Il furto di sessioni Claude costringe gli utenti a disconnettersi e ottiene rimborsi

Anthropic ha disconnesso gli utenti Claude interessati dopo che sessioni rubate hanno consumato l'utilizzo senza password né una nuova autenticazione. La storia di Anthropic su Techmeme ruota attorno a un conflitto preoccupante: una sicurezza di accesso più robusta non può proteggere una sessione attiva copiata da un computer infetto.

L'azienda ha inoltre rimosso i metodi di pagamento salvati e, secondo quanto riportato, ha rimborsato gli addebiti identificati come non autorizzati. Anthropic ha attribuito l'attività a comuni malware infostealer, non a malware distribuito tramite Claude. Al momento in cui l'incidente è diventato pubblico, il 30 agosto 2026, l'indagine era ancora in corso.

Questa distinzione è importante, ma non rende l'incidente una normale infezione del dispositivo. Gli account Claude ora includono utilizzo a pagamento, servizi connessi, conversazioni private, codice e contesto lavorativo. Una sessione rubata può quindi esporre molto più della cronologia di un chatbot.

Microsoft, Google e altri provider cloud hanno affrontato lo stesso problema di identità alla base. Password e autenticazione multifattore proteggono la porta d'ingresso, mentre le sessioni riutilizzabili del browser restano obiettivi preziosi una volta aperta quella porta.

Cosa ha cambiato Anthropic dopo il dirottamento delle sessioni Claude

Anthropic ha trattato l'attività come una compromissione di sessioni attive, non come una tradizionale violazione delle password.

Secondo il rapporto di sicurezza su Claude, Anthropic ha avvisato gli utenti interessati che un malintenzionato aveva rubato sessioni di accesso a Claude da computer infetti. L'aggressore ha poi usato tali sessioni per accedere agli account e consumare l'utilizzo disponibile.

Alcuni utenti avrebbero visto i propri limiti di utilizzo ricaricarsi e poi esaurirsi senza alcun loro intervento. Questo schema ha fornito ad Anthropic un segnale comportamentale diverso dal normale uso intensivo. Ha inoltre dato ai clienti interessati un sintomo visibile prima che ne comprendessero la causa.

L'azienda ha risposto revocando le sessioni compromesse, disconnettendo gli utenti e rimuovendo i metodi di pagamento salvati. Ha inoltre emesso rimborsi per l'attività classificata come non autorizzata. Queste azioni hanno limitato l'accesso continuativo e ridotto la possibilità di ulteriori acquisti tramite gli account coinvolti.

Anthropic avrebbe collegato le infezioni a diverse famiglie di malware già note. L'elenco per Windows includeva Vidar, LummaC2, StealC, RedLine e Acreed. Atomic Stealer, chiamato anche AMOS, è comparso in un numero minore di casi Mac.

Si tratta di infostealer per uso generico, ovvero programmi dannosi progettati per raccogliere credenziali archiviate localmente, dati del browser e artefatti di autenticazione. Non sono exploit specializzati per Claude. La stessa infezione può compromettere email, social media, archiviazione cloud, servizi finanziari e applicazioni aziendali.

Anthropic ha dichiarato di non avere motivo di ritenere che il malware provenisse da Claude o fosse il risultato dell'uso di Claude. Un utente interessato avrebbe riconosciuto di aver scaricato un gioco piratato. Questo dettaglio supporta un modello di diffusione comune, sebbene non stabilisca come sia stato infettato ogni computer coinvolto.

L'azione più importante è stata la revoca delle sessioni. Una modifica della password non invalida sempre immediatamente tutte le sessioni del browser già autenticate. Un aggressore in possesso di una sessione valida può quindi mantenere l'accesso finché il servizio non rifiuta quella sessione.

Anthropic aveva già introdotto controlli che consentono agli utenti di verificare dispositivi attivi, browser, posizioni approssimative e attività recenti. I suoi controlli delle sessioni attive permettono inoltre agli utenti di terminare da remoto una sessione sconosciuta.

Questi controlli sono preziosi dopo che un'attività sospetta diventa visibile. Tuttavia, richiedono comunque che l'utente o Anthropic riconosca che una sessione è compromessa. Un aggressore che assomiglia a un utente normale può ridurre quella finestra di rilevamento.

