El malware está robando los inicios de sesión de Claude y la señal de advertencia es que su uso se agota de la noche a la mañana

Anthropic envió un correo electrónico a un grupo de usuarios de Claude con un mensaje no deseado: el malware en sus propias computadoras copió sus sesiones de inicio de sesión de Claude y alguien más ha estado usando sus cuentas. La empresa cerró las sesiones afectadas, eliminó los métodos de pago guardados para que no se pudiera cobrar nada y reembolsó los cargos que identificó como no autorizados. La indicación de que algo andaba mal, según el aviso, es extrañamente específica: límites de uso que parecían recargarse y luego agotarse mientras el propietario de la cuenta no estaba usando Claude en absoluto.

Las familias de malware nombradas son Vidar, LummaC2, StealC, RedLine y Acreed en Windows, además de Atomic Stealer, conocido como AMOS, en un número menor de Mac. Estos son ladrones de información comunes y corrientes, los caballos de batalla del cibercrimen de bajo nivel. Por lo general, llegan a través de software pirateado, instaladores de juegos descifrados o aplicaciones descargadas de algún lugar que no es la fuente oficial. Una vez en ejecución, copian silenciosamente las contraseñas guardadas, las cookies del navegador y las credenciales que pertenecen a otras aplicaciones locales, y luego envían la pila a quien las haya implementado. La posición de Anthropic es que esto no tiene nada que ver con Claude en sí: el malware es de propósito general, no se instaló a través de Claude y no fue causado por nada que los usuarios hicieran con Claude. Alguien simplemente revisó los datos recopilados después, eligió las sesiones de Claude y las utilizó.

Por qué una cookie robada supera a una contraseña segura. Esta es la parte que vale la pena entender incluso si nunca tocas a Claude. Cuando inicia sesión en un sitio web, el sitio le entrega a su navegador una cookie de sesión, un pequeño token que dice “esta persona ya demostró quién es”. Cada carga de página posterior muestra ese token en lugar de su contraseña. Copie el token, péguelo en otro navegador y estará dentro de la cuenta sin ver la pantalla de inicio de sesión, lo que también significa sin solicitud de contraseña y sin autenticación de dos factores. Su contraseña podría tener cuarenta caracteres aleatorios y no ayudaría. Por eso los infostealers son tan efectivos y tan aburridos al mismo tiempo: no rompen la cerradura, sino que fotocopian la llave que ya llevas.

Qué significa esto para ti. Para la mayoría de las personas: no hay nada que hacer y no hay motivo para entrar en pánico por Claude específicamente. Si recibió uno de estos correos electrónicos, el orden de las operaciones es importante. Primero limpie la máquina con un escaneo adecuado, luego cambie sus contraseñas y luego vuelva a agregar un método de pago. Hacerlo en el otro orden solo le entrega al atacante nuevas credenciales. En términos más generales, trate esto como el recordatorio que es. Lo más riesgoso en tu computadora generalmente no es la herramienta de inteligencia artificial que usas, sino el instalador gratuito que descargaste para evitar pagar por algo. Y si utiliza cualquier servicio de IA con una cuota de uso, esa cuota ahora es una alarma antirrobo. Los límites que se vacían mientras duermes son un síntoma, no un problema de facturación.

Fuentes

• Anthropic advierte a los usuarios de Claude sobre infecciones de malware Infostealer (SecurityWeek)
• Anthropic advierte que el malware ladrón de información está secuestrando sesiones de Claude para drenar el uso (BleepingComputer)