Robo de sesiones de Claude: Anthropic desconecta a los usuarios y borra las tarjetas

Si su límite de uso de Claude se repuso y luego se agotó mientras usted no estaba utilizando Claude, es probable que otra persona haya accedido a su cuenta. Anthropic ha cerrado la sesión de los usuarios afectados y ha eliminado el método de pago almacenado en sus cuentas. Cualquiera que desee continuar deberá volver a iniciar sesión y añadir una tarjeta de nuevo.

Anthropic explicó los motivos en un correo electrónico enviado a los clientes afectados, que uno de ellos publicó en el foro r/ClaudeAI. «Recientemente hemos tenido conocimiento de un malhechor que está utilizando un malware común de robo de información para sustraer sesiones de inicio de sesión de Claude de los ordenadores de los usuarios y, a continuación, utiliza dichas sesiones para acceder a las cuentas de Claude y agotar su límite de uso», reza dicho mensaje. Según la empresa, el indicio revelador fue un consumo que parecía reponerse y luego agotarse, mientras que el propietario no había abierto Claude en absoluto. Hasta el momento no existe ninguna declaración pública, y el incidente no aparece en la página de estado de Anthropic.

El malware copia un inicio de sesión que ya ha completado

Un «infostealer» es un malware diseñado para recopilar credenciales de forma sigilosa y enviarlas a quien lo haya instalado. No bloquea nada ni exige ningún rescate, según se indica. Según Anthropic, copia contraseñas guardadas, cookies de inicio de sesión en los navegadores y credenciales pertenecientes a otras aplicaciones que se ejecutan localmente. Esa sesión de Claude fue uno de los muchos elementos que recopiló.

Anthropic menciona a Vidar, Lumma (LummaC2), StealC, RedLine y Acreed en Windows, además de Atomic Stealer en un pequeño número de Macs. Subraya que «no hay motivos para creer que este malware esté relacionado con Claude, que se haya instalado a través de Claude o que tenga relación con nada de lo que haya hecho con Claude», y afirma que el software suele llegar mediante una descarga no oficial o una aplicación maliciosa. No parece que se hayan visto afectados teléfonos ni tabletas.

Por qué la autenticación de dos factores no sirvió de nada

Una sesión es la prueba de que ya ha iniciado sesión. Se almacena en su equipo como una cookie, y quien la copie no tendrá que volver a iniciar sesión nunca más. La contraseña y el segundo factor se omiten porque, en ese momento, no se les solicita a nadie. Hemos explicado en detalle cómo funciona este ataque, y hace unos días surgió una pregunta similar en torno a ChatGPT.

Un usuario de Reddit afectado había descargado un juego pirateado. Windows Defender no reaccionó. Las copias de juegos procedentes de fuentes dudosas están diseñadas precisamente para esto, y un título gratuito de Steam estafó a sus jugadores de la misma manera.

Cerrar la sesión no es suficiente

Anthropic describe dos pasos, y cerrar la sesión es el primero de ellos. Esto cancela la sesión robada en todas partes, razón por la cual los usuarios afectados tuvieron que volver a iniciar sesión en todos sus propios dispositivos. Un método de pago eliminado ya no puede ser objeto de cargos a través de Claude, mientras que el plan actual sigue vigente hasta el final del periodo de facturación ya abonado. BleepingComputer informa de que Anthropic también está reembolsando los cargos que identifica como no autorizados, y la empresa afirma que podría volver a cerrar la sesión de los usuarios si detecta indicios similares de uso indebido.

Una frase al final del correo electrónico cobra más importancia que el resto. «Al cerrar su sesión se detienen las sesiones suplantadas, pero no se elimina el malware», escribe Anthropic, y mientras este siga presente en el dispositivo, el próximo inicio de sesión podrá ser suplantado de la misma manera.

El usuario dejó que Claude se encargara de la limpieza, pero los expertos en seguridad no están de acuerdo

A continuación, ese cliente dirigió a Claude Opus hacia su propio equipo para que localizara el malware y lo desactivara. En los comentarios, un profesional de la seguridad con veinte años de experiencia se mostró en desacuerdo y recomendó formatear el sistema y restablecer todas las contraseñas. El malware de este tipo suele dejar copias que lo restauran. Cualquier persona afectada estará más segura si reinstala el sistema.