Anthropic начала рассылать предупреждения пользователям Claude после того, как обнаружила угон сессий Claude через инфостилеры на заражённых компьютерах. Проблема неприятна не только для частных пользователей: для команд, которые уже встроили ИИ-сервисы в повседневную работу, это ещё одно напоминание, что компрометация браузерной сессии часто опаснее утечки пароля.
По данным BleepingComputer, злоумышленники крадут активные логин-сессии Claude с ПК жертв, а затем заходят в аккаунты и расходуют чужие лимиты использования. Anthropic в ответ принудительно разлогинивает затронутые аккаунты, удаляет сохранённые платёжные данные и возвращает списания, которые считает несанкционированными. Компания отдельно уточняет: у неё нет оснований полагать, что вредоносное ПО связано с самим Claude, было установлено через Claude или появилось из-за действий пользователя внутри сервиса.
Ключевой нюанс здесь в том, что инфостилеру не всегда нужен пароль в привычном смысле. Если малварь смогла вытащить из браузера действующую cookie-сессию, атакующий может получить доступ к аккаунту уже после прохождения логина и двухфакторной аутентификации. Иными словами, 2FA не ломают, её просто обходят за счёт уже авторизованной сессии. Для сервисов с платными лимитами и API-подобной моделью потребления это особенно болезненно: пользователь видит, что квота пополнилась, а потом почти сразу сгорает без его участия.
В письмах пострадавшим Anthropic пишет, что расследование продолжается, но источник заражения выглядит вполне прозаично: массовые инфостилеры общего назначения, которые попадают на машину через скачанные файлы, вредоносные приложения и сомнительные установщики. Они собирают всё, до чего могут дотянуться локально: сохранённые пароли браузера, cookies, учётные данные других приложений. Сессия Claude в этой схеме была лишь одной из многих украденных сущностей. По версии компании, злоумышленники позже начали отдельно отбирать эти сессии из общего массива похищенных данных и использовать их для доступа к аккаунтам Claude.
Anthropic перечислила и конкретные семейства малвари, которые уже всплыли в расследовании. На Windows речь идёт о Vidar, LummaC2, StealC, RedLine и Acreed. На небольшом числе компьютеров Mac обнаружили Atomic Stealer, также известный как AMOS. Набор показательный: это не экзотика уровня таргетированных APT-операций, а хорошо знакомый криминальный конвейер, который годами живёт на кражах учёток, криптокошельков, cookies и автозаполнения браузеров. В одном из