Il rapporto sull'incidente non ha divulgato quante persone siano state coinvolte. Non ha inoltre fornito il totale dell'utilizzo non autorizzato, il valore dei rimborsi, la cronologia dell'infezione o il metodo di rilevamento. Queste lacune impediscono una stima affidabile della portata dell'incidente.

Le prove disponibili supportano invece una conclusione più circoscritta. Alcune sessioni Claude sono state rubate da endpoint infettati da malware, tali sessioni sono state abusate e Anthropic ha adottato misure correttive a livello di account.

Questa è la prima tensione nella storia di Anthropic su Techmeme. Anthropic può invalidare ciò che è stato rubato, ma non può rimuovere il malware dal computer di un cliente.

Un utente che accede nuovamente prima di ripulire il dispositivo può esporre la sessione sostitutiva. L'account sembra recuperato, ma il meccanismo di raccolta originario resta operativo.

Perché il malware infostealer può aggirare un accesso sicuro

L'aggressore non deve superare la verifica di accesso se il browser l'ha già completata.

Una sessione del browser consente a un sito web di ricordare che un utente si è autenticato correttamente. Il servizio inserisce nel browser un cookie di sessione o un token equivalente. Le richieste successive presentano tale artefatto invece di ripetere l'intero processo di accesso.

Un infostealer in esecuzione con accesso ai dati del browser può copiare quell'artefatto. L'aggressore può quindi tentare di riutilizzarlo da un altro ambiente. Se il servizio lo accetta, l'aggressore eredita i permessi dell'utente autenticato.

MITRE classifica questo comportamento come abuso dei cookie di sessione web. Le sue linee guida affermano che i cookie rubati possono autenticare utenti nelle applicazioni web perché le sessioni associate sono già considerate affidabili.

Questo meccanismo spiega perché l'autenticazione multifattore non risolve il problema. L'MFA può fermare chi conosce soltanto una password. Potrebbe non avere mai l'opportunità di verificare qualcuno che presenta una sessione accettata.

La distinzione è facile da trascurare perché entrambi gli attacchi producono un account non autorizzato. I loro percorsi di correzione sono diversi.

Una password rubata richiede una modifica delle credenziali, una revisione delle sessioni e un'autenticazione più robusta. Una sessione rubata richiede la revoca esplicita dell'artefatto di autenticazione. Un dispositivo infetto richiede anche la rimozione del malware prima di creare un'altra sessione affidabile.

La catena di attacco segnalata nei casi Claude comprende diverse fasi:

1. Un utente esegue un download o un'applicazione dannosa.

1. L'infostealer raccoglie password del browser, cookie, token e altri dati locali.

1. Il malware invia il materiale raccolto a infrastrutture controllate dagli aggressori.

1. Un operatore identifica sessioni Claude attive all'interno dei log raccolti.

1. L'operatore riutilizza le sessioni per consumare l'utilizzo di Claude o compiere altre azioni disponibili.

1. Anthropic rileva o riceve segnalazioni di comportamenti anomali e revoca le sessioni.

Il dirottamento delle sessioni Claude inizia quindi al di fuori dei sistemi Anthropic. Il suo impatto finanziario e operativo diventa visibile all'interno del servizio.

Questa divisione complica sia l'attribuzione sia l'assistenza. Anthropic può osservare consumi insoliti, cambiamenti di posizione, nuove caratteristiche dei dispositivi o acquisti non autorizzati. Non può ispezionare direttamente il computer personale di un cliente per verificare l'infezione.

Gli aggressori beneficiano inoltre della quantità di contesto contenuta nei log degli infostealer. Un log può includere cronologia del browser, credenziali memorizzate, dettagli del dispositivo, cookie, dati di compilazione automatica e dati di portafogli di criptovalute. Questi campi aiutano i criminali a dare priorità agli account e a imitare l'attività prevista.

Claude è interessante perché il suo utilizzo ha un valore diretto. Un account dirottato può fornire accesso alla capacità del modello senza che l'aggressore debba instaurare un rapporto a pagamento separato. La vittima vede i propri limiti esaurirsi, mentre il servizio inizialmente vede richieste provenienti da una sessione autenticata.

