Anthropic advirtió a algunos usuarios de Claude que el malware ladrón de información instalado en sus computadoras podría haber robado sesiones de inicio de sesión activas, que luego se utilizaron para acceder a las cuentas y consumir cuotas de uso sin que sus propietarios lo supieran. La empresa envió una alerta a los usuarios afectados y explicó que cierra la sesión de las cuentas comprometidas, elimina los métodos de pago guardados y reembolsa los cargos que identifica como no autorizados.
Anthropic afirmó que su investigación aún continúa, pero vinculó los casos con malware ladrón de información común que suele infectar los dispositivos a través de descargas o aplicaciones maliciosas. Entre los programas que identificó la empresa se encuentran Vidar, LummaC2, StealC, RedLine y Acreed en Windows, además de Atomic Stealer, conocido como AMOS, en un número limitado de computadoras Mac.
¿Cómo se utilizaron las sesiones robadas?
El malware ladrón de información puede copiar datos almacenados localmente, como las contraseñas del navegador, las cookies de inicio de sesión y las credenciales de otras aplicaciones. Anthropic explicó que la sesión de Claude probablemente fue uno de los datos recopilados por el malware, antes de que un atacante comenzara a extraer y utilizar esas sesiones.
Como la sesión robada ya está autenticada, es posible que el atacante no necesite introducir la contraseña ni superar de nuevo la autenticación de dos factores. Uno de los indicios mencionados por la empresa es que los límites de uso parezcan haberse renovado y luego se consuman rápidamente en un momento en que el usuario no estaba utilizando Claude.
¿Qué está haciendo Anthropic por los usuarios afectados?
La empresa afirma que revocar las sesiones comprometidas detiene el uso de las sesiones robadas, y que también elimina los métodos de pago guardados para limitar las compras no autorizadas. Sin embargo, subrayó que cerrar la sesión no elimina el malware del dispositivo; si el programa sigue activo, la siguiente sesión de inicio de sesión podría ser robada de la misma manera.
Anthropic recomienda a los usuarios afectados cambiar sus credenciales, revocar las demás sesiones y eliminar el malware de sus computadoras antes de volver a iniciar sesión. En el caso de un usuario que compartió el mensaje de la empresa en Reddit, este afirmó que había descargado un juego pirateado, lo que ofrecía una posible explicación para la infección de su dispositivo.
¿Por qué es importante esta noticia?
Estos incidentes muestran que la protección de una cuenta no termina con la contraseña y la autenticación de dos factores si el propio dispositivo está infectado con malware que roba sesiones autenticadas del navegador. El cambio real en este caso no consiste en el descubrimiento de una vulnerabilidad en Claude, ya que Anthropic confirmó que el malware no estaba relacionado con el servicio ni se instaló a través de él, sino en el uso de datos de sesiones robadas para agotar los recursos de la cuenta y posiblemente aprovechar los métodos de pago guardados.
Siguen abiertas las preguntas sobre el alcance de los incidentes, el número de cuentas afectadas y el método utilizado para identificar las sesiones empleadas. Además, las medidas de Anthropic abordan el acceso a la cuenta, pero no sustituyen la inspección del dispositivo infectado ni la eliminación del malware antes de crear una nueva sesión.