---
title: "LLMjacking: cuando una clave robada convierte la IA en una factura de un millón"
description: "Google y Mandiant documentan ataques de LLMjacking con cargos de hasta un millón de dólares. Quién paga, por qué las alertas llegan tarde y qué ofrecen AWS, Azure y Google Cloud para limitar el gasto."
url: https://revistacloud.com/llmjacking-factura-ia-nube-finops-gobernanza/
date: 2026-11-05
modified: 2026-11-05
author: "Antonio"
image: https://revistacloud.com/wp-content/uploads/2026/11/ai-photorealistic-editorial-image-of-an-empty-modern-corporate-RZ2aah.png
categories: ["Cloud", "Inteligencia artificial", "Seguridad"]
tags: ["aws", "azure", "ciberseguridad", "credenciales", "finops", "gobernanza", "google cloud", "LLM", "Mandiant", "seguridad cloud"]
type: post
lang: es
---

# LLMjacking: cuando una clave robada convierte la IA en una factura de un millón

**Google Threat Intelligence Group (GTIG) y Mandiant han documentado en 2026 varios casos de LLMjacking, el uso de credenciales cloud robadas para consumir modelos de lenguaje de gran tamaño (LLM) a costa de una empresa, en los que las víctimas sumaron cargos de más de 100.000 dólares en un solo día y, en algunas organizaciones, hasta un millón de dólares acumulado antes de cortar el acceso.** El informe, publicado el 2 de noviembre de 2026, pone el foco en un problema que ya no es solo de seguridad: la factura de la IA puede dispararse en horas.

**Las claves del LLMjacking y la factura cloud en 20 segundos**

- Google y Mandiant describen en un informe del 02/11/2026 ataques de LLMjacking contra empresas de varios sectores.
- Hubo cargos de más de 100.000 dólares en un día y hasta un millón acumulado.
- El consumo se carga a la organización cuyas credenciales se usaron.
- AWS, Azure y Google ofrecen presupuestos y alertas, pero no todos cortan el gasto por sí solos.

Las víctimas pertenecen a los servicios financieros, el comercio minorista, la tecnología y el transporte, con presencia en Norteamérica, Sudamérica y Asia-Pacífico. El mecanismo técnico (claves expuestas, tokens de sesión robados, pasarelas vulnerables y servicios de reventa) está explicado en detalle en el [análisis de OpenSecurity sobre cómo se roba el acceso a los modelos y qué registros revisar](https://www.opensecurity.es/llmjacking-robo-acceso-modelos-ia-nube-deteccion/). Aquí interesa la otra cara: quién paga, por qué las alertas llegan tarde y qué herramientas ofrecen los grandes proveedores para poner un techo al gasto.

El fenómeno tampoco es nuevo. Sysdig acuñó el término en mayo de 2024 y calculó que, en el peor escenario y con un modelo Claude 2.x al límite de cuota en varias regiones, el coste para una víctima podía superar los 46.000 dólares al día. Microsoft, por su parte, demandó entre diciembre de 2024 y febrero de 2025 a los integrantes de Storm-2139, una red que entró en Azure OpenAI Service con credenciales de clientes expuestas en fuentes públicas y revendió ese acceso.

## Una factura que crece en horas y la paga el titular

La diferencia con otros abusos de la nube es la velocidad. Según GTIG, mientras el cryptojacking consume recursos de forma gradual, el LLMjacking puede generar grandes picos de cargos en cuestión de horas. El caso más llamativo del informe es el de Jet Night, un servicio de reventa que ejecutó más de 500.000 llamadas a la API en menos de ocho horas y trasladó a una sola organización casi un millón de dólares en coste de tokens. Ese mismo servicio vendía acceso ilimitado por unos 60 dólares al mes. Google atribuye esos precios anormalmente bajos a que el acceso a los modelos es robado.

En varios incidentes los servicios de IA ni siquiera estaban activados: los atacantes los habilitaron, aceptaron acuerdos de pago por uso para modelos premium y pidieron cuota adicional de GPU. Para el departamento financiero, eso significa que una cuenta sin ningún proyecto de IA puede amanecer con una factura de IA.

El coste lo asume, en principio, la empresa atacada. Los proveedores trabajan con el modelo de responsabilidad compartida. AWS lo resume como su responsabilidad sobre la seguridad «de» la nube, mientras que al cliente le corresponde la seguridad «en» la nube, lo que incluye la gestión de identidades, permisos y credenciales. GTIG habla expresamente de costes «trasladados a la organización víctima», y ninguna de las fuentes consultadas recoge un compromiso general de devolución por consumo fraudulento. Cualquier ajuste depende del proveedor y del caso, así que la empresa debe planificar como si el cargo fuera suyo.

## Qué ofrecen AWS, Azure y Google Cloud para limitar el gasto

Los tres grandes proveedores tienen presupuestos y alertas, pero se comportan de forma distinta cuando se supera el umbral. Conviene conocer la letra pequeña antes de confiar en ellos como freno.

| Proveedor | Herramienta | ¿Corta el gasto? |
| --- | --- | --- |
| AWS | AWS Budgets con acciones | Puede aplicar una política IAM de denegación, una política de control de servicios (SCP) o actuar sobre instancias EC2 y RDS, de forma automática o tras aprobación manual. |
| Microsoft Azure | Presupuestos de Cost Management | No. Solo avisan; los grupos de acciones pueden lanzar Azure Functions o webhooks que el cliente debe programar. |
| Google Cloud | Presupuestos de Cloud Billing | No por sí solos. Envían notificaciones por Pub/Sub que una función puede usar para detener recursos o desactivar la facturación. |

Microsoft lo deja claro en su documentación. Cuando se supera un umbral, según su tutorial de presupuestos (traducción propia), «los recursos no se ven afectados y su consumo no se detiene». Además, los datos de coste suelen estar disponibles entre 8 y 24 horas después y los presupuestos se evalúan cada 24 horas. Con un ataque capaz de generar 100.000 dólares en un día, la alerta puede llegar cuando el daño ya está hecho.

