El robo de sesiones de Claude obliga a cerrar sesiones de usuarios y emitir reembolsos

Anthropic cerró las sesiones de los usuarios afectados de Claude después de que sesiones robadas agotaran su uso sin necesidad de contraseñas ni autenticación adicional. La historia de Anthropic en Techmeme se centra en un conflicto preocupante: una mayor seguridad de inicio de sesión no puede proteger una sesión activa copiada desde un equipo infectado.

La empresa también eliminó los métodos de pago guardados y, según se informó, reembolsó los cargos que identificó como no autorizados. Anthropic atribuyó la actividad a malware infostealer común, no a malware distribuido a través de Claude. Su investigación seguía activa cuando el incidente se hizo público el 30 de agosto de 2026.

Esta distinción es importante, pero no convierte el incidente en una infección rutinaria de un dispositivo. Las cuentas de Claude ahora incluyen uso de pago, servicios conectados, conversaciones privadas, código y contexto de trabajo. Por tanto, una sesión robada puede exponer más que el historial de un chatbot.

Microsoft, Google y otros proveedores de nube se han enfrentado al mismo problema subyacente de identidad. Las contraseñas y la autenticación multifactor protegen la puerta principal, mientras que las sesiones reutilizables del navegador siguen siendo objetivos valiosos una vez que esa puerta se ha abierto.

Qué cambió Anthropic tras el secuestro de sesiones de Claude

Anthropic trató la actividad como un compromiso de sesión activa, no como una filtración convencional de contraseñas.

Según el informe de seguridad original de Claude, Anthropic advirtió a los usuarios afectados que un actor malicioso había robado sesiones de inicio de sesión de Claude desde equipos infectados. El atacante utilizó después esas sesiones para acceder a las cuentas y consumir el uso disponible.

Algunos usuarios aparentemente vieron cómo sus límites de uso se restablecían y luego se agotaban sin su intervención. Ese patrón dio a Anthropic una señal de comportamiento distinta al uso intensivo habitual. También proporcionó a los clientes afectados un síntoma visible antes de comprender la causa.

La empresa respondió revocando las sesiones comprometidas, cerrando las sesiones de los usuarios y eliminando los métodos de pago guardados. También emitió reembolsos por la actividad que clasificó como no autorizada. Estas acciones limitaron el acceso continuado y redujeron la probabilidad de compras adicionales a través de las cuentas afectadas.

Según se informó, Anthropic vinculó las infecciones con varias familias de malware ya conocidas. La lista de Windows incluía Vidar, LummaC2, StealC, RedLine y Acreed. Atomic Stealer, también llamado AMOS, apareció en un número menor de casos de Mac.

Se trata de infostealers de propósito general, programas maliciosos diseñados para recopilar credenciales almacenadas localmente, datos del navegador y artefactos de autenticación. No son exploits especializados para Claude. La misma infección puede comprometer correo electrónico, redes sociales, almacenamiento en la nube, servicios financieros y aplicaciones de trabajo.

Anthropic afirmó no tener motivos para creer que el malware procediera de Claude o fuera resultado de usar Claude. Según se informó, un usuario afectado reconoció haber descargado un juego pirateado. Ese detalle respalda un patrón de distribución común, aunque no determina cómo se infectó cada equipo afectado.

La acción más importante fue la revocación de sesiones. Un cambio de contraseña no siempre invalida de inmediato todas las sesiones autenticadas del navegador. Por ello, un atacante que posea una sesión válida puede conservar el acceso hasta que el servicio rechace esa sesión.

Anthropic ya había introducido controles que permiten a los usuarios revisar dispositivos activos, navegadores, ubicaciones aproximadas y actividad reciente. Sus controles de sesión activa también permiten a los usuarios finalizar de forma remota una sesión desconocida.

Estos controles son valiosos cuando la actividad sospechosa se vuelve visible. Sin embargo, siguen requiriendo que el usuario o Anthropic reconozcan que una sesión está comprometida. Un atacante que se asemeje al uso normal puede reducir esa ventana de detección.

