Malware secuestra sesiones de Claude y consume créditos de usuarios sin autorización

Centroamérica.– Usuarios de Claude fueron afectados por un malware capaz de robar sesiones activas y utilizar las cuentas para consumir créditos sin autorización, una situación que llevó a Anthropic a desconectar las sesiones comprometidas y eliminar los métodos de pago asociados.

El caso fue analizado por ESET Latinoamérica, que explicó que se trata de un tipo de malware conocido como infostealer, diseñado para extraer información almacenada en dispositivos infectados, entre ella contraseñas, cookies y credenciales de acceso.

La situación salió a la luz luego de que un usuario compartiera en Reddit el correo electrónico que recibió de Anthropic. De acuerdo con su relato, el atacante habría conseguido reutilizar una sesión que ya estaba autenticada, incluso cuando la cuenta tenía activada la autenticación de dos factores.

Anthropic no ha precisado públicamente cuáles fueron los archivos o elementos de autenticación sustraídos ni el mecanismo exacto utilizado para tomar el control de las sesiones. Sin embargo, la empresa actuó desconectando las sesiones afectadas y eliminando los métodos de pago registrados en esas cuentas. Los cargos considerados indebidos fueron reembolsados.

Los usuarios afectados tuvieron que volver a iniciar sesión y registrar nuevamente sus tarjetas. Según Anthropic, los casos identificados estuvieron relacionados con computadoras y no se reportaron dispositivos móviles comprometidos.

Recomendamos leer: La capacidad de los modelos de IA para burlar la seguridad alarma a gobiernos y empresas

La compañía también aclaró que el problema no se originó en Claude, sino en los equipos que habían sido infectados. Entre los programas maliciosos identificados figuran Vidar, Lumma, StealC, RedLine y Acreed, dirigidos principalmente a sistemas Windows, así como Atomic Stealer (AMOS), detectado en un número reducido de computadoras Mac.

Una sesión robada puede volver a ser utilizada

ESET advierte que cerrar las sesiones comprometidas no significa que el malware haya sido eliminado del dispositivo. Si el programa malicioso continúa activo, una nueva sesión iniciada desde esa computadora podría volver a ser robada.

La compañía de ciberseguridad señala que incluso medidas como utilizar contraseñas fuertes y activar la autenticación de dos factores pueden no ser suficientes cuando el equipo está comprometido. Un infostealer puede obtener cookies, tokens y otros elementos que permiten reutilizar una sesión que ya fue validada.

Ante esta situación, Anthropic recomienda analizar las computadoras utilizadas con Claude para detectar y eliminar cualquier malware antes de volver a utilizarlas. También aconseja cambiar la contraseña del correo electrónico asociado a la cuenta, cerrar las sesiones abiertas en otros dispositivos y activar la autenticación de dos factores.

Además, se recomienda actualizar las contraseñas almacenadas en el navegador, especialmente las relacionadas con servicios bancarios, laborales y plataformas en la nube, así como revisar los estados de cuenta para identificar posibles cargos no reconocidos.

Anthropic indica que los usuarios que deseen mantener un plan con renovación automática deben registrar nuevamente su método de pago únicamente después de completar estas medidas de seguridad.

Mario Micucci, investigador de seguridad informática de ESET Latinoamérica, resaltó que la protección del equipo es tan importante como contar con buenas contraseñas y mecanismos de autenticación.

El especialista recomendó evitar descargas no oficiales, programas piratas y aplicaciones de origen dudoso, además de mantener los sistemas actualizados y tener precaución al abrir enlaces o archivos sospechosos.