Un infostealer secuestra sesiones de Claude y consume créditos sin autorización

Anthropic detectó que malware genérico como Vidar, LummaC2, StealC y RedLine está robando cookies de sesión activas para acceder a cuentas pagas y consumir su uso sin necesidad de contraseña ni doble factor. (Fuente: WeLiveSecurity (ESET) / BleepingComputer)

Anthropic les está avisando a algunos usuarios de Claude que malware de tipo infostealer instalado en sus computadoras robó sesiones de inicio de sesión activas, permitiendo a los atacantes acceder a sus cuentas y consumir su uso. La compañía está cerrando la sesión de los usuarios afectados en Claude, eliminando los métodos de pago guardados, y reembolsando los cargos que identifica como no autorizados.

Según indicó Anthropic en un correo enviado a un usuario afectado, que lo compartió en Reddit, recientemente tomaron conocimiento de un actor malicioso que está usando malware infostealer común para robar sesiones de inicio de sesión de Claude desde las computadoras de la gente, y después usando esas sesiones para acceder a cuentas de Claude y consumir su uso. La compañía advirtió que si los límites de uso de alguien parecían recargarse y después vaciarse mientras no estaba usando Claude, esa probablemente fue la causa.

Vale la pena señalar que los infostealers pueden copiar una sesión de navegador ya autenticada, lo que significa que el atacante podría no necesitar pasar por el proceso normal de contraseña y autenticación en dos pasos, ya que la cookie robada representa un estado ya iniciado, no una contraseña.

En el correo, que también se está enviando a otros titulares de cuentas comprometidas, Anthropic dice que su investigación sigue en curso, pero que las computadoras probablemente ya estaban infectadas con malware infostealer de propósito general. La compañía remarcó que no tiene motivos para creer que este malware esté relacionado con Claude, instalado a través de Claude, o vinculado a algo que el usuario haya hecho con Claude. Según Anthropic, el malware suele llegar a través de descargas o apps maliciosas y roba información almacenada localmente, incluidas contraseñas de navegador, cookies de inicio de sesión y credenciales de otras apps, y la sesión de Claude probablemente fue una de las tantas cosas que recolectó.

Anthropic vinculó estos ataques a familias de infostealers como Vidar, LummaC2, StealC, RedLine y Acreed en Windows, y Atomic Stealer en Mac. Según la compañía, los planes pagos de Claude pueden ofrecer créditos de uso adicionales: cuando un suscriptor alcanza el límite de sesión de su plan, Claude puede permitirle seguir usando el servicio a través de facturación por consumo a tarifas estándar de API, algo que el propio usuario tiene que activar y configurar con un límite de gasto mensual.

Quien sospeche que su sesión de Claude fue comprometida debería cambiar sus credenciales, revocar otras sesiones activas y eliminar el malware del dispositivo infectado, ya que Anthropic cerrando la sesión de una cuenta detiene el acceso robado, pero no elimina el malware en sí mismo de la computadora afectada.

Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.