Angkanya tidak main-main. Dalam satu insiden, tagihan curang bisa melampaui US$100.000 dalam sehari, dan di beberapa perusahaan totalnya mencapai US$1 juta sebelum akses peretas dicabut.
Salah satu kelompok yang dilacak Google, UNC6993, masuk lewat service account key yang salah konfigurasi, lalu mencoba membuat API key tambahan dan mengaktifkan layanan di proyek cloud korban. Kelompok lain menjalankan Jet Night, layanan penyalur token yang dalam waktu kurang dari delapan jam melakukan lebih dari 500.000 panggilan API dan membebankan hampir US$1 juta ke satu korban.
Ironisnya, akses curian itu dijual murah. Jet Night menawarkan paket unlimited sekitar US$60 per bulan, padahal tarif resmi yang sebanding berada di kisaran US$100–250. Jalur penjualannya lewat apa yang disebut Google sebagai LLM Mixers, gerbang yang mengarahkan dan menjual kembali akses model tanpa izin.
Pintu masuknya sering kali sepele: API key yang tersebar di repositori publik, token akses pribadi GitHub, atau token sesi yang masih aktif. Buat developer muda, pelajarannya sederhana: kunci API bukan sekadar string, tapi dompet yang tagihannya jalan terus kalau jatuh ke tangan yang salah.
