Anthropic fuerza cierres de sesión tras el secuestro de cuentas de Claude por malware

Anthropic advirtió el sábado a los usuarios de Claude que un malware de tipo "infostealer" (ladrón de información) que se ejecutaba en sus ordenadores personales había estado robando sesiones de inicio activas, lo que permitía a los atacantes acceder a las cuentas y agotar su saldo de uso de pago. La empresa respondió forzando el cierre de sesión de los usuarios afectados y eliminando los métodos de pago guardados de sus cuentas.bleepingcomputer+1

"Recientemente hemos tenido conocimiento de que un actor malicioso está utilizando malware común de robo de información para sustraer sesiones de inicio de Claude de los ordenadores de los usuarios, para luego usar esas sesiones para acceder a las cuentas de Claude y consumir su saldo de uso", explicó Anthropic en un correo electrónico enviado a los usuarios afectados, compartido inicialmente por un destinatario en Reddit.bleepingcomputer

Cómo funciona el ataque

La campaña explota las cookies de sesión en lugar de las contraseñas. Cuando un usuario inicia sesión en Claude, el navegador almacena una cookie de sesión que actúa como prueba de autenticación. El malware "infostealer" copia esa cookie junto con otras credenciales almacenadas localmente, lo que permite a los atacantes reproducir la sesión sin necesidad de introducir la contraseña del usuario ni el código de autenticación de doble factor.pasqualepillitteri

La señal de alarma fue que los límites de uso parecían restablecerse y agotarse mientras los titulares de las cuentas no estaban utilizando el servicio. Anthropic señaló que sus propios sistemas detectaron esta actividad inusual.bleepingcomputer+1

La empresa identificó seis familias de malware implicadas: Vidar, Lumma (LummaC2), StealC, RedLine y Acreed en Windows, junto con Atomic Stealer (AMOS) en un pequeño número de ordenadores Mac. Todos ellos son ladrones de información muy conocidos y distribuidos comercialmente que se venden en mercados delictivos. Ninguno de ellos fue desarrollado específicamente para atacar a Claude.pasqualepillitteri+1

El malware procedía de los propios equipos de los usuarios

Anthropic subrayó que el malware no tenía nada que ver con su plataforma ni con sus servidores. "No tenemos motivos para creer que este malware esté relacionado con Claude, que se haya instalado a través de Claude o que tenga que ver con nada de lo que usted haya hecho en Claude", escribió la empresa. El usuario de Reddit que compartió la notificación por primera vez confirmó que había descargado un juego pirata, lo que introdujo el "infostealer" en su sistema.searchenginejournal+1

Los teléfonos móviles y las tabletas no parecen haberse visto afectados. Las infecciones se dirigieron a ordenadores de sobremesa con sistemas operativos Windows o macOS.secnews+1

Qué deben hacer los usuarios afectados

Anthropic advirtió que el cierre forzoso de sesión neutraliza las sesiones ya robadas, pero no elimina el malware subyacente. Si el "infostealer" permanece en el equipo, la siguiente sesión de inicio de sesión puede ser capturada con la misma facilidad.pasqualepillitteri+1

La empresa instó a los usuarios a realizar primero un análisis con antivirus y limpiar el dispositivo, cambiar después la contraseña de la cuenta de correo electrónico vinculada a Claude y, solo entonces, volver a iniciar sesión y añadir de nuevo un método de pago. Dado que los "infostealers" barren todas las credenciales almacenadas localmente, y no solo las de Claude, Anthropic recomendó cambiar también las contraseñas de otros servicios, empezando por la banca online y el correo electrónico.pasqualepillitteri

"Cerrar su sesión en Claude detiene las sesiones robadas, pero no elimina el malware", advirtió Anthropic. "Si sigue en su ordenador, su próxima sesión de inicio podría ser robada de la misma manera".bleepingcomputer