A Anthropic alertou alguns usuários do Claude de que malwares ladrões de informações instalados em computadores podem ter roubado sessões de login ativas, que depois foram usadas para acessar contas e consumir cotas de uso sem o conhecimento dos proprietários. A empresa enviou um aviso a usuários afetados, explicando que desconecta as contas comprometidas, remove os métodos de pagamento salvos e reembolsa as cobranças que identifica como não autorizadas.
A Anthropic afirmou que sua investigação ainda está em andamento, mas associou os casos a malwares genéricos de roubo de informações que normalmente infectam dispositivos por meio de downloads ou aplicativos maliciosos. Entre os malwares identificados pela empresa estão Vidar, LummaC2, StealC, RedLine e Acreed no Windows, além do Atomic Stealer, conhecido como AMOS, em um número limitado de Macs.
Como as sessões roubadas foram usadas?
Os malwares ladrões de informações conseguem copiar dados armazenados localmente, como senhas do navegador, cookies de login e credenciais de outros aplicativos. A Anthropic explicou que a sessão do Claude provavelmente estava entre os dados coletados pelo malware, antes que um invasor começasse a extrair e usar essas sessões.
Como a sessão roubada já está autenticada, o invasor pode não precisar inserir a senha ou passar novamente pela autenticação de dois fatores. Entre os sinais mencionados pela empresa está a impressão de que os limites de uso foram renovados e depois consumidos rapidamente em um momento em que o usuário não estava usando o Claude.
O que a Anthropic está fazendo pelos usuários afetados?
A empresa afirma que invalidar as sessões comprometidas interrompe o uso das sessões roubadas, além de remover os métodos de pagamento salvos para limitar compras não autorizadas. No entanto, enfatizou que sair da conta não remove o malware do dispositivo; se o malware permanecer ativo, a próxima sessão de login poderá ser roubada da mesma forma.
A Anthropic recomenda que os usuários afetados alterem suas credenciais, encerrem outras sessões e removam o malware dos computadores antes de fazer login novamente. No caso em que o proprietário compartilhou a mensagem da empresa no Reddit, o usuário afirmou ter baixado um jogo pirateado, o que ofereceu uma possível explicação para a infecção do dispositivo.
Por que esta notícia é importante?
Esses incidentes mostram que a proteção da conta não termina na senha e na autenticação de dois fatores se o próprio dispositivo estiver infectado com um malware que rouba sessões autenticadas do navegador. A mudança efetiva aqui não é a descoberta de uma vulnerabilidade no Claude, pois a Anthropic confirmou que os malwares não estavam associados ao serviço nem foram instalados por meio dele, mas sim o uso de dados de sessões roubadas para esgotar os recursos da conta e possivelmente explorar métodos de pagamento salvos.
As questões em aberto continuam relacionadas ao alcance dos incidentes, ao número de contas afetadas e à forma como as sessões usadas foram identificadas. Além disso, as medidas da Anthropic tratam do acesso à conta, mas não substituem a verificação do dispositivo infectado e a remoção do malware antes da criação de uma nova sessão.