Questo non dimostra che gli aggressori abbiano compromesso i modelli sottostanti di Claude o l'infrastruttura della piattaforma. Dimostra che l'accesso autenticato stesso è diventato una risorsa commerciabile.

Lo stesso meccanismo colpisce da tempo i servizi cloud aziendali. Microsoft descrive gli attacchi “pass-the-cookie” come casi in cui il malware estrae cookie del browser e li inserisce in un browser separato. Le sue linee guida sul furto di token avvertono che i dispositivi personali comportano spesso rischi aggiuntivi perché i team di sicurezza aziendali non possono ispezionarli.

Questo confronto colloca l'evento Claude in una categoria di sicurezza più ampia. I servizi di IA si stanno unendo a email, piattaforme per documenti e strumenti per sviluppatori come destinazioni di valore negli ambienti browser rubati.

L'etichetta “malware infostealer Claude” può suggerire una famiglia di malware sviluppata specificamente per il chatbot. Le prove riportate indicano qualcosa di più scalabile. Gli aggressori hanno prima raccolto molti account, poi hanno selezionato le sessioni Claude perché tali sessioni erano diventate utili.

Il vero conflitto è tra accesso affidabile e dispositivo compromesso

Un servizio cloud deve onorare le sessioni valide per ragioni di usabilità, anche se il malware può rivolgere quella fiducia contro l'utente.

Mantenere gli utenti connessi riduce l'attrito. Supporta inoltre conversazioni lunghe, sessioni di programmazione, analisi di file, progetti e flussi di lavoro connessi. Richiedere un'autenticazione completa prima di ogni richiesta renderebbe questi servizi difficili da usare.

Le sessioni più longeve aumentano il periodo in cui un artefatto rubato può restare utile. Le sessioni più brevi riducono tale finestra, ma comportano più richieste di autenticazione e interruzioni del lavoro. La progettazione delle sessioni è quindi un compromesso tra sicurezza e usabilità.

La risposta di Anthropic ha affrontato con decisione il rischio immediato. La revoca delle sessioni ha bloccato gli artefatti rubati noti. La rimozione dei metodi di pagamento salvati ha limitato un'ulteriore esposizione alla fatturazione. I rimborsi hanno trasferito gli addebiti non autorizzati identificati lontano dalle vittime.

Tuttavia, i controlli reattivi iniziano dopo che un servizio identifica un'attività sospetta. La domanda centrale è quanto rapidamente Anthropic riesca a distinguere una sessione rubata da un utilizzo legittimo.

L'utilizzo di Claude varia naturalmente. Uno sviluppatore può inviare improvvisamente molte richieste di programmazione dopo una settimana tranquilla. Un viaggiatore può connettersi da una nuova posizione. Un utente può cambiare browser, dispositivi o reti senza preavviso.

Un rilevamento aggressivo può bloccare clienti reali. Un rilevamento permissivo può dare agli aggressori più tempo. Anthropic deve calibrare questo confine mentre i clienti si aspettano accesso immediato alla capacità che hanno legittimamente acquistato.

L'incidente spinge inoltre gli utenti a riconsiderare cosa contiene un account di IA. Le conversazioni Claude possono includere codice sorgente, pianificazione interna, bozze di contratti, note di ricerca, documenti caricati e domande personali. L'utilizzo non autorizzato è solo uno dei possibili impatti.

Il rapporto pubblico si è concentrato sull'utilizzo esaurito e sulla correzione dei pagamenti. Non ha stabilito se gli aggressori abbiano avuto accesso a cronologie delle conversazioni, file caricati, progetti, connettori o impostazioni dell'account. I lettori non dovrebbero presumere né esposizione né sicurezza senza ulteriori prove.

Questa incertezza merita un trattamento prudente. Una sessione valida fornisce generalmente l'accesso di cui l'utente autenticato dispone all'interno di quel servizio. Il comportamento effettivo dell'aggressore, tuttavia, deve essere stabilito attraverso log o un'indagine.

Gli acquirenti aziendali affrontano una versione più ampia del problema. I dipendenti possono usare servizi di IA da computer gestiti, laptop personali, profili browser e dispositivi mobili. Ogni endpoint modifica la capacità dell'organizzazione di rilevare il malware e revocare rapidamente l'accesso.