El informe del incidente no reveló cuántos usuarios fueron afectados. Tampoco proporcionó el uso total no autorizado, el importe de los reembolsos, la cronología de la infección ni el método de detección. Estas lagunas impiden una estimación fiable de la escala del incidente.

En cambio, la evidencia disponible respalda una conclusión más acotada. Algunas sesiones de Claude fueron robadas de endpoints infectados con malware, esas sesiones fueron utilizadas de forma abusiva y Anthropic adoptó medidas de remediación a nivel de cuenta.

Esa es la primera tensión en la historia de Anthropic en Techmeme. Anthropic puede invalidar lo que fue robado, pero no puede eliminar el malware del ordenador de un cliente.

Un usuario que vuelva a iniciar sesión antes de limpiar el dispositivo puede exponer la sesión de reemplazo. La cuenta parece recuperada, pero el mecanismo original de recopilación sigue operativo.

Por qué el malware infostealer puede eludir un inicio de sesión seguro

El atacante no supera el desafío de inicio de sesión cuando el navegador ya lo ha completado.

Una sesión del navegador permite a un sitio web recordar que un usuario se autenticó correctamente. El servicio coloca una cookie de sesión o un token comparable en el navegador. Las solicitudes posteriores presentan ese artefacto en lugar de repetir el proceso completo de inicio de sesión.

Un infostealer que se ejecute con acceso a los datos del navegador puede copiar ese artefacto. Después, el atacante puede intentar reproducirlo desde otro entorno. Si el servicio lo acepta, el atacante hereda los permisos del usuario autenticado.

MITRE clasifica este comportamiento como abuso de cookies de sesión web. Su guía indica que las cookies robadas pueden autenticar usuarios en aplicaciones web porque las sesiones asociadas ya son de confianza.

Este mecanismo explica por qué la autenticación multifactor no resuelve el problema. La MFA puede detener a alguien que solo conoce una contraseña. Es posible que nunca tenga la oportunidad de desafiar a alguien que presenta una sesión aceptada.

La distinción es fácil de pasar por alto porque ambos ataques generan una cuenta no autorizada. Sus vías de remediación son diferentes.

Una contraseña robada exige cambiar las credenciales, revisar las sesiones y reforzar la autenticación. Una sesión robada exige revocar explícitamente el artefacto de autenticación. Un dispositivo infectado también requiere eliminar el malware antes de crear otra sesión de confianza.

La cadena de ataque reportada en los casos de Claude contiene varias etapas:

1. Un usuario ejecuta una descarga o aplicación maliciosa.

1. El infostealer recopila contraseñas del navegador, cookies, tokens y otros datos locales.

1. El malware envía el material recopilado a infraestructura controlada por el atacante.

1. Un operador identifica sesiones activas de Claude dentro de esos registros recopilados.

1. El operador reutiliza las sesiones para consumir uso de Claude o realizar otras acciones disponibles.

1. Anthropic detecta o recibe informes de comportamiento anómalo y revoca las sesiones.

Por tanto, el secuestro de sesiones de Claude comienza fuera de los sistemas de Anthropic. Su impacto financiero y operativo se hace visible dentro del servicio.

Esta división complica tanto la atribución como el soporte. Anthropic puede observar consumo inusual, cambios de ubicación, nuevas características de dispositivos o compras no autorizadas. No puede inspeccionar directamente el ordenador personal de un cliente para verificar la infección.

Los atacantes también se benefician de la cantidad de contexto contenida en los registros de los stealers. Un registro puede incluir historial de navegación, credenciales almacenadas, detalles del dispositivo, cookies, entradas de autocompletado y datos de billeteras de criptomonedas. Estos campos ayudan a los delincuentes a priorizar cuentas e imitar la actividad esperada.

Claude resulta atractivo porque su uso tiene un valor directo. Una cuenta secuestrada puede proporcionar acceso a capacidad de modelos sin que el atacante establezca una relación de pago independiente. La víctima ve límites agotados, mientras que el servicio inicialmente ve solicitudes procedentes de una sesión autenticada.

