Anthropic предупредила некоторых пользователей Claude, что установленное на компьютерах вредоносное ПО для кражи информации похитило активные сеансы входа, после чего использовалось для доступа к учетным записям и расходования лимитов использования без ведома владельцев. Компания отправила уведомление затронутым пользователям, пояснив, что выходит из взломанных учетных записей, удаляет сохраненные способы оплаты и возвращает списания, которые считает несанкционированными.
Anthropic заявила, что ее расследование продолжается, но связала эти случаи с распространенным вредоносным ПО для кражи информации, которое обычно заражает устройства через загрузки или вредоносные приложения. Среди выявленных компанией вредоносных программ на Windows — Vidar, LummaC2, StealC, RedLine и Acreed, а также Atomic Stealer, известный как AMOS, на ограниченном числе устройств Mac.
Как использовались украденные сеансы?
Вредоносное ПО для кражи информации может копировать локально сохраненные данные, например пароли браузера, файлы cookie для входа и учетные данные других приложений. Anthropic пояснила, что сеанс Claude, вероятно, был одним из фрагментов данных, собранных вредоносной программой, после чего злоумышленник начал извлекать эти сеансы и использовать их.
Поскольку украденный сеанс уже прошел аутентификацию, злоумышленнику может не потребоваться повторно вводить пароль или проходить двухфакторную аутентификацию. Одним из указанных компанией признаков является ситуация, когда лимиты использования выглядят обновившимися, а затем быстро расходуются в то время, когда пользователь не использовал Claude.
Что Anthropic делает для затронутых пользователей?
Компания заявляет, что аннулирование взломанных сеансов прекращает использование украденных сеансов, а удаление сохраненных способов оплаты помогает ограничить несанкционированные покупки. Однако она подчеркнула, что выход из учетной записи не удаляет вредоносное ПО с устройства: если программа остается активной, следующий сеанс входа может быть украден тем же способом.
Anthropic рекомендует затронутым пользователям изменить учетные данные, аннулировать другие сеансы и удалить вредоносное ПО с компьютеров перед повторным входом. В случае, когда владелец поделился сообщением компании на Reddit, пользователь заявил, что скачал пиратскую игру, что стало возможным объяснением заражения его устройства.
Почему эта новость важна?
Эти инциденты показывают, что защита учетной записи не ограничивается паролем и двухфакторной аутентификацией, если само устройство заражено вредоносным ПО, крадущим аутентифицированные сеансы браузера. Фактическое изменение здесь заключается не в обнаружении уязвимости в Claude: Anthropic подтвердила, что вредоносные программы не были связаны с сервисом и не устанавливались через него. Речь идет об использовании украденных данных сеанса для исчерпания ресурсов учетной записи и возможной эксплуатации сохраненных способов оплаты.
Открытыми остаются вопросы о масштабе инцидентов, количестве затронутых учетных записей и способе определения использованных сеансов. Кроме того, меры Anthropic устраняют доступ к учетной записи, но не заменяют проверку зараженного устройства и удаление вредоносного ПО перед созданием нового сеанса.