I team di sicurezza monitorano già le anomalie di sessione nelle suite di email e produttività cloud. Gli assistenti AI richiedono ora un’attenzione comparabile, poiché possono contenere contesto di valore e generare costi di utilizzo.

Le organizzazioni dovrebbero distinguere le sessioni dei consumatori dalle credenziali API. L’incidente segnalato riguardava le sessioni di accesso a Claude. Non ha dimostrato una compromissione delle chiavi API di Anthropic, delle console per sviluppatori o dei provider di identità aziendale.

Queste risorse meritano comunque una revisione dopo un’infezione da infostealer. Il malware generico spesso raccoglie più di un tipo di credenziale. Il browser di uno sviluppatore, la cronologia della shell, la configurazione locale e l’archivio delle password possono creare diversi percorsi di accesso indipendenti.

Gli utenti devono inoltre riconoscere che cambiare una sola password non costituisce una bonifica completa. La macchina infetta può esporre la nuova password, la nuova sessione o un altro account poco dopo.

Una sequenza più sicura inizia da un dispositivo separato e affidabile. L’utente può revocare le sessioni, proteggere l’account email principale, controllare i metodi di recupero e rimuovere gli accessi di pagamento memorizzati. Il computer compromesso necessita quindi di una scansione affidabile, pulizia o ricostruzione.

Solo dopo questo lavoro l’utente dovrebbe stabilire nuove sessioni affidabili. In caso contrario, il recupero dell’account ricrea l’artefatto che il malware era progettato per rubare.

Questo determina l’inversione fondamentale. Il servizio può autenticare correttamente una sessione, pur autenticando la persona sbagliata che vi sta dietro. Il software segue il proprio modello di fiducia, ma l’endpoint ha corrotto il significato di tale fiducia.

Cosa Non Dimostra la Storia di Anthropic su Techmeme

La risposta conferma un abuso mirato degli account, ma le prove pubbliche non dimostrano una violazione dei sistemi centrali di Anthropic.

Le notizie su un incidente di sicurezza spesso condensano diverse affermazioni nella parola “hack”. Questa scorciatoia è particolarmente fuorviante in questo caso.

Le informazioni disponibili indicano che il malware ha infettato i computer degli utenti e rubato sessioni Claude esistenti. Anthropic ha poi osservato o indagato l’uso non autorizzato di tali sessioni. Si tratta di una situazione sostanzialmente diversa dall’estrazione di un database di account da Anthropic da parte degli aggressori.

Non vi sono prove divulgate che Claude abbia installato il malware. Non vi sono inoltre prove divulgate che gli output del modello abbiano sfruttato i dispositivi dei clienti. Anthropic ha esplicitamente comunicato agli utenti interessati di non associare il malware a Claude.

Questa dichiarazione resta una valutazione aziendale nel corso di un’indagine in corso. Non dovrebbe essere estesa a una garanzia più ampia su ogni dispositivo interessato o su ogni canale di distribuzione.

Il rapporto non quantifica neppure la popolazione interessata. Espressioni come “alcuni utenti” non possono sostenere stime sulla diffusione dell’incidente. Una manciata di account confermati e una campagna su larga scala richiederebbero risposte della piattaforma molto diverse.

I rimborsi offrono un altro segnale incompleto. Mostrano che Anthropic ha riconosciuto almeno una parte dell’attività non autorizzata con conseguenze finanziarie. Non rivelano la perdita totale, l’impatto medio per account o le regole utilizzate per approvare il rimborso.

La rimozione dei metodi di pagamento salvati è una misura prudente di contenimento. Può anche indicare che le azioni disponibili all’aggressore andavano oltre il consumo di una quota esistente. Le prove pubbliche non mostrano quali acquisti tentati o completati abbiano provocato quella risposta.

Un’altra incognita riguarda il rilevamento. Anthropic non ha spiegato pubblicamente se abbia identificato le vittime tramite anomalie del dispositivo, modelli di utilizzo, segnalazioni dei clienti, intelligence sulle minacce o log di stealer recuperati.

