Le vol de sessions Claude force des déconnexions et des remboursements

Anthropic a déconnecté les utilisateurs de Claude concernés après que des sessions volées ont épuisé leur usage sans mot de passe ni nouvelle authentification. L’histoire d’Anthropic sur Techmeme met en lumière un conflit préoccupant : une sécurité de connexion renforcée ne peut pas protéger une session active copiée depuis un ordinateur infecté.

L’entreprise a également supprimé les moyens de paiement enregistrés et aurait remboursé les frais qu’elle a identifiés comme non autorisés. Anthropic a attribué l’activité à des malwares infostealers courants, et non à des malwares distribués via Claude. Son enquête était toujours en cours lorsque l’incident est devenu public le 30 août 2026.

Cette distinction est importante, mais elle ne transforme pas l’incident en une simple infection d’appareil. Les comptes Claude regroupent désormais des usages payants, des services connectés, des conversations privées, du code et du contexte de travail. Une session volée peut donc exposer bien plus qu’un historique de chatbot.

Microsoft, Google et d’autres fournisseurs cloud ont rencontré le même problème d’identité sous-jacent. Les mots de passe et l’authentification multifacteur protègent la porte d’entrée, tandis que les sessions de navigateur réutilisables restent des cibles précieuses une fois cette porte ouverte.

Ce qu’Anthropic a changé après le détournement de sessions Claude

Anthropic a traité cette activité comme une compromission de session active, et non comme une fuite classique de mots de passe.

Selon le rapport de sécurité Claude original, Anthropic a averti les utilisateurs concernés qu’un acteur malveillant avait dérobé des sessions de connexion Claude depuis des ordinateurs infectés. L’attaquant a ensuite utilisé ces sessions pour accéder aux comptes et consommer l’usage disponible.

Certains utilisateurs auraient vu leurs limites d’usage se reconstituer, puis s’épuiser sans leur intervention. Ce schéma a donné à Anthropic un signal comportemental différent d’une utilisation intensive ordinaire. Il a également fourni aux clients concernés un symptôme visible avant qu’ils ne comprennent la cause.

L’entreprise a réagi en révoquant les sessions compromises, en déconnectant les utilisateurs et en supprimant les moyens de paiement enregistrés. Elle a aussi effectué des remboursements pour les activités qu’elle a qualifiées de non autorisées. Ces actions ont limité la poursuite des accès et réduit le risque d’achats supplémentaires via les comptes touchés.

Anthropic aurait lié les infections à plusieurs familles de malwares déjà établies. La liste Windows comprenait Vidar, LummaC2, StealC, RedLine et Acreed. Atomic Stealer, également appelé AMOS, est apparu dans un nombre plus limité de cas sur Mac.

Il s’agit d’infostealers généralistes : des programmes malveillants conçus pour collecter des identifiants stockés localement, des données de navigateur et des artefacts d’authentification. Ce ne sont pas des exploits spécialisés visant Claude. Une même infection peut compromettre les e-mails, les réseaux sociaux, le stockage cloud, les services financiers et les applications professionnelles.

Anthropic a déclaré n’avoir aucune raison de penser que le malware provenait de Claude ou résultait de l’utilisation de Claude. Un utilisateur concerné aurait reconnu avoir téléchargé un jeu piraté. Ce détail correspond à un schéma de diffusion courant, même s’il ne permet pas d’établir comment chaque ordinateur concerné a été infecté.

L’action la plus importante a été la révocation des sessions. Un changement de mot de passe n’invalide pas toujours immédiatement toutes les sessions de navigateur authentifiées. Un attaquant détenant une session valide peut donc conserver son accès jusqu’à ce que le service rejette cette session.

Anthropic avait déjà introduit des contrôles permettant aux utilisateurs d’examiner les appareils actifs, les navigateurs, les localisations approximatives et l’activité récente. Ses contrôles de sessions actives permettent également aux utilisateurs de mettre fin à distance à une session inconnue.

Ces contrôles sont précieux lorsque l’activité suspecte devient visible. Ils exigent toutefois que l’utilisateur ou Anthropic reconnaisse qu’une session est compromise. Un attaquant dont l’activité ressemble à un usage normal peut réduire cette fenêtre de détection.

Le rapport d’incident n’a pas révélé combien d’utilisateurs ont été touchés. Il n’a pas non plus fourni le volume total d’usage non autorisé, le montant des remboursements, la chronologie de l’infection ou la méthode de détection. Ces lacunes empêchent une estimation fiable de l’ampleur de l’incident.

Les éléments disponibles permettent plutôt une conclusion plus limitée. Certaines sessions Claude ont été volées depuis des terminaux infectés par des malwares, ces sessions ont été détournées, et Anthropic a pris des mesures correctives au niveau des comptes.

C’est la première tension dans l’histoire d’Anthropic sur Techmeme. Anthropic peut invalider ce qui a été volé, mais ne peut pas supprimer le malware de l’ordinateur d’un client.

Un utilisateur qui se reconnecte avant de nettoyer son appareil peut exposer la session de remplacement. Le compte semble rétabli, mais le mécanisme initial de collecte reste opérationnel.

Pourquoi les malwares infostealers peuvent contourner une connexion sécurisée

L’attaquant ne déjoue pas le défi de connexion lorsque le navigateur l’a déjà accompli.

Une session de navigateur permet à un site web de se souvenir qu’un utilisateur s’est authentifié avec succès. Le service place un cookie de session ou un jeton comparable dans le navigateur. Les requêtes ultérieures présentent cet artefact au lieu de répéter l’intégralité du processus de connexion.

Un infostealer ayant accès aux données du navigateur peut copier cet artefact. L’attaquant peut alors tenter de le rejouer depuis un autre environnement. Si le service l’accepte, l’attaquant hérite des autorisations de l’utilisateur authentifié.

MITRE classe ce comportement comme un abus de cookies de session web. Ses recommandations indiquent que les cookies volés peuvent authentifier des utilisateurs auprès d’applications web, car les sessions associées sont déjà approuvées.

Ce mécanisme explique pourquoi l’authentification multifacteur ne résout pas le problème. La MFA peut arrêter une personne qui ne connaît qu’un mot de passe. Elle peut ne jamais avoir l’occasion de défier quelqu’un qui présente une session acceptée.

La distinction est facile à manquer, car les deux attaques conduisent à un accès non autorisé au compte. Leurs parcours de remédiation sont différents.

Un mot de passe volé exige un changement d’identifiants, un examen des sessions et une authentification renforcée. Une session volée nécessite la révocation explicite de l’artefact d’authentification. Un appareil infecté exige également une suppression du malware avant la création d’une nouvelle session de confiance.

La chaîne d’attaque signalée dans les cas Claude comporte plusieurs étapes :

1. Un utilisateur exécute un téléchargement ou une application malveillante.

1. L’infostealer collecte les mots de passe de navigateur, les cookies, les jetons et d’autres données locales.

1. Le malware envoie les éléments collectés vers une infrastructure contrôlée par les attaquants.

1. Un opérateur identifie des sessions Claude actives parmi ces journaux collectés.

1. L’opérateur réutilise les sessions pour consommer l’usage Claude ou effectuer d’autres actions disponibles.

1. Anthropic détecte ou reçoit des signalements de comportements anormaux et révoque les sessions.

Le détournement de sessions Claude commence donc en dehors des systèmes d’Anthropic. Son impact financier et opérationnel devient visible au sein du service.

Cette séparation complique à la fois l’attribution et l’assistance. Anthropic peut observer une consommation inhabituelle, des changements de localisation, de nouvelles caractéristiques d’appareil ou des achats non autorisés. L’entreprise ne peut pas inspecter directement l’ordinateur personnel d’un client afin de vérifier l’infection.

Les attaquants bénéficient également de la quantité de contexte contenue dans les journaux des infostealers. Un journal peut inclure l’historique du navigateur, des identifiants enregistrés, des détails sur l’appareil, des cookies, des entrées de remplissage automatique et des données de portefeuille de cryptomonnaies. Ces informations aident les criminels à prioriser les comptes et à imiter l’activité attendue.

Claude est attractif parce que son usage a une valeur directe. Un compte détourné peut fournir un accès à la capacité du modèle sans que l’attaquant établisse une relation payante distincte. La victime constate l’épuisement de ses limites, tandis que le service voit initialement des requêtes provenant d’une session authentifiée.