Esto no demuestra que los atacantes comprometieran los modelos subyacentes de Claude ni la infraestructura de la plataforma. Demuestra que el acceso autenticado se ha convertido en un activo comercializable.

El mismo mecanismo lleva tiempo afectando a los servicios empresariales en la nube. Microsoft describe los ataques de “pass-the-cookie” como casos en los que el malware extrae cookies del navegador y las inserta en un navegador distinto. Su guía sobre robo de tokens advierte que los dispositivos personales suelen conllevar riesgos adicionales porque los equipos de seguridad corporativa no pueden inspeccionarlos.

Esta comparación sitúa el evento de Claude dentro de una categoría de seguridad más amplia. Los servicios de IA se están sumando al correo electrónico, las plataformas de documentos y las herramientas de desarrollo como destinos valiosos dentro de entornos de navegador robados.

La etiqueta “malware infostealer Claude” puede sugerir una familia de malware creada específicamente para el chatbot. La evidencia reportada indica algo más escalable. Los atacantes recopilaron primero muchas cuentas y luego seleccionaron sesiones de Claude porque esas sesiones se habían vuelto útiles.

El verdadero conflicto es el acceso de confianza frente a un dispositivo comprometido

Un servicio en la nube debe respetar las sesiones válidas para ofrecer una experiencia fluida, aunque el malware pueda convertir esa confianza en un arma contra el usuario.

Mantener a los usuarios con la sesión iniciada reduce la fricción. También facilita conversaciones largas, sesiones de programación, análisis de archivos, proyectos y flujos de trabajo conectados. Exigir una autenticación completa antes de cada solicitud haría difícil utilizar esos servicios.

Las sesiones de mayor duración amplían el período durante el cual un artefacto robado puede seguir siendo útil. Las sesiones más cortas reducen esa ventana, pero generan más solicitudes de autenticación e interrupciones del trabajo. Por tanto, el diseño de sesiones implica una disyuntiva entre seguridad y usabilidad.

La respuesta de Anthropic abordó el riesgo inmediato de forma decisiva. La revocación de sesiones detuvo los artefactos robados conocidos. La eliminación de los métodos de pago guardados limitó una mayor exposición a facturación. Los reembolsos trasladaron los cargos no autorizados identificados fuera de las víctimas.

Aun así, los controles reactivos comienzan después de que un servicio identifica actividad sospechosa. La cuestión central es con qué rapidez Anthropic puede distinguir una sesión robada del uso legítimo.

El uso de Claude varía de manera natural. Un desarrollador puede enviar de repente muchas solicitudes de programación después de una semana tranquila. Un viajero puede conectarse desde una ubicación nueva. Un usuario puede cambiar de navegador, dispositivo o red sin previo aviso.

Una detección agresiva puede bloquear a clientes reales. Una detección permisiva puede dar más tiempo a los atacantes. Anthropic debe ajustar ese límite mientras los clientes esperan acceso inmediato a la capacidad que adquirieron legítimamente.

El incidente también obliga a los usuarios a replantearse qué contiene una cuenta de IA. Las conversaciones de Claude pueden incluir código fuente, planificación interna, borradores de contratos, notas de investigación, documentos cargados y preguntas personales. El uso no autorizado es solo uno de los posibles impactos.

El informe público se centró en el uso agotado y la remediación de pagos. No estableció si los atacantes accedieron a historiales de conversación, archivos cargados, proyectos, conectores o configuraciones de cuenta. Los lectores no deben asumir ni exposición ni seguridad sin evidencia adicional.

Esta incertidumbre merece un tratamiento cuidadoso. Una sesión válida generalmente proporciona todo el acceso que el usuario autenticado tiene dentro de ese servicio. Sin embargo, el comportamiento real del atacante debe establecerse mediante registros o una investigación.