Google propone conectar las notificaciones de presupuesto con una función que detenga recursos de forma selectiva, y advierte de la alternativa radical: al desactivar la facturación de un proyecto todos los servicios se detienen y los recursos acaban borrándose. AWS es el único de los tres que integra en el propio presupuesto acciones de bloqueo, aunque también depende de datos de facturación con retraso.

Por eso GTIG insiste en controles que actúan antes de que el gasto exista: cuotas de API y límites de gasto por modelo, claves de API acotadas por modelo, entorno y uso, y denegación explícita de los servicios de LLM que la empresa no necesita. En AWS Organizations, una SCP puede restringir qué modelos y regiones se pueden invocar en todas las cuentas.

## FinOps y seguridad, en la misma mesa

El LLMjacking cae entre dos equipos que muchas veces no se hablan. Seguridad vigila credenciales y registros; el equipo de gestión financiera de la nube (FinOps) vigila la factura. El gasto en IA ya obligaba a revisar las prácticas de FinOps, porque [controlar el coste cloud ya no consiste solo en gastar menos](https://revistacloud.com/finops-controlar-coste-cloud/), y este tipo de ataque añade un componente de seguridad.

Las recomendaciones del informe de Google y la documentación de los proveedores permiten trazar una lista práctica para cualquier empresa que use o pueda usar modelos en la nube:

- Inventario de servicios de IA activados en cada cuenta, suscripción y proyecto, con responsable asignado. GTIG lo llama descubrimiento de «Shadow LLM».
- Denegación por defecto de los modelos y regiones no aprobados, con excepciones documentadas.
- Presupuestos por proyecto con acciones automáticas donde la plataforma lo permita y automatizaciones propias donde no.
- Cuotas por modelo que actúen como techo técnico, independientes de la facturación.
- Gestión centralizada de secretos, rotación automática y autenticación multifactor resistente al phishing para quien pueda crear claves.

Hay un último matiz. Revocar la clave robada no cierra el incidente, porque los atacantes crean cuentas, claves y cuentas de servicio de reserva, algunas disfrazadas de herramientas internas de optimización de la facturación. Que un intruso camufle su puerta trasera como una utilidad de FinOps resume bien por qué ambos equipos tienen que revisar juntos qué identidades existen y quién las creó. El robo de credenciales lleva tiempo siendo la vía preferida de los atacantes, como reflejaba Revista Cloud al contar cómo [el abuso de credenciales desplaza al malware como gran riesgo silencioso](https://revistacloud.com/el-abuso-de-credenciales-desplaza-al-malware-como-gran-riesgo-silencioso/). Con la IA de pago por uso, ese riesgo se mide directamente en la factura.

## Preguntas frecuentes

### ¿Quién paga la factura de un ataque de LLMjacking?

El consumo se factura a la cuenta cuyas credenciales se usaron. Bajo el modelo de responsabilidad compartida, la gestión de identidades y credenciales corresponde al cliente, y las fuentes consultadas no recogen un compromiso general de devolución.

### ¿Cuánto puede costar un LLMjacking?

Google documentó cargos de más de 100.000 dólares en un solo día y hasta un millón de dólares acumulado en algunas organizaciones. En 2024, Sysdig estimó un coste de más de 46.000 dólares diarios en su peor escenario.

### ¿Los presupuestos de Azure detienen el gasto?

No. Microsoft indica que, al superar el umbral, los recursos no se ven afectados ni se detiene el consumo. Hay que programar la respuesta con grupos de acciones, por ejemplo mediante Azure Functions.

### ¿Cómo puede una empresa limitar el gasto en IA en la nube?

Con cuotas por modelo, denegación de los servicios no aprobados, presupuestos con acciones automáticas y claves de API acotadas. Las alertas de facturación ayudan, pero llegan con retraso.

**Fuentes:**

- [Google Threat Intelligence Group: The Rise of LLMJacking (02/11/2026)](https://cloud.google.com/blog/topics/threat-intelligence/llmjacking-monetizing-compromised-cloud-models)
- [OpenSecurity: LLMjacking, así roban el acceso a modelos de IA en la nube](https://www.opensecurity.es/llmjacking-robo-acceso-modelos-ia-nube-deteccion/)
- [Sysdig: LLMjacking (06/05/2024)](https://www.sysdig.com/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack)
- [Microsoft: Disrupting a global cybercrime network abusing generative AI (27/02/2025)](https://blogs.microsoft.com/on-the-issues/2025/02/27/disrupting-cybercrime-abusing-gen-ai/)
- [AWS: Configuring budget actions](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/budgets-controls.html)
- [AWS: Shared Responsibility Model](https://aws.amazon.com/compliance/shared-responsibility-model/)
- [Microsoft Learn: Create and manage budgets](https://learn.microsoft.com/azure/cost-management-billing/costs/tutorial-acm-create-budgets)
- [Google Cloud: Control resource usage with notifications](https://docs.cloud.google.com/billing/docs/how-to/control-usage)
- [elhacker.net](https://blog.elhacker.net/2026/11/lanzan-ataques-llmhijacking-y-dejan.html)