Anthropic advierte que hackers están robando tokens de Claude a sus suscriptores
Anthropic ha advertido a los usuarios afectados que hackers están robando tokens de Claude a sus suscriptores, incluso cuando estos no están trabajando. La advertencia se produce tras informes de límites de uso que se agotan sin actividad correspondiente. En un caso documentado, un usuario observó cómo su uso aumentaba 10 puntos porcentuales durante un período controlado en el que sus tareas de Claude estaban desactivadas.
El incidente apunta a sesiones de inicio de sesión robadas, no a una vulneración de los modelos de Anthropic. El malware infostealer puede copiar datos de sesiones autenticadas de un equipo infectado. Después, los atacantes pueden reutilizar esos datos para acceder a una cuenta sin completar un inicio de sesión normal.
La distinción es importante, pero no convierte el problema en algo menor. Las suscripciones de Claude ahora respaldan programación, investigación, administración y trabajo basado en agentes que continúa más allá de un único chat. El acceso persistente hace cómodos estos flujos de trabajo. También da a una sesión robada más tiempo y recursos más valiosos que explotar.
Por tanto, el conflicto central es más amplio que una sola campaña de malware. Los proveedores de IA quieren que sus asistentes sigan disponibles en navegadores, ordenadores, herramientas de línea de comandos y tareas en la nube. Los usuarios también necesitan visibilidad inmediata y mecanismos fiables de contención cuando se roba una de esas vías de acceso.
Qué cambió cuando el uso de Claude aumentó por sí solo
La prueba más clara llegó con un uso que siguió aumentando después de que el suscriptor detuviera todas las tareas conocidas de Claude.
El 4 de agosto, el consultor independiente de IA Grant de Swardt detectó actividad inesperada en su cuenta de Claude. No estaba trabajando, pero el límite de uso de la cuenta seguía disminuyendo. Al día siguiente, intentó aislar la causa desactivando la actividad conectada y evitando Claude por completo.
Durante un intervalo controlado, su uso aumentó del 45 % al 55 %. Las tareas programadas de Cowork estaban pausadas o completadas. La ejecución en la nube estaba desactivada y no había ninguna tarea local coincidente de Claude Code activa.
De Swardt describió el consumo inexplicable durante una investigación sobre el uso. También pidió a Anthropic un registro detallado que mostrara qué había consumido el límite. Según su relato, la empresa no proporcionó ese nivel de detalle.
En cambio, Anthropic suspendió la cuenta de pago, invalidó las sesiones activas y los tokens de Claude Code del lado del servidor, y emitió un reembolso parcial. Esa respuesta detuvo la actividad inmediata, pero también interrumpió el trabajo de de Swardt.
Su negocio depende de agentes de IA para programación, trabajo web, administración y proyectos de clientes. Ayuda a pequeñas empresas a automatizar procesos como trasladar información de órdenes de compra desde el correo electrónico a sistemas contables. Por tanto, perder el acceso afectó a algo más que el uso recreativo de un chatbot.
Más tarde, Anthropic le comunicó que se había utilizado una clave de sesión de Claude comprometida para crear tokens OAuth no autorizados de Claude Code. Los tokens OAuth son credenciales que permiten a una aplicación aprobada acceder a una cuenta sin solicitar repetidamente la contraseña del usuario.
Según los informes, la empresa detectó actividad compatible con un servicio externo no autorizado que gestionaba solicitudes para otras personas. Sin embargo, no pudo determinar exactamente cómo había obtenido acceso el servicio externo.
Anthropic ofreció dos posibles explicaciones, según de Swardt. Las credenciales o los datos de sesión podrían haberse obtenido sin su conocimiento. Como alternativa, la cuenta podría haberse conectado a un servicio externo que mantuvo el acceso.
Estas explicaciones identifican una probable vía de acceso, pero dejan sin resolver el compromiso original. También muestran por qué el uso inexplicable de IA es más difícil de diagnosticar que un restablecimiento de contraseña convencional.
