Anthropic alerta: infostealers están robando sesiones activas de Claude

Imagínate abrir Claude por la mañana y encontrar que tu límite de uso prácticamente desapareció. Tú no estabas trabajando, nadie de tu equipo reconoce ese consumo y tu contraseña sigue siendo la misma.

Eso es básicamente lo que comenzó a aparecer en algunas cuentas de Claude.

A finales de agosto, Anthropic empezó a enviar avisos a usuarios afectados después de detectar que un actor estaba utilizando sesiones legítimas de Claude obtenidas mediante infostealers instalados en las computadoras de las víctimas.

Y aquí está el detalle importante: hasta el momento, Anthropic no ha publicado un boletín público específico sobre este incidente. La información procede de los correos enviados a usuarios afectados y posteriormente documentados por medios especializados como BleepingComputer y Malwarebytes.

Claude no fue vulnerado

Esta parte conviene dejarla muy clara.

La evidencia disponible no apunta a una vulnerabilidad en Claude ni a una intrusión en la infraestructura de Anthropic.

Según el aviso enviado por la compañía, los equipos de los usuarios ya estaban infectados con malware diseñado para robar información.

Anthropic identificó cinco familias conocidas en Windows:

• Vidar
• LummaC2
• StealC
• RedLine
• Acreed

En un número menor de equipos Mac apareció Atomic Stealer, también conocido como AMOS.

Son infostealers de propósito general. Claude simplemente terminó siendo otra de las cuentas disponibles dentro de la información recolectada por el malware.

El problema está en la sesión

Cuando iniciamos sesión normalmente pensamos en tres cosas: usuario, contraseña y, si hacemos las cosas bien, MFA.

Pero después de autenticarnos el navegador necesita alguna forma de recordar que ya demostramos quiénes somos.

Para eso mantiene información de sesión.

Podemos verlo como el brazalete que te colocan al entrar a un evento. Enseñaste tu boleto en la entrada y validaron tu identidad. A partir de ahí, el brazalete demuestra que ya pasaste el control.

Si alguien consigue copiar un equivalente válido de ese brazalete digital, el problema cambia.

El atacante puede reutilizar una sesión que ya fue autenticada.

Por eso este ataque resulta especialmente interesante desde seguridad: el delincuente no necesariamente necesita conocer la contraseña ni conseguir el código MFA.

El control de MFA funcionó. Simplemente ocurrió antes del robo.

Qué encontró Anthropic

Los reportes publicados hasta ahora indican que los infostealers copiaron sesiones activas desde los equipos infectados y posteriormente un actor comenzó a utilizarlas para acceder a las cuentas.

Anthropic detectó la actividad y tomó varias medidas sobre las cuentas afectadas:

Pero hubo otra pista mucho más interesante.

Anthropic advirtió a algunos usuarios que, si sus límites parecían renovarse y posteriormente volvían a agotarse mientras ellos no estaban utilizando Claude, esa actividad probablemente estaba relacionada con el incidente.

Eso convierte una métrica que normalmente consideraríamos financiera en una posible señal de seguridad.

El consumo de IA también puede ser telemetría

Esta es la parte que más me interesa del caso.

Durante años hemos monitoreado intentos de acceso, ubicaciones extrañas, cambios de contraseña, actividad de red y ejecución de procesos sospechosos.

Ahora tenemos otra métrica que empieza a tener sentido vigilar: el consumo de nuestras plataformas de IA.

Si una empresa normalmente consume una cantidad relativamente estable de créditos y de pronto aparecen solicitudes fuera de horario o incrementos difíciles de explicar, puede existir una razón perfectamente legítima.

Pero también merece investigarse.

Especialmente cuando las herramientas de IA empiezan a manejar información corporativa, repositorios, documentos y conexiones con otros servicios.

Claude podría ser solamente la primera pista

Un infostealer normalmente no llega a una computadora buscando exclusivamente Claude.

Su negocio consiste precisamente en recoger todo lo que resulte aprovechable.

Eso cambia completamente cómo respondería yo ante un incidente de este tipo.

Si descubro que una sesión de Claude fue robada desde una computadora, no asumiría que Claude es la única cuenta comprometida.

Revisaría las demás sesiones y credenciales utilizadas desde ese equipo: correo corporativo, Microsoft 365, Google Workspace, GitHub, servicios cloud, CRM y cualquier panel administrativo utilizado regularmente.

El razonamiento es sencillo: si el malware tuvo suficiente acceso al equipo para obtener una sesión, debemos investigar qué más pudo recoger.

Cerrar Claude no limpia la computadora

Este punto también puede generar una falsa sensación de seguridad.

Anthropic puede invalidar la sesión robada y cerrar el acceso del atacante a esa sesión específica.

Eso no elimina el malware del endpoint.

Si vuelves a iniciar sesión inmediatamente desde la misma computadora todavía comprometida, podrías generar nuevas credenciales o sesiones que vuelvan a quedar expuestas.

Por eso el orden de respuesta importa.

Qué haría ante un consumo que no reconozco

Primero investigaría el dispositivo y realizaría un análisis completo con las herramientas de seguridad disponibles en la organización.

Después invalidaría sesiones activas de los servicios utilizados desde ese equipo y revisaría accesos recientes.

Las contraseñas deberían cambiarse desde un dispositivo confiable una vez atendida la infección, empezando por las cuentas que puedan servir para recuperar otras cuentas, especialmente el correo.

También revisaría métodos de pago y movimientos recientes.

En una organización agregaría una tarea adicional: comparar el consumo histórico de las plataformas de IA para encontrar picos, actividad fuera de horario o patrones que no correspondan con el comportamiento normal del equipo.

MFA sigue siendo necesario

Este incidente tampoco significa que MFA haya dejado de servir.

Protege contra muchísimos ataques relacionados con credenciales y continúa siendo una medida básica que deberíamos utilizar.

Lo que demuestra este caso es que MFA no puede proteger por sí solo un endpoint que ya está comprometido.

Una vez que el malware opera dentro de la computadora con acceso suficiente al contexto del usuario, la frontera de seguridad se movió.

Puedes tener una excelente cerradura en la puerta. Si alguien ya está dentro de la casa copiando las llaves que utilizas, tienes otro problema.

Lo que me llevo

Durante mucho tiempo tratamos las cuentas de IA como herramientas relativamente aisladas.

Eso está dejando de tener sentido.

Claude, ChatGPT, Copilot y otros servicios ya forman parte del entorno diario de desarrollo y de muchas operaciones empresariales. Tienen sesiones, permisos, información y, cada vez más, conexiones con otros sistemas.

Por eso también deberían aparecer en nuestros procesos de monitoreo.

Y hay una idea concreta que me quedo de este incidente: el consumo inexplicable de créditos de IA puede ser una señal de seguridad.

No demuestra por sí mismo que exista malware. Pero sí puede justificar una investigación.

Conclusión

El caso de Claude resulta interesante precisamente porque no necesitó una vulnerabilidad espectacular.

El punto débil estaba en computadoras comprometidas y en algo tan cotidiano como una sesión que dejamos abierta.

Anthropic pudo detectar el abuso, cerrar sesiones, retirar métodos de pago y atender los cargos identificados. Para una empresa, la lección debería ir un poco más lejos.

Si una sesión utilizada desde un endpoint aparece comprometida, hay que investigar el endpoint completo y los demás servicios utilizados desde él.

Y si ya estamos midiendo cuánto cuesta la IA dentro de la organización, vale la pena empezar a utilizar esa misma información para seguridad.

Ese pico inexplicable de créditos quizá sea una factura rara.

O quizá sea la primera pista que tengamos.