Los compradores empresariales afrontan una versión más amplia del problema. Los empleados pueden utilizar servicios de IA desde ordenadores administrados, portátiles personales, perfiles de navegador y dispositivos móviles. Cada endpoint cambia la capacidad de la organización para detectar malware y revocar el acceso rápidamente.

Los equipos de seguridad ya monitorizan anomalías de sesión en el correo electrónico y las suites de productividad en la nube. Los asistentes de IA ahora requieren una atención comparable porque pueden contener contexto valioso y generar costes de consumo.

Las organizaciones deben distinguir entre sesiones de usuarios y credenciales de API. El incidente reportado se refería a sesiones de inicio de sesión de Claude. No estableció el compromiso de claves de API de Anthropic, consolas de desarrollador ni proveedores de identidad empresarial.

Esos activos siguen mereciendo revisión después de una infección por infostealer. El malware de propósito general suele recopilar más de un tipo de credencial. El navegador de un desarrollador, el historial de la shell, la configuración local y el almacén de contraseñas pueden crear varias vías de acceso independientes.

Los usuarios también deben reconocer que cambiar una contraseña no constituye una remediación completa. La máquina infectada puede exponer la nueva contraseña, la nueva sesión u otra cuenta instantes después.

Una secuencia más segura comienza desde un dispositivo independiente y de confianza. El usuario puede revocar sesiones, proteger la cuenta principal de correo electrónico, revisar los métodos de recuperación y eliminar el acceso de pago almacenado. Después, el ordenador comprometido necesita un análisis fiable, limpieza o reconstrucción.

Solo después de ese trabajo el usuario debe establecer nuevas sesiones de confianza. De lo contrario, la recuperación de la cuenta recrea el artefacto que el malware fue diseñado para robar.

Esto crea la inversión fundamental. El servicio puede autenticar correctamente una sesión mientras autentica a la persona equivocada que está detrás de ella. El software sigue su modelo de confianza, pero el endpoint ha corrompido el significado de esa confianza.

Lo que la historia de Anthropic en Techmeme no demuestra

La respuesta confirma abuso selectivo de cuentas, pero la evidencia pública no establece una brecha en los sistemas centrales de Anthropic.

Las noticias sobre un incidente de seguridad suelen fusionar varias afirmaciones distintas bajo la palabra «hack». Ese atajo resulta especialmente engañoso en este caso.

La información disponible indica que malware infectó los ordenadores de usuarios y robó sesiones existentes de Claude. Después, Anthropic observó o investigó el uso no autorizado de esas sesiones. Esto es sustancialmente distinto de que atacantes extrajeran una base de datos de cuentas de Anthropic.

No hay evidencia divulgada de que Claude instalara el malware. Tampoco hay evidencia divulgada de que las respuestas del modelo explotaran dispositivos de clientes. Anthropic indicó explícitamente a los usuarios afectados que no asociaba el malware con Claude.

Esa declaración sigue siendo una evaluación de la empresa durante una investigación en curso. No debe ampliarse hasta convertirla en una garantía más amplia sobre todos los dispositivos afectados o todas las rutas de entrega.

El informe tampoco cuantifica la población afectada. Expresiones como «algunos usuarios» no permiten estimar la prevalencia del incidente. Un puñado de cuentas confirmadas y una campaña amplia requerirían respuestas de plataforma muy diferentes.

Los reembolsos aportan otra señal incompleta. Muestran que Anthropic reconoció al menos cierta actividad no autorizada con consecuencias financieras. No revelan la pérdida total, el impacto medio por cuenta ni las reglas utilizadas para aprobar los reembolsos.

Eliminar los métodos de pago guardados es una medida prudente de contención. También puede indicar que las acciones disponibles para el atacante iban más allá de consumir una asignación existente. La evidencia pública no muestra qué compras intentadas o completadas desencadenaron esa respuesta.

Otra incógnita se refiere a la detección. Anthropic no ha detallado públicamente si identificó a las víctimas mediante anomalías de dispositivos, patrones de uso, informes de clientes, inteligencia de amenazas o registros recuperados de stealers.