Un suscriptor ve el porcentaje consumido, pero esa cifra no necesariamente identifica el dispositivo, cliente, sesión o tarea responsable. Los registros locales de Claude Code no pueden explicar actividad originada desde un navegador, otro ordenador o un cliente remoto no autorizado.
La palabra “tokens” también puede generar confusión. Un token es una pequeña unidad de texto procesada por un modelo de IA, pero los suscriptores normalmente se encuentran con los tokens de forma indirecta a través de los límites de uso. En este incidente, el síntoma visible fue la capacidad de suscripción agotada, no un registro legible de solicitudes individuales al modelo.
Posteriormente, otros usuarios describieron patrones similares en Reddit y GitHub. Estos informes siguen siendo afirmaciones individuales y no establecen un número preciso de víctimas. Sin embargo, los mensajes compartidos por algunos usuarios incluían advertencias de que Anthropic había identificado accesos sospechosos.
Esa advertencia del proveedor cambió la historia. El uso inexplicable ya no era solo una queja de facturación o un posible error de software. Anthropic atribuía al menos algunos casos a sesiones robadas y malware activo.
Por qué los hackers están robando tokens de Claude a sus suscriptores
Una sesión robada de Claude convierte la suscripción de otra persona en una reserva autenticada de capacidad de computación de IA.
Anthropic comunicó a los usuarios afectados que un actor malicioso estaba utilizando malware infostealer común para robar sesiones de inicio de sesión de Claude. Después, el atacante empleaba esas sesiones para acceder a cuentas y consumir el uso disponible.
Los infostealers son programas de malware diseñados para recopilar información valiosa de un equipo. Sus objetivos pueden incluir cookies del navegador, contraseñas guardadas, billeteras de criptomonedas, registros de autocompletado y credenciales de aplicaciones. Una sesión de IA autenticada es otro activo reutilizable dentro de esa recopilación.
El malware no necesita derrotar al modelo Claude ni vulnerar la infraestructura central de Anthropic. Se dirige al punto final donde el suscriptor ya completó la autenticación. Ese punto final puede ser un portátil personal, un ordenador de trabajo o un perfil del navegador que contiene una sesión activa.
Esta vía de ataque puede eludir el momento en que normalmente interviene la autenticación multifactor. La autenticación multifactor protege un inicio de sesión nuevo al exigir otra prueba de identidad. Una sesión copiada puede aparentar continuar un evento de autenticación que ya se completó correctamente.
Eso no significa que todas las sesiones robadas eludan todos los controles de seguridad. Los proveedores pueden evaluar información del dispositivo, ubicación, comportamiento de red y patrones de solicitudes. También pueden revocar credenciales sospechosas. La campaña muestra que la detección y la revocación no siempre ocurrieron antes de que desapareciera el uso disponible.
Según el aviso dirigido a los usuarios afectados, Anthropic observó un síntoma reconocible. Los límites de uso parecían recargarse y luego agotarse mientras el propietario permanecía inactivo. En los casos detectados, la empresa respondió cerrando las sesiones de los usuarios e invalidando las autorizaciones.
Una advertencia separada sobre malware informó que Anthropic también eliminó métodos de pago guardados y reembolsó cargos que clasificó como no autorizados. La empresa identificó varios infostealers de Windows y una familia centrada en Mac durante su investigación.
Anthropic subrayó que cerrar sesión detiene la sesión robada, pero no elimina el malware. Si el dispositivo infectado sigue comprometido, una sesión nueva puede ser robada después de que el usuario vuelva a iniciar sesión.
Esa secuencia explica por qué cambiar una contraseña puede no resolver el problema. El usuario puede sustituir una credencial de cuenta, crear una sesión nueva y exponer sin saberlo esa nueva sesión al mismo malware.
