Vol de sessions Claude : Anthropic déconnecte les utilisateurs et efface les cartes

Si votre limite d’utilisation de Claude a été réinitialisée puis épuisée alors que vous n’utilisiez pas Claude, il est probable qu’une autre personne ait accédé à votre compte. Anthropic a déconnecté les utilisateurs concernés et supprimé le moyen de paiement enregistré sur leurs comptes. Toute personne souhaitant continuer doit se reconnecter et ajouter à nouveau une carte bancaire.

Anthropic a expliqué les raisons de cette mesure dans un e-mail adressé aux clients concernés, dont l’un a publié le contenu sur le forum r/ClaudeAI. « Nous avons récemment pris connaissance de l’existence d’un acteur malveillant qui utilise un logiciel malveillant courant de type « infostealer » pour voler les sessions de connexion à Claude sur les ordinateurs des utilisateurs, puis utilise ces sessions pour accéder aux comptes Claude et épuiser leur quota d’utilisation », indique ce message. Selon l’entreprise, l’anomalie consistait en une consommation de crédit qui semblait se recharger puis s’épuiser alors que le propriétaire n’avait pas du tout ouvert Claude. Aucune déclaration publique n’a été faite à ce jour, et l’incident n’apparaît pas sur la page d’état d’Anthropic.

Le logiciel malveillant copie une connexion que vous avez déjà effectuée

Un « infostealer » est un logiciel malveillant conçu pour collecter discrètement des identifiants et les transmettre à la personne qui l’a implanté. Il ne verrouille rien et n’exige aucune rançon, précise le communiqué. Selon Anthropic, il copie les mots de passe enregistrés, les cookies de connexion dans les navigateurs et les identifiants appartenant à d’autres applications s’exécutant localement. Cette session Claude ne constituait qu’un élément parmi tant d’autres qu’il a récupérés.

Anthropic cite Vidar, Lumma (LummaC2), StealC, RedLine et Acreed sous Windows, ainsi qu’Atomic Stealer sur un petit nombre de Mac. L’entreprise souligne qu’il n’y a « aucune raison de croire que ce logiciel malveillant soit lié à Claude, qu’il ait été installé via Claude ou qu’il soit lié à quoi que ce soit que vous ayez fait avec Claude », et précise que ce logiciel s’introduit généralement via un téléchargement non officiel ou une application malveillante. Les téléphones et les tablettes ne semblent pas avoir été concernés.

Pourquoi l’authentification à deux facteurs n’a pas été efficace

Une session constitue la preuve que vous vous êtes déjà connecté. Elle réside sur votre appareil sous forme de cookie, et quiconque la copie n’a plus jamais besoin de se reconnecter. Le mot de passe et le deuxième facteur d’authentification sont contournés, car rien ne les demande à ce stade. Nous avons expliqué en détail le fonctionnement de cette attaque, et une question similaire a été soulevée concernant ChatGPT il y a quelques jours.

Un utilisateur de Reddit concerné avait téléchargé un jeu piraté. Windows Defender n’a pas réagi. Les copies de jeux provenant de sources douteuses sont conçues précisément dans ce but, et un titre Steam gratuit a volé ses joueurs de la même manière.

Se déconnecter ne suffit pas

Anthropic décrit deux étapes, dont la déconnexion constitue la première. Elle annule la session volée partout, ce qui explique pourquoi les utilisateurs concernés ont dû se reconnecter sur tous leurs appareils. Un moyen de paiement supprimé ne peut plus être débité via Claude, tandis que l’abonnement en cours reste valable jusqu’à la fin de la période de facturation déjà payée. BleepingComputer rapporte qu’Anthropic rembourse également les frais qu’elle identifie comme non autorisés, et l’entreprise indique qu’elle pourrait déconnecter à nouveau les utilisateurs si elle constate des signes similaires d’utilisation abusive.

Une phrase à la fin de l’e-mail revêt une importance particulière. « La déconnexion met fin aux sessions piratées, mais elle ne supprime pas le logiciel malveillant », écrit Anthropic, et tant que celui-ci est toujours présent sur l’appareil, la prochaine connexion pourra être piratée de la même manière.

L’utilisateur a laissé Claude nettoyer son système, mais les experts en sécurité ne sont pas d’accord

Ce client a ensuite demandé à Claude Opus d’analyser son propre ordinateur pour détecter le logiciel malveillant et le désactiver. Dans les commentaires, un professionnel de la sécurité fort de vingt ans d’expérience a contesté cette approche et recommandé d’effacer le système et de réinitialiser tous les mots de passe. Les logiciels malveillants de ce type déposent systématiquement des copies qui leur permettent de se restaurer. Toute personne concernée a tout intérêt à réinstaller son système.