La respuesta importa porque cada método ofrece una cobertura diferente. Los informes de clientes detectan daños visibles, pero pueden pasar por alto accesos silenciosos. La detección conductual escala mejor, pero puede generar falsos positivos. La inteligencia de registros de stealers puede identificar exposición antes del abuso, aunque los datos subyacentes pueden estar incompletos.

La empresa tampoco ha descrito si las sesiones revocadas incluían todas las sesiones de una cuenta afectada o solo determinados artefactos. Una revocación más amplia ofrece una contención más limpia, pero provoca más interrupciones para los usuarios legítimos.

Del mismo modo, ninguna declaración pública explica si Anthropic redujo la duración de las sesiones, cambió el comportamiento de renovación o añadió controles de vinculación al dispositivo tras la investigación. Esos cambios mostrarían si la respuesta va más allá de la limpieza de cuentas individuales.

Google está buscando una respuesta a nivel de navegador mediante Device Bound Session Credentials. DBSC utiliza claves respaldadas por hardware y cookies de corta duración, y exige que el navegador demuestre la posesión de una clave que el malware no puede exportar normalmente.

Google indicó en su actualización sobre protección de sesiones que DBSC pasó a disponibilidad pública para usuarios de Windows en Chrome 146. El soporte para Mac estaba previsto para una versión posterior.

Ese diseño eleva el coste de reproducir una cookie exportada en otro dispositivo. No vuelve inocuos a los endpoints infectados. El malware que se ejecuta localmente todavía puede robar otros datos, observar la actividad del usuario o actuar a través de la máquina comprometida.

Los servicios también deben adoptar los endpoints necesarios de registro y renovación antes de que el soporte del navegador aporte protección. La existencia de DBSC no confirma que las sesiones de Claude lo utilicen actualmente.

La vinculación al dispositivo plantea sus propias preguntas de implementación. Los servicios deben gestionar la sustitución de dispositivos, la recuperación, varios navegadores, la accesibilidad y el hardware sin módulos de seguridad compatibles. Los atacantes también pueden adaptar sus operaciones al control en tiempo real de endpoints infectados.

Por tanto, el punto crítico y escéptico es acotado. La remediación de Anthropic parece apropiada para el mecanismo reportado, pero el registro público no muestra si evita la recurrencia a escala de plataforma.

No es motivo para desestimar la respuesta. Es motivo para evaluar las próximas señales técnicas y de transparencia.

Tres señales que mostrarán si las sesiones de Claude son más seguras

La siguiente fase depende de una divulgación mejor, controles de sesión más sólidos y evidencia de que el robo repetido se vuelve más difícil.

La primera señal es una actualización detallada del incidente por parte de Anthropic. La versión más sólida divulgaría el alcance aproximado, la ventana de abuso, el método de detección y las capacidades de las cuentas afectadas.

Tal actualización reforzaría la evaluación actual si confirma una detección rápida y un acceso limitado. Debilitaría esa evaluación si sesiones de larga duración permitieron actividad prolongada y no detectada.

Los usuarios también necesitan claridad sobre la diferencia entre el robo de uso y el acceso a datos. Anthropic no necesita exponer detalles de la investigación que ayuden a los atacantes. Aun así, puede explicar si su evidencia mostró acceso a chats, proyectos, archivos, conectores o controles de facturación.

La segunda señal es un cambio en la seguridad de las sesiones. Las medidas útiles incluyen una menor duración de los tokens, reautenticación basada en riesgos, alertas de dispositivo más claras, revocación global más rápida y una vinculación más fuerte entre las sesiones y el hardware de confianza.

La página actual de sesiones activas de Anthropic ofrece a los usuarios una visibilidad significativa. Una mejora futura podría facilitar la correlación entre nuevas ubicaciones, nuevos navegadores y consumos inusuales sin obligar a los clientes a revisar varios ajustes.