Los atacantes tienen un incentivo económico directo para recopilar acceso a IA. El uso de modelos puede respaldar programación, producción automatizada de contenido, procesamiento de datos, extracción de modelos y otras tareas de gran volumen. La capacidad robada traslada el coste y el riesgo de la cuenta a la víctima.
También ha surgido un mercado gris en torno al acceso con descuento a modelos comerciales de IA. Algunos servicios combinan créditos promocionales, cuentas fraudulentas, suscripciones compartidas o credenciales no autorizadas detrás de endpoints compatibles. Los clientes envían prompts al intermediario sin saber necesariamente qué cuenta financia las solicitudes.
Investigadores de seguridad citados en informes sobre este mercado encontraron servicios que agrupaban el acceso de varias cuentas. Esta infraestructura ofrece un destino plausible para la capacidad robada, aunque no demuestra que cada cuenta de Claude afectada alimentara la misma operación.
Esta distinción debe mantenerse clara. Según los informes, Anthropic observó que un servicio no autorizado utilizaba la cuenta de de Swardt para actividad relacionada con otras personas. La evidencia pública no identifica al operador, sus clientes ni el acuerdo comercial completo.
El incidente sigue siendo compatible con un modelo conocido de ciberdelincuencia. Los operadores de malware roban credenciales reutilizables, los intermediarios las organizan y usuarios posteriores consumen el recurso robado. Lo que ha cambiado es el recurso que se monetiza.
Antes, las contraseñas abrían cuentas de correo electrónico o bancarias. Más tarde, las cookies del navegador adquirieron valor porque podían conservar el acceso tras el inicio de sesión. Ahora, las sesiones de IA pueden exponer computación costosa, herramientas conectadas, contexto almacenado y flujos de trabajo que actúan en otros servicios.
Las sesiones persistentes de IA crean una nueva disyuntiva de seguridad
La comodidad multidispositivo de Claude aumenta el valor de cada sesión autenticada y eleva el coste de una contención deficiente.
Claude puede operar a través de su sitio web, aplicaciones de escritorio, dispositivos móviles, Claude Code y flujos de trabajo conectados. Un usuario espera que estas interfaces recuerden su identidad y mantengan la continuidad. Exigir autenticación completa antes de cada solicitud haría frustrante el trabajo rutinario.
Claude Code utiliza OAuth para la autenticación de suscripciones. La documentación de autenticación de Anthropic explica que los usuarios también pueden crear tokens para determinados entornos de desarrollo. Estas credenciales permiten que herramientas compatibles actúen bajo una relación de cuenta aprobada.
OAuth en sí no es la vulnerabilidad descrita en la campaña reportada. Es un marco de autorización estándar utilizado en todo el software moderno. El riesgo surge cuando el malware roba una credencial válida, cuando la autorización se amplía entre clientes o cuando los usuarios no pueden rastrear el consumo posterior.
Por tanto, el principal conflicto de esta historia es entre conveniencia persistente y contención visible. Las sesiones persistentes hacen que un asistente de IA resulte útil en distintos dispositivos y para trabajos de larga duración. La contención visible permite al propietario de una cuenta identificar, atribuir y terminar cada vía que consume esa cuenta.
Anthropic ofrece una página de sesiones activas que muestra dispositivos, navegadores, ubicaciones aproximadas y actividad reciente. Los usuarios pueden terminar las sesiones que no reconozcan. Es un control importante porque crea una vía directa desde la sospecha hasta la revocación.
Sin embargo, el caso reportado sugiere que las sesiones del navegador son solo una parte del panorama. De Swardt afirmó que Anthropic invalidó tanto sus sesiones como los tokens de Claude Code del lado del servidor. Por ello, un usuario que investigue el uso necesita una visión completa de todos los tipos de autorización.
Los tokens de Claude Code, las sesiones del navegador, las aplicaciones de escritorio, las extensiones, las tareas en la nube y los servicios conectados pueden representar acceso legítimo. Si esas categorías aparecen en interfaces separadas, los usuarios pueden tener dificultades para reconstruir una línea de tiempo única para toda la cuenta.
