Anthropic a mis en garde contre l’utilisation de logiciels voleurs d’informations pour dérober les sessions de connexion actives à Claude, ce qui permet aux attaquants de consommer les quotas d’utilisation et d’accéder aux comptes sans devoir saisir à nouveau le mot de passe ni passer l’authentification à deux facteurs. L’entreprise affirme déconnecter les comptes concernés, supprimer les moyens de paiement enregistrés et rembourser les frais non autorisés, mais souligne que ces mesures ne suppriment pas le logiciel malveillant de l’appareil de l’utilisateur.
Anthropic a averti certains utilisateurs de Claude que des voleurs d’informations installés sur leurs ordinateurs avaient dérobé des sessions de connexion actives, puis les avaient utilisées pour accéder aux comptes et consommer les quotas d’utilisation à l’insu de leurs propriétaires. L’entreprise a envoyé une alerte aux utilisateurs concernés, précisant qu’elle déconnectait les comptes compromis, supprimait les moyens de paiement enregistrés et remboursait les frais qu’elle identifiait comme non autorisés.
Anthropic a déclaré que son enquête était toujours en cours, mais a établi un lien entre ces incidents et des voleurs d’informations courants qui infectent généralement les appareils par l’intermédiaire de téléchargements ou d’applications malveillants. Les logiciels identifiés par l’entreprise comprennent Vidar, LummaC2, StealC, RedLine et Acreed sur Windows, ainsi qu’Atomic Stealer, connu sous le nom d’AMOS, sur un nombre limité de Mac.
Comment les sessions volées ont-elles été utilisées ?
Les voleurs d’informations peuvent copier des données stockées localement, comme les mots de passe du navigateur, les cookies de connexion et les identifiants d’autres applications. Anthropic a expliqué que la session Claude faisait probablement partie des données collectées par le logiciel, avant qu’un attaquant ne commence à extraire ces sessions et à les utiliser.
Comme la session volée est déjà authentifiée, l’attaquant peut ne pas avoir besoin de saisir le mot de passe ni de passer à nouveau l’authentification à deux facteurs. Parmi les signes mentionnés par l’entreprise figure le fait que les limites d’utilisation semblent avoir été réinitialisées, puis rapidement consommées à un moment où l’utilisateur n’utilisait pas Claude.
Que fait Anthropic pour les utilisateurs concernés ?
L’entreprise affirme que l’annulation des sessions compromises empêche l’utilisation des sessions volées, tandis qu’elle supprime également les moyens de paiement enregistrés afin de limiter les achats non autorisés. Elle a toutefois insisté sur le fait que la déconnexion ne supprime pas le logiciel malveillant de l’appareil ; si le logiciel reste actif, la prochaine session de connexion pourrait être volée de la même manière.
Anthropic recommande aux utilisateurs concernés de modifier leurs identifiants, d’annuler les autres sessions et de supprimer le logiciel malveillant de leurs ordinateurs avant de se reconnecter. Dans le cas d’un utilisateur ayant partagé le message de l’entreprise sur Reddit, celui-ci a déclaré avoir téléchargé un jeu piraté, ce qui fournit une explication possible à l’infection de son appareil.
Pourquoi cette information est-elle importante ?
Ces incidents montrent que la protection d’un compte ne s’arrête pas au mot de passe et à l’authentification à deux facteurs si l’appareil lui-même est infecté par un logiciel qui vole les sessions authentifiées du navigateur. Le changement réel ne consiste pas en la découverte d’une faille dans Claude, car Anthropic a confirmé que les logiciels n’étaient pas liés au service et n’y avaient pas été installés, mais en l’utilisation de données de session volées pour épuiser les ressources du compte et éventuellement exploiter les moyens de paiement enregistrés.
Les questions restant ouvertes concernent l’ampleur des incidents, le nombre de comptes touchés et la méthode utilisée pour identifier les sessions exploitées. Les mesures d’Anthropic traitent l’accès au compte, mais ne dispensent pas d’examiner l’appareil infecté et de supprimer le logiciel avant de créer une nouvelle session.