La risposta è importante perché ciascun metodo offre una copertura diversa. Le segnalazioni dei clienti rilevano danni visibili, ma possono non cogliere accessi silenziosi. Il rilevamento comportamentale è più scalabile, ma può generare falsi positivi. L’intelligence sui log degli stealer può identificare l’esposizione prima dell’abuso, sebbene i dati sottostanti possano essere incompleti.

L’azienda non ha inoltre descritto se le sessioni revocate includessero ogni sessione di un account interessato o solo artefatti selezionati. Una revoca più ampia offre un contenimento più netto, ma crea maggiori disagi agli utenti legittimi.

Allo stesso modo, nessuna dichiarazione pubblica spiega se Anthropic abbia ridotto la durata delle sessioni, modificato il comportamento di aggiornamento o aggiunto controlli di associazione al dispositivo dopo l’indagine. Tali modifiche mostrerebbero se la risposta va oltre la pulizia dei singoli account.

Google sta perseguendo una risposta a livello di browser tramite Device Bound Session Credentials. DBSC utilizza chiavi supportate dall’hardware e cookie di breve durata, richiedendo al browser di dimostrare il possesso di una chiave che il malware non può normalmente esportare.

Google ha dichiarato nel suo aggiornamento sulla protezione delle sessioni che DBSC è diventato pubblicamente disponibile per gli utenti Windows in Chrome 146. Il supporto per Mac era previsto per una versione successiva.

Questo design aumenta il costo della riproduzione di un cookie esportato su un altro dispositivo. Non rende innocui gli endpoint infetti. Il malware in esecuzione locale può comunque rubare altri dati, osservare l’attività dell’utente o agire tramite la macchina compromessa.

I servizi devono inoltre adottare gli endpoint di registrazione e aggiornamento necessari prima che il supporto del browser possa offrire protezione. L’esistenza di DBSC non conferma che le sessioni Claude lo utilizzino attualmente.

L’associazione al dispositivo introduce anche proprie questioni di implementazione. I servizi devono gestire la sostituzione dei dispositivi, il recupero, più browser, l’accessibilità e hardware privo di moduli di sicurezza compatibili. Gli aggressori possono inoltre adattare le proprie operazioni al controllo in tempo reale degli endpoint infetti.

Il punto critico da considerare con scetticismo è quindi circoscritto. La bonifica di Anthropic appare appropriata per il meccanismo segnalato, ma il quadro pubblico non mostra se prevenga le recidive su scala di piattaforma.

Questo non è un motivo per liquidare la risposta. È un motivo per valutare i prossimi segnali tecnici e di trasparenza.

Tre Segnali Che Mostreranno Se le Sessioni Claude Sono Più Sicure

La fase successiva dipende da una maggiore trasparenza, controlli di sessione più robusti e prove che il furto ripetuto diventi più difficile.

Il primo segnale è un aggiornamento dettagliato sull’incidente da parte di Anthropic. La versione più solida indicherebbe la portata approssimativa, la finestra temporale dell’abuso, il metodo di rilevamento e le capacità degli account interessati.

Un simile aggiornamento rafforzerebbe la valutazione attuale se confermasse un rilevamento rapido e un accesso limitato. La indebolirebbe se sessioni di lunga durata avessero consentito attività prolungate e inosservate.

Gli utenti necessitano inoltre di chiarezza sulla differenza tra furto di utilizzo e accesso ai dati. Anthropic non deve esporre dettagli investigativi che aiutino gli aggressori. Può comunque spiegare se le sue prove abbiano mostrato accesso a chat, progetti, file, connettori o controlli di fatturazione.

Il secondo segnale è una modifica alla sicurezza delle sessioni. Misure utili includono una durata più breve dei token, la riautenticazione basata sul rischio, avvisi più chiari sui dispositivi, una revoca globale più rapida e un’associazione più robusta tra sessioni e hardware affidabile.

L’attuale pagina delle sessioni attive di Anthropic offre agli utenti una visibilità significativa. Un miglioramento futuro potrebbe rendere più facile correlare nuove posizioni, nuovi browser e consumi insoliti senza richiedere ai clienti di controllare varie impostazioni.