El problema se intensifica cuando el trabajo de IA se ejecuta de forma asíncrona. Una sesión web tradicional suele reflejar a una persona haciendo clic entre páginas. Un agente de IA puede seguir procesando una tarea después de que el usuario abandone la pantalla.
Eso hace que el consumo en segundo plano sea normal en algunas circunstancias. Una tarea de investigación programada, un proceso de programación, un agente en la nube o un conector pueden generar actividad legítima sin un teclado activo. Ese mismo comportamiento dificulta distinguir el consumo no autorizado.
Los proveedores pueden ayudar al separar el uso según el cliente, el dispositivo, la autorización y la tarea. El propietario de una cuenta debería poder responder preguntas básicas sin solicitar una investigación personalizada.
¿Qué aplicación inició la solicitud? ¿Qué credencial la autorizó? ¿Cuándo se creó esa credencial? ¿Qué dispositivo o red aproximada la utilizó? ¿Cuánta capacidad de la cuenta consumió?
Esos detalles no requieren revelar señales de seguridad privadas ni sistemas propietarios de detección de fraude. Representan un registro de auditoría de los recursos cobrados o descontados de la cuenta de un usuario.
Esta expectativa ya existe en la infraestructura en la nube. Los administradores revisan habitualmente registros de acceso, actividad de claves API, identidades de servicio, consumo de recursos y registros de facturación. Las suscripciones de IA para consumidores respaldan cada vez más un trabajo profesional similar, pero su visibilidad puede seguir estando más cerca de la de una suscripción de medios.
Esta discrepancia genera presión para Anthropic. Claude se comercializa y utiliza como un entorno de trabajo, especialmente cuando Claude Code y los agentes pasan a formar parte de las operaciones diarias. La dependencia profesional eleva las expectativas de auditabilidad y recuperación ante incidentes.
También genera presión para otros proveedores de IA. ChatGPT, Gemini, GitHub Copilot y las herramientas independientes de programación mantienen sesiones autenticadas o credenciales de API. Un operador de malware tiene pocos motivos para limitar la recopilación a un solo proveedor.
La campaña inmediata afecta a Claude, según la advertencia de Anthropic. El problema más amplio afecta a cualquier asistente cuyas credenciales den acceso a capacidad de cómputo significativa o datos conectados.
Las organizaciones ya mantienen registros de incidentes consultables, documentación interna e inventarios de acceso. Un sistema de conocimiento personal puede ayudar a conservar mensajes de soporte y pasos de respuesta. No puede sustituir la seguridad de endpoints, la revocación de credenciales ni los registros del proveedor.
Ese límite es importante. Una mejor toma de notas respalda la investigación, pero el proveedor debe seguir exponiendo la evidencia necesaria para identificar accesos no autorizados.
La respuesta de Anthropic detiene el acceso, pero deja preguntas de visibilidad
Anthropic tomó medidas concretas de contención, pero los usuarios aún carecen de un informe público documentado sobre el alcance de la campaña y los límites de detección.
La respuesta reportada de la empresa incluyó cierres de sesión forzados, invalidación de autorizaciones, eliminación de métodos de pago y reembolsos por la actividad que consideró no autorizada. Esas acciones pueden limitar las pérdidas continuas y proteger a los usuarios afectados de compras posteriores.
Anthropic también advirtió a los destinatarios que el malware no procedía del uso de Claude en sí. Los infostealers suelen llegar mediante descargas infectadas, anuncios engañosos, software pirateado, instaladores maliciosos o paquetes comprometidos.
Este mensaje separa correctamente la infección del endpoint de una brecha en los sistemas de Anthropic. Según la evidencia disponible, no existe una afirmación verificada de que los atacantes penetraran la infraestructura central de modelos de Anthropic para robar estas sesiones de suscriptores.
