Un malware robó sesiones de Claude para gastar el uso de cuentas ajenas

Anthropic advirtió a un grupo de usuarios de Claude que un malware de tipo infostealer robó las sesiones activas de sus cuentas y las usó para consumir su cuota de uso sin permiso. La empresa lo confirmó en un correo enviado a los afectados, que uno de ellos compartió en Reddit.

Qué robó el malware

El infostealer no ataca a Claude directamente: infecta la computadora, típicamente vía descargas o apps maliciosas, y copia lo que encuentra guardado en el navegador: contraseñas, cookies de sesión y credenciales de otras cuentas. Entre lo robado estaban las cookies de sesión de Claude, ya autenticadas, lo que permite a los atacantes entrar sin pedir contraseña ni el segundo factor (2FA).

Según Anthropic, identificó los infostealers Vidar, LummaC2, StealC, RedLine y Acreed en Windows, y Atomic Stealer (AMOS) en un número reducido de Mac. La compañía aclaró: "No tenemos razones para creer que este malware esté relacionado con Claude, instalado a través de Claude, o vinculado a algo que hiciste con Claude".

La señal para detectarlo, según el aviso de Anthropic: el límite de uso se recargaba y luego se vaciaba solo, sin que el usuario estuviera usando la app.

La respuesta de Anthropic

Anthropic cerró las sesiones robadas, quitó los métodos de pago guardados en las cuentas afectadas y reembolsó los cargos que identificó como no autorizados. Pero advirtió que cerrar sesión no basta: si el malware sigue en la computadora, puede robar la siguiente sesión igual. La empresa pidió a los afectados cambiar sus contraseñas, cerrar el resto de sus sesiones activas y limpiar el malware del equipo antes de volver a entrar.

El caso salió a la luz porque un usuario compartió en Reddit el correo que le envió Anthropic; dijo haberse infectado tras descargar un videojuego pirata, lo que explica cómo entró el malware a su equipo en ese caso.