones víctimas vieron cargos de decenas a cientos de miles de USD por uso no autorizado de la API de Gemini. Google Ads retiró la campaña maliciosa tras ser notificada.
AltaAtaque a la IAEstado: En investigaciónExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 20 oct 2026
- Ubicación
- Global
- Objetivo
- Organizaciones con usuarios privilegiados de Google Cloud (GCP) y cuentas de facturación
- Gravedad
- Alta
- Verificación
- Reportado por prensa o investigadores fiables
- Provocado por
- Actor(es) de amenazas desconocido(s)
- Tipo de actor
- Criminal
- Sector
- Multisectorial
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Wiz CIRT indica que los atacantes compraron anuncios de Google Search para términos como “google cloud” que dirigían a páginas falsas de inicio de sesión de Google, capturaban credenciales y códigos MFA y, después, vinculaban proyectos de GCP controlados por los atacantes a las cuentas de facturación de las víctimas. En un plazo de 24 a 48 horas, las organizaciones víctimas vieron cargos de decenas a cientos de miles de USD por uso no autorizado de la API de Gemini. Google Ads retiró la campaña maliciosa tras ser notificada.
Impacto: Se incurrió en cientos de miles de USD en uso no autorizado de API de IA, según Wiz Research.
Quién lo provocó
Actor: Actor(es) de amenazas desconocido(s)
Atribución: Wiz Research describe a los actores de amenazas, pero el resumen no los nombra.
Motivo: Beneficio económico mediante el uso gratuito de API de LLM facturadas a las víctimas.
Cómo ocurrió
Vector de ataque: Anuncio malicioso de Google Search que conduce a phishing, robo de credenciales y, después, secuestro de la cuenta de facturación en la nube.
Causa raíz: Las credenciales de las víctimas fueron obtenidas mediante phishing a través de un anuncio de búsqueda malicioso, lo que dio a los atacantes el control de las cuentas de facturación.
Cronología
- Informado por Wiz Research
Respuesta
Wiz Research publicó sus hallazgos. El resumen no indica otras respuestas.
Estado actual: En investigación
Advertencias de la investigación con las que coincide este caso
- Vista en incidentes reales Privacidad y seguridad · MIT AI Risk Repository
Comparado con la investigación publicada por varios institutos sobre riesgos de la IA en la página Investigación frente a realidad.
Fuentes (pestaña nueva)
- Wiz Research wiz.io
- Cloud Security Alliance Labs labs.cloudsecurityalliance.org
Citar este expediente
Phishing mediante anuncios de búsqueda secuestra cuentas de facturación en la nube para un uso no autorizado de API de LLM. AI Threat Watch, expediente wiz-llmjacking-cloud-billing-ads, 20 oct 2026. https://aithreat.io/es/cases/wiz-llmjacking-cloud-billing-ads/
Enlace permanente: https://aithreat.io/es/cases/wiz-llmjacking-cloud-billing-ads/
Casos relacionados
El mismo tipo de incidente, del más reciente al más antiguo.