Sin embargo, la responsabilidad del endpoint no resuelve todas las cuestiones de la plataforma. Los proveedores deciden cuánto tiempo siguen siendo válidas las sesiones, qué autorizaciones aparecen en los controles de la cuenta y qué detalles de uso pueden revisar los suscriptores.
También deciden cómo el consumo sospechoso activa alertas. Un usuario cuya cuota pasa de estar inactiva a un uso intensivo en cuestión de minutos presenta un patrón potencialmente detectable. Sin embargo, las tareas en la nube y los agentes pueden generar picos legítimos, lo que vuelve poco fiables los umbrales simples.
Una detección eficaz probablemente requerirá varias señales en conjunto. Estas pueden incluir características de dispositivos desconocidos, cambios geográficos repentinos, software de cliente inusual, acceso paralelo, creación de autorizaciones y un uso incoherente con el comportamiento anterior.
Anthropic no ha divulgado públicamente los umbrales utilizados en esta campaña. Es comprensible, porque las reglas detalladas contra el fraude pueden ayudar a los atacantes a evitar la detección. Los usuarios aún necesitan claridad de alto nivel sobre las protecciones disponibles y la cobertura de notificaciones.
El número de suscriptores afectados sigue siendo desconocido. Los informes públicos incluyen varias cuentas de usuarios y copias de correos electrónicos de proveedores, pero esas muestras no pueden establecer la prevalencia. Anthropic no ha publicado un número de víctimas para toda la campaña.
El método de infección inicial también sigue siendo incierto en el caso de de Swardt. Según se informa, Anthropic no pudo determinar si el malware robó sus datos de sesión o si un servicio externo mantuvo acceso mediante una conexión anterior.
Esa incertidumbre limita cualquier recomendación de corrección universal. Eliminar el malware es esencial cuando un dispositivo está infectado. Revisar las integraciones es igualmente importante cuando una aplicación de terceros recibió autorización.
Una queja de seguridad pública también alegó que ciertas credenciales de Claude eran difíciles de localizar o revocar mediante controles visibles de la cuenta. El informe no estableció de forma independiente el origen del uso no autorizado de de Swardt.
No obstante, destaca la pregunta correcta: ¿terminar todo lo visible también termina cada credencial capaz de consumir recursos de la cuenta?
La respuesta debe probarse para cada vía de autorización. Un cierre de sesión global debería tener un alcance claramente documentado. Los tokens de Claude Code deberían aparecer en una interfaz de gestión accesible. Las extensiones y aplicaciones conectadas deberían revelar sus permisos y su última actividad.
La documentación de Anthropic indica que el OAuth de suscripción está destinado a aplicaciones nativas de Anthropic y al uso habitual de Claude Code. Su política de OAuth restringe que los servicios de terceros reutilicen el acceso de suscripción de formas no autorizadas.
La aplicación de la política importa porque las cuentas robadas pueden agruparse detrás de puertas de enlace de terceros. Sin embargo, su aplicación también puede suspender a una víctima cuando los atacantes generan tráfico prohibido. Eso crea un segundo daño tras el robo de uso.
De Swardt afirmó que la suspensión interrumpió su negocio. Desde la perspectiva de Anthropic, desactivar una cuenta comprometida puede detener rápidamente el abuso. Desde la perspectiva del suscriptor, una suspensión sin explicación elimina una herramienta que podría respaldar las operaciones diarias.
Una respuesta madura necesita tanto contención como restauración rápida. Los proveedores deberían preservar la evidencia, aislar las credenciales comprometidas, explicar la vía de acceso afectada y devolver de forma segura a los usuarios legítimos al servicio.
La conclusión escéptica no es que Anthropic ignorara el problema. La empresa detectó algunos casos y advirtió a los usuarios. La cuestión sin resolver es si cada suscriptor puede obtener suficiente información para descubrir y contener un incidente similar de forma independiente.
Los usuarios de Claude deberían tratar el agotamiento de tokens como una vulneración más amplia
Un uso inesperado de Claude debería activar una respuesta de seguridad de endpoints, no solo una disputa de facturación.
Un suscriptor podría asumir inicialmente que un medidor de uso está retrasado o es impreciso. Eso sigue siendo posible, especialmente cuando los agentes y las tareas en segundo plano comparten una misma asignación. El primer paso consiste en descartar sistemáticamente la actividad legítima.
Pause las tareas programadas y las ejecuciones en la nube. Cierre los procesos de Claude Code en los dispositivos conocidos. Revise los servicios conectados, las extensiones y las sesiones activas. Registre el nivel de uso y compruebe si cambia durante un período controlado.
Si el uso continúa, termine de inmediato las sesiones desconocidas. Los controles de gestión de sesiones de Anthropic muestran el dispositivo, el navegador, la ubicación aproximada y la hora de la última actualización. Cualquier sesión que no coincida con un dispositivo conocido merece atención.
Los usuarios también deberían revocar las autorizaciones de Claude Code que ya no necesiten. Un cierre de sesión en el navegador y un token de desarrollo no son necesariamente la misma credencial. Cada categoría de autorización debería revisarse por separado.
No vuelva a iniciar sesión repetidamente desde un dispositivo que podría seguir infectado. Una nueva sesión puede convertirse en otro objetivo si el infostealer persiste. Desconectar el dispositivo puede reducir una mayor exposición mientras continúa la investigación.
Ejecute herramientas de seguridad fiables y revise el software instalado recientemente. Preste especial atención a descargas no oficiales, aplicaciones crackeadas, extensiones del navegador, paquetes de desarrollo y comandos copiados de sitios web no confiables.
Un solo análisis limpio no demuestra que no hubiera ningún infostealer. Algunos malware se eliminan tras recopilar datos, mientras que otras variantes evaden un producto de seguridad concreto. Los usuarios que manejan trabajo sensible deberían considerar apoyo profesional de respuesta a incidentes.
Una sesión de Claude robada puede indicar que otras credenciales quedaron expuestas desde el mismo dispositivo. El correo electrónico, los gestores de contraseñas, los paneles de control en la nube, los servicios de desarrollo, las cuentas de pago y las carteras de criptomonedas podrían enfrentar consecuencias mayores que la pérdida de uso de IA.
Cambie las credenciales importantes desde un dispositivo que se considere limpio. Finalice otras sesiones activas cuando sea posible. Revise la configuración de recuperación de la cuenta y confirme que no se hayan modificado las reglas de reenvío, los dispositivos de confianza ni los métodos multifactor.
Las llaves de seguridad de hardware pueden mejorar la resistencia al phishing y al robo de contraseñas. No neutralizan automáticamente los datos de sesión copiados después de una autenticación exitosa. La revocación de sesiones y la limpieza del endpoint siguen siendo necesarias.
Los desarrolladores deberían rotar los secretos almacenados en la máquina afectada. Los archivos de entorno, los historiales de shell, los directorios de configuración local, el almacenamiento del navegador y los repositorios de código fuente pueden contener credenciales reutilizables.
Las organizaciones deberían tratar el dispositivo como potencialmente comprometido conforme a su proceso existente de incidentes. Esto puede incluir aislamiento del endpoint, rotación de credenciales, conservación de registros, revisión de identidad y notificación al personal interno de seguridad.
Los usuarios deberían preservar la evidencia antes de eliminarlo todo. Las capturas de pantalla de cambios de uso, listas de sesiones, mensajes de advertencia, marcas de tiempo, información de procesos locales y correspondencia con soporte pueden ayudar a establecer qué ocurrió.
Deberían evitar publicar tokens activos, cookies de sesión o registros privados detallados mientras buscan ayuda. Una publicación pública de solución de problemas puede exponer accidentalmente las credenciales que siguen siendo utilizables.