Un avance documentado hacia sesiones vinculadas al dispositivo reforzaría la idea de que Anthropic abordó el mecanismo subyacente de reproducción. Incidentes repetidos que impliquen sesiones recién emitidas mostrarían que el malware de endpoint todavía derrota los controles elegidos.

Ningún control por sí solo resolverá el problema. La vinculación al dispositivo puede restringir las cookies exportadas, mientras que la protección de endpoints reduce la probabilidad de robo. La detección conductual limita el abuso tras el acceso, y los controles de pago reducen el impacto financiero.

La tercera señal es si otros servicios de IA informan de campañas comparables. Los atacantes rara vez se centran en una sola plataforma cuando los mismos registros de stealer contienen varias sesiones valiosas.

OpenAI, Google, Microsoft, los asistentes de programación y las plataformas de desarrollo en la nube afrontan incentivos similares. Una ola más amplia confirmaría que los delincuentes clasifican cada vez más los registros generales de stealer para obtener acceso a IA.

Un patrón exclusivo de Anthropic plantearía preguntas diferentes. Podría reflejar el valor del uso de Claude, el comportamiento de las sesiones, la familiaridad de los atacantes o simplemente una mejor detección y divulgación. Los informes públicos por sí solos quizá no separen esas explicaciones.

Las organizaciones deben vigilar sus propios indicadores durante este periodo. Los picos de uso inesperados, las sesiones desconocidas, el agotamiento inexplicable de límites y la nueva actividad de pago merecen investigación. Estas señales se vuelven más importantes después de cualquier sospecha de infección por malware.

Los usuarios que reciban una advertencia de Anthropic deben tratarla como evidencia de un compromiso a nivel de dispositivo. Volver a iniciar sesión en Claude no es el primer paso de recuperación. Limpiar el endpoint y proteger otras cuentas preceden a crear otra sesión.

La cuenta principal de correo electrónico merece atención inmediata porque a menudo controla los restablecimientos de contraseña y los mensajes de recuperación. Los usuarios también deben revisar las credenciales almacenadas en el navegador, las cuentas financieras, el almacenamiento en la nube, las plataformas sociales y el acceso al lugar de trabajo.

Los desarrolladores deben rotar los secretos expuestos después de establecer un entorno limpio. Esa revisión puede incluir claves de API, tokens de repositorio, credenciales en la nube, acceso a registros de paquetes y archivos de entorno local.

Los equipos de seguridad deben evitar tratar el reembolso de Claude como el final del incidente. Un reembolso aborda una consecuencia visible. El mismo stealer puede haber creado vías de acceso adicionales que no generan un cargo inmediato.

Para Anthropic, lo que está en juego comercialmente va más allá de los reembolsos. Los clientes deben creer que el servicio puede separar su actividad de la de un atacante que reproduce una sesión válida. Los compradores empresariales también esperarán controles que encajen con los programas existentes de identidad y endpoints.

Para el mercado de IA en general, este incidente marca un cambio en las prioridades de los atacantes. Las sesiones de IA ahora ofrecen suficiente utilidad y valor financiero como para ser seleccionadas de grandes colecciones de datos de navegador robados.

Eso no hace que Claude sea especialmente inseguro. Hace que Claude forme parte de la misma capa de identidad disputada que el correo electrónico, los documentos en la nube y la infraestructura de desarrollo.

Por tanto, la cobertura de Anthropic en Techmeme debe leerse como una advertencia sobre la confianza en las sesiones, no solo como una historia sobre límites de Claude agotados. La seguridad de las contraseñas sigue siendo necesaria, pero el estado autenticado del navegador se ha convertido en una credencial por derecho propio.

Los usuarios pueden actuar ahora revisando las sesiones activas de Claude desde un dispositivo de confianza y finalizando cualquier sesión desconocida. Deben investigar el endpoint antes de volver a iniciar sesión. La cuestión para Anthropic es si sus próximos controles pueden inutilizar una sesión copiada antes de que un atacante agote el uso o alcance algo más sensible.