Un passaggio documentato verso sessioni associate al dispositivo rafforzerebbe l’ipotesi che Anthropic abbia affrontato il meccanismo di riproduzione sottostante. Incidenti ripetuti che coinvolgano sessioni appena emesse mostrerebbero che il malware sugli endpoint continua a vanificare i controlli scelti.

Nessun singolo controllo risolverà il problema. L’associazione al dispositivo può limitare i cookie esportati, mentre la protezione degli endpoint riduce la probabilità di furto. Il rilevamento comportamentale limita l’abuso dopo l’accesso, e i controlli sui pagamenti riducono l’impatto finanziario.

Il terzo segnale è se altri servizi AI segnalino campagne comparabili. Gli aggressori raramente restano concentrati su una sola piattaforma quando gli stessi log degli stealer contengono più sessioni di valore.

OpenAI, Google, Microsoft, gli assistenti di coding e le piattaforme di sviluppo cloud affrontano incentivi simili. Un’ondata più ampia confermerebbe che i criminali selezionano sempre più gli accessi AI da grandi raccolte di dati browser rubati.

Un modello limitato ad Anthropic solleverebbe domande diverse. Potrebbe riflettere il valore dell’utilizzo di Claude, il comportamento delle sessioni, la familiarità degli aggressori o semplicemente un rilevamento e una divulgazione migliori. Le sole segnalazioni pubbliche potrebbero non distinguere queste spiegazioni.

Le organizzazioni dovrebbero monitorare i propri indicatori durante questo periodo. Picchi di utilizzo inattesi, sessioni sconosciute, esaurimento inspiegabile dei limiti e nuove attività di pagamento meritano un’indagine. Questi segnali diventano più importanti dopo qualsiasi sospetta infezione da malware.

Gli utenti che ricevono un avviso da Anthropic dovrebbero trattarlo come prova di una compromissione a livello di dispositivo. Accedere nuovamente a Claude non è il primo passo del recupero. La pulizia dell’endpoint e la protezione di altri account vengono prima della creazione di un’altra sessione.

L’account email principale merita attenzione immediata perché spesso controlla le reimpostazioni delle password e i messaggi di recupero. Gli utenti dovrebbero inoltre controllare le credenziali memorizzate nel browser, gli account finanziari, l’archiviazione cloud, le piattaforme social e gli accessi al lavoro.

Gli sviluppatori dovrebbero ruotare i segreti esposti dopo aver stabilito un ambiente pulito. Questa revisione può includere chiavi API, token di repository, credenziali cloud, accessi ai registri dei pacchetti e file di ambiente locali.

I team di sicurezza dovrebbero evitare di considerare il rimborso di Claude come la fine dell’incidente. Un rimborso affronta una conseguenza visibile. Lo stesso stealer potrebbe aver creato ulteriori percorsi di accesso che non producono alcun addebito immediato.

Per Anthropic, la posta commerciale va oltre i rimborsi. I clienti devono credere che il servizio possa distinguere la loro attività da un aggressore che riproduce una sessione valida. Gli acquirenti enterprise si aspetteranno inoltre controlli compatibili con i programmi di identità e endpoint esistenti.

Per il mercato AI più ampio, questo incidente segna un cambiamento nelle priorità degli aggressori. Le sessioni AI offrono ora utilità e valore finanziario sufficienti per essere selezionate da ampie raccolte di dati browser rubati.

Questo non rende Claude particolarmente insicuro. Rende Claude parte dello stesso livello di identità conteso di email, documenti cloud e infrastruttura per sviluppatori.

La copertura di Anthropic su Techmeme dovrebbe quindi essere letta come un avvertimento sulla fiducia nelle sessioni, non solo come una storia sui limiti Claude esauriti. La sicurezza delle password resta necessaria, ma lo stato autenticato del browser è diventato una credenziale a pieno titolo.

Gli utenti possono agire ora controllando le sessioni attive di Claude da un dispositivo affidabile e terminando tutto ciò che non riconoscono. Dovrebbero indagare sull’endpoint prima di effettuare nuovamente l’accesso. La domanda per Anthropic è se i suoi prossimi controlli possano rendere inutile una sessione copiata prima che un aggressore esaurisca l’utilizzo o raggiunga qualcosa di più sensibile.