Cela ne prouve pas que des attaquants ont compromis les modèles sous-jacents de Claude ou l’infrastructure de la plateforme. Cela montre que l’accès authentifié est lui-même devenu un actif commercialisable.

Le même mécanisme affecte depuis longtemps les services cloud d’entreprise. Microsoft décrit les attaques « pass-the-cookie » comme des cas où un malware extrait des cookies de navigateur et les insère dans un navigateur distinct. Ses recommandations sur le vol de jetons avertissent que les appareils personnels présentent souvent un risque supplémentaire, car les équipes de sécurité d’entreprise ne peuvent pas les inspecter.

Cette comparaison place l’événement Claude dans une catégorie de sécurité plus large. Les services d’IA rejoignent les e-mails, les plateformes documentaires et les outils de développement parmi les destinations précieuses au sein d’environnements de navigateur volés.

L’expression « malware infostealer Claude » peut laisser penser à une famille de malwares créée spécifiquement pour le chatbot. Les éléments rapportés indiquent quelque chose de plus évolutif. Les attaquants ont d’abord collecté de nombreux comptes, puis sélectionné les sessions Claude parce qu’elles étaient devenues utiles.

Le véritable conflit oppose l’accès de confiance à un appareil compromis

Un service cloud doit honorer les sessions valides pour des raisons de facilité d’utilisation, même si un malware peut retourner cette confiance contre l’utilisateur.

Maintenir les utilisateurs connectés réduit les frictions. Cela prend aussi en charge les longues conversations, les sessions de programmation, l’analyse de fichiers, les projets et les flux de travail connectés. Exiger une authentification complète avant chaque requête rendrait ces services difficiles à utiliser.

Des sessions plus longues augmentent la période durant laquelle un artefact volé peut rester utile. Des sessions plus courtes réduisent cette fenêtre, mais entraînent davantage de demandes d’authentification et d’interruptions du travail. La conception des sessions constitue donc un compromis entre sécurité et facilité d’utilisation.

La réponse d’Anthropic a traité le risque immédiat de façon décisive. La révocation des sessions a arrêté les artefacts volés connus. La suppression des moyens de paiement enregistrés a limité l’exposition à de nouvelles facturations. Les remboursements ont transféré les frais non autorisés identifiés loin des victimes.

Cependant, les contrôles réactifs commencent après qu’un service a identifié une activité suspecte. La question centrale est de savoir à quelle vitesse Anthropic peut distinguer une session volée d’un usage légitime.

L’usage de Claude varie naturellement. Un développeur peut soudainement envoyer de nombreuses requêtes de programmation après une semaine calme. Un voyageur peut se connecter depuis un nouveau lieu. Un utilisateur peut changer de navigateur, d’appareil ou de réseau sans avertissement.

Une détection agressive peut bloquer de vrais clients. Une détection permissive peut donner davantage de temps aux attaquants. Anthropic doit régler cette limite alors que les clients attendent un accès immédiat à la capacité qu’ils ont légitimement achetée.

L’incident pousse également les utilisateurs à reconsidérer ce que contient un compte d’IA. Les conversations Claude peuvent inclure du code source, des plans internes, des projets de contrats, des notes de recherche, des documents téléversés et des questions personnelles. L’usage non autorisé n’est qu’un impact possible.

Le rapport public s’est concentré sur l’épuisement de l’usage et la remédiation des paiements. Il n’a pas établi si les attaquants avaient accédé aux historiques de conversation, aux fichiers téléversés, aux projets, aux connecteurs ou aux paramètres du compte. Les lecteurs ne devraient présumer ni exposition ni sécurité sans éléments supplémentaires.

Cette incertitude mérite un traitement prudent. Une session valide donne généralement accès à tout ce dont l’utilisateur authentifié dispose au sein du service. Le comportement réel des attaquants doit toutefois être établi à partir des journaux ou d’une enquête.

Les acheteurs d’entreprise font face à une version plus large du problème. Les employés peuvent utiliser des services d’IA depuis des ordinateurs gérés, des ordinateurs portables personnels, des profils de navigateur et des appareils mobiles. Chaque terminal modifie la capacité de l’organisation à détecter les malwares et à révoquer rapidement les accès.

Les équipes de sécurité surveillent déjà les anomalies de session dans les suites de messagerie et de productivité cloud. Les assistants IA exigent désormais une attention comparable, car ils peuvent contenir un contexte précieux et générer des coûts d’utilisation.

Les organisations doivent distinguer les sessions grand public des identifiants API. L’incident signalé concernait des sessions de connexion Claude. Il n’a pas établi de compromission des clés API Anthropic, des consoles développeur ou des fournisseurs d’identité d’entreprise.

Ces ressources méritent néanmoins d’être examinées après une infection par un infostealer. Les malwares généralistes collectent souvent plusieurs types d’identifiants. Le navigateur d’un développeur, l’historique de son shell, sa configuration locale et son magasin de mots de passe peuvent créer plusieurs voies d’accès indépendantes.

Les utilisateurs doivent également comprendre que changer un seul mot de passe ne constitue pas une remédiation complète. La machine infectée peut exposer le nouveau mot de passe, la nouvelle session ou un autre compte quelques instants plus tard.

Une séquence plus sûre commence depuis un appareil distinct et fiable. L’utilisateur peut révoquer les sessions, sécuriser le compte e-mail principal, examiner les méthodes de récupération et supprimer les moyens de paiement enregistrés. L’ordinateur compromis doit ensuite faire l’objet d’une analyse fiable, d’un nettoyage ou d’une reconstruction.

Ce n’est qu’après ces opérations que l’utilisateur doit établir de nouvelles sessions de confiance. Sinon, la récupération du compte recrée l’artefact que le malware a été conçu pour dérober.

Cela crée l’inversion fondamentale. Le service peut authentifier correctement une session tout en authentifiant la mauvaise personne qui se trouve derrière. Le logiciel suit son modèle de confiance, mais le terminal a corrompu la signification de cette confiance.

Ce que l’article Techmeme sur Anthropic ne prouve pas

La réponse confirme un abus ciblé de comptes, mais les éléments publics n’établissent pas une compromission des systèmes centraux d’Anthropic.

Les informations sur un incident de sécurité condensent souvent plusieurs affirmations différentes sous le mot « hack ». Ce raccourci est particulièrement trompeur dans ce cas.

Les informations disponibles indiquent que des malwares ont infecté les ordinateurs d’utilisateurs et volé des sessions Claude existantes. Anthropic a ensuite observé ou enquêté sur une utilisation non autorisée de ces sessions. Cela diffère sensiblement d’attaquants extrayant une base de données de comptes depuis Anthropic.

Aucun élément divulgué n’indique que Claude a installé le malware. Aucun élément divulgué n’indique non plus que des sorties du modèle ont exploité les appareils des clients. Anthropic a explicitement indiqué aux utilisateurs concernés qu’il n’associait pas le malware à Claude.

Cette déclaration reste l’évaluation d’une entreprise pendant une enquête en cours. Elle ne doit pas être étendue à une garantie plus large couvrant chaque appareil affecté ou chaque voie de diffusion.

Le rapport ne quantifie pas non plus la population affectée. Des termes comme « certains utilisateurs » ne permettent pas d’estimer la prévalence de l’incident. Une poignée de comptes confirmés et une vaste campagne exigeraient des réponses de plateforme très différentes.

Les remboursements constituent un autre signal incomplet. Ils montrent qu’Anthropic a reconnu au moins certaines activités non autorisées ayant eu des conséquences financières. Ils ne révèlent ni la perte totale, ni l’impact moyen par compte, ni les règles utilisées pour approuver les remboursements.

La suppression des moyens de paiement enregistrés est une mesure de confinement prudente. Elle peut également indiquer que les actions accessibles à l’attaquant allaient au-delà de la consommation d’un quota existant. Les éléments publics ne précisent pas quels achats tentés ou finalisés ont déclenché cette réponse.

Une autre inconnue concerne la détection. Anthropic n’a pas détaillé publiquement s’il a identifié les victimes par des anomalies d’appareil, des schémas d’utilisation, des signalements clients, du renseignement sur les menaces ou des journaux de stealer récupérés.