Contactar con el soporte de Anthropic sigue siendo necesario. El proveedor puede invalidar autorizaciones del lado del servidor, inspeccionar patrones que no están disponibles para el suscriptor y determinar si los cargos o las acciones sobre la cuenta califican para una reparación.
La clave es describir el incidente con precisión. Proporcione la fecha, el cambio de uso observado, las tareas desactivadas, los dispositivos conocidos, las sesiones sospechosas y las medidas de corrección ya completadas. Pregunte qué autorización consumió el uso y si se revocó cada familia de tokens.
Los usuarios también deberían preguntar si su cuenta generó actividad mediante un cliente desconocido. Un identificador de cliente puede distinguir un proceso local oculto de una puerta de enlace remota, una reproducción del navegador o una integración autorizada.
Para los equipos, el mismo evento debería impulsar una revisión del acceso compartido a IA. Las credenciales de suscripción individuales no deberían circular entre empleados o sistemas de automatización. Las credenciales compartidas debilitan la atribución y hacen que la revocación sea más disruptiva.
Los flujos de trabajo empresariales también necesitan planes de contingencia. Cuando un asistente se vuelve central para la programación o la administración, una suspensión de cuenta puede detener las operaciones. Los procedimientos, credenciales y registros críticos deberían seguir siendo accesibles sin un único servicio de IA.
Tres señales mostrarán si el robo de tokens de Claude está contenido
La próxima fase dependerá de una mejor telemetría de cuentas, un comportamiento de revocación más claro y evidencia de que el uso sospechoso está disminuyendo.
La primera señal es un registro de uso más sólido para toda la cuenta. Los suscriptores necesitan atribución por cliente, autorización, tarea y período de tiempo. Una actualización que añada esos detalles abordaría directamente la brecha de diagnóstico expuesta por el caso de de Swardt.
Ese registro reforzaría la posición de Anthropic porque los usuarios podrían distinguir rápidamente entre agentes legítimos y accesos robados. Si la visibilidad sigue limitada a porcentajes agregados, persistirá el problema central de rendición de cuentas.
La segunda señal es documentación explícita sobre la revocación global. Anthropic debería aclarar si un cierre de sesión completo termina las sesiones del navegador, móviles y de escritorio, así como las extensiones, las credenciales de Claude Code y las autorizaciones del lado del servidor.
Controles más claros harían que la contención fuera predecible. Los informes continuados de uso después de que los usuarios revoquen todo lo visible debilitarían la confianza y sugerirían que algunas vías de autorización siguen siendo difíciles de gestionar.
La tercera señal es la frecuencia reportada de la campaña. Anthropic no necesita publicar reglas de detección sensibles, pero puede revelar si las notificaciones y los cierres de sesión forzados están aumentando o disminuyendo.
Menos informes creíbles respaldarían la idea de que la detección y la revocación están limitando la campaña. Grupos persistentes de uso sin explicación demostrarían que los atacantes aún consideran económicamente útiles las sesiones de los suscriptores.
Las respuestas de los competidores aportarán contexto de apoyo. Si otros proveedores de IA amplían los paneles de sesiones o las alertas de consumo, la industria estará tratando el acceso autenticado a la IA como una categoría de seguridad diferenciada.
Para los usuarios de Claude, la pregunta práctica es inmediata: ¿puede atribuirse cada unidad de uso inesperado a un dispositivo, una tarea o una autorización? Hasta que la respuesta sea sí, el consumo inexplicable de tokens merece la misma urgencia que un inicio de sesión desconocido en la nube.
Los hackers están robando tokens de Claude a suscriptores porque las sesiones persistentes tienen un valor real. Anthropic ha empezado a advertir y proteger a las víctimas detectadas. La prueba duradera será si los usuarios obtienen suficiente visibilidad para reconocer la próxima sesión robada antes de que consuma su capacidad de trabajo.