La réponse est importante, car chaque méthode offre une couverture différente. Les signalements clients détectent les dommages visibles, mais peuvent manquer les accès discrets. La détection comportementale passe mieux à l’échelle, mais peut générer des faux positifs. Le renseignement issu des journaux de stealers peut identifier une exposition avant tout abus, même si les données sous-jacentes peuvent être incomplètes.

L’entreprise n’a pas non plus indiqué si les sessions révoquées comprenaient toutes les sessions d’un compte affecté ou seulement certains artefacts. Une révocation plus large offre un confinement plus net, mais perturbe davantage les utilisateurs légitimes.

De même, aucune déclaration publique n’explique si Anthropic a raccourci la durée de vie des sessions, modifié le comportement de renouvellement ou ajouté des contrôles de liaison aux appareils après l’enquête. Ces changements montreraient si la réponse va au-delà du nettoyage de comptes individuels.

Google poursuit une réponse au niveau du navigateur avec Device Bound Session Credentials. DBSC utilise des clés soutenues par le matériel et des cookies de courte durée, exigeant que le navigateur prouve la possession d’une clé que les malwares ne peuvent normalement pas exporter.

Google a indiqué dans sa mise à jour sur la protection des sessions que DBSC était devenu publiquement disponible pour les utilisateurs Windows dans Chrome 146. La prise en charge de Mac était prévue dans une version ultérieure.

Cette conception augmente le coût de la réutilisation d’un cookie exporté sur un autre appareil. Elle ne rend pas les terminaux infectés inoffensifs. Les malwares exécutés localement peuvent encore voler d’autres données, observer l’activité de l’utilisateur ou agir via la machine compromise.

Les services doivent aussi adopter les points de terminaison d’enregistrement et de renouvellement nécessaires avant que la prise en charge par le navigateur n’apporte une protection. L’existence de DBSC ne confirme pas que les sessions Claude l’utilisent actuellement.

La liaison à l’appareil soulève ses propres questions de déploiement. Les services doivent gérer le remplacement d’appareils, la récupération, plusieurs navigateurs, l’accessibilité et les matériels dépourvus de modules de sécurité compatibles. Les attaquants peuvent également adapter leurs opérations au contrôle en temps réel de terminaux infectés.

Le point critique à retenir reste donc limité. La remédiation d’Anthropic paraît appropriée au mécanisme signalé, mais les informations publiques ne montrent pas si elle empêche une récurrence à l’échelle de la plateforme.

Ce n’est pas une raison de rejeter cette réponse. C’est une raison d’évaluer les prochains signaux techniques et de transparence.

Trois signaux qui montreront si les sessions Claude sont plus sûres

La prochaine phase dépend d’une meilleure transparence, de contrôles de session plus robustes et d’éléments prouvant que les vols répétés deviennent plus difficiles.

Le premier signal est une mise à jour détaillée d’Anthropic sur l’incident. La version la plus solide divulguerait l’ampleur approximative, la fenêtre d’abus, la méthode de détection et les capacités des comptes affectés.

Une telle mise à jour renforcerait l’évaluation actuelle si elle confirmait une détection rapide et un accès limité. Elle l’affaiblirait si des sessions de longue durée avaient permis une activité prolongée et inaperçue.

Les utilisateurs ont également besoin de précisions sur la différence entre le vol d’utilisation et l’accès aux données. Anthropic n’a pas besoin d’exposer des détails d’enquête qui aideraient les attaquants. Il peut néanmoins expliquer si ses éléments indiquaient un accès aux conversations, aux projets, aux fichiers, aux connecteurs ou aux contrôles de facturation.

Le deuxième signal est un changement dans la sécurité des sessions. Parmi les mesures utiles figurent des durées de vie de jetons plus courtes, une réauthentification fondée sur le risque, des alertes d’appareil plus claires, une révocation globale plus rapide et une liaison plus forte entre les sessions et le matériel de confiance.

La page existante d’Anthropic consacrée aux sessions actives offre aux utilisateurs une visibilité utile. Une amélioration future pourrait permettre de corréler plus facilement les nouveaux emplacements, les nouveaux navigateurs et une consommation inhabituelle, sans obliger les clients à examiner plusieurs paramètres.

Une évolution documentée vers des sessions liées à l’appareil renforcerait l’idée qu’Anthropic a traité le mécanisme de réutilisation sous-jacent. Des incidents répétés impliquant des sessions nouvellement émises montreraient que les malwares de terminaux contournent encore les contrôles retenus.

Aucun contrôle unique ne résoudra le problème. La liaison à l’appareil peut limiter les cookies exportés, tandis que la protection des terminaux réduit le risque de vol. La détection comportementale limite les abus après l’accès, et les contrôles de paiement réduisent l’impact financier.

Le troisième signal est de savoir si d’autres services IA signalent des campagnes comparables. Les attaquants restent rarement concentrés sur une seule plateforme lorsque les mêmes journaux de stealer contiennent plusieurs sessions de valeur.

OpenAI, Google, Microsoft, les assistants de programmation et les plateformes de développement cloud font face à des incitations similaires. Une vague plus large confirmerait que les criminels trient de plus en plus les journaux de stealer généralistes à la recherche d’accès IA.

Un schéma limité à Anthropic soulèverait des questions différentes. Il pourrait refléter la valeur de l’utilisation de Claude, le comportement des sessions, la familiarité des attaquants ou simplement une meilleure détection et une meilleure transparence. Les rapports publics seuls ne permettent pas forcément de distinguer ces explications.

Les organisations doivent surveiller leurs propres indicateurs pendant cette période. Des pics d’utilisation inattendus, des sessions inconnues, un épuisement inexpliqué des limites et de nouvelles activités de paiement méritent une enquête. Ces signes deviennent plus importants après toute suspicion d’infection par un malware.

Les utilisateurs qui reçoivent un avertissement d’Anthropic doivent le traiter comme une preuve d’une compromission au niveau de l’appareil. Se reconnecter à Claude n’est pas la première étape de récupération. Le nettoyage du terminal et la protection des autres comptes doivent précéder la création d’une autre session.

Le compte e-mail principal mérite une attention immédiate, car il contrôle souvent les réinitialisations de mots de passe et les messages de récupération. Les utilisateurs doivent également examiner les identifiants enregistrés par le navigateur, les comptes financiers, le stockage cloud, les plateformes sociales et les accès professionnels.

Les développeurs doivent faire tourner les secrets exposés après avoir établi un environnement propre. Cet examen peut inclure les clés API, les jetons de dépôt, les identifiants cloud, les accès au registre de paquets et les fichiers d’environnement locaux.

Les équipes de sécurité doivent éviter de considérer le remboursement Claude comme la fin de l’incident. Un remboursement traite une conséquence visible. Le même stealer peut avoir créé des voies d’accès supplémentaires ne produisant aucun débit immédiat.

Pour Anthropic, les enjeux commerciaux vont au-delà des remboursements. Les clients doivent croire que le service peut distinguer leur activité de celle d’un attaquant qui rejoue une session valide. Les acheteurs en entreprise attendront également des contrôles compatibles avec leurs programmes existants d’identité et de terminaux.

Pour le marché de l’IA dans son ensemble, cet incident marque un changement dans les priorités des attaquants. Les sessions IA offrent désormais assez d’utilité et de valeur financière pour être sélectionnées dans de vastes collections de données de navigateur volées.

Cela ne rend pas Claude particulièrement peu sûr. Cela fait de Claude une composante de la même couche d’identité contestée que les e-mails, les documents cloud et l’infrastructure de développement.

La couverture Techmeme sur Anthropic doit donc être lue comme un avertissement concernant la confiance accordée aux sessions, et non seulement comme une histoire de limites Claude épuisées. La sécurité des mots de passe reste nécessaire, mais l’état authentifié du navigateur est devenu un identifiant à part entière.

Les utilisateurs peuvent agir dès maintenant en examinant les sessions actives de Claude depuis un appareil de confiance et en mettant fin à toute session inconnue. Ils doivent enquêter sur le terminal avant de se reconnecter. La question pour Anthropic est de savoir si ses prochains contrôles pourront rendre une session copiée inutilisable avant qu’un attaquant n’épuise l’utilisation ou n’accède à quelque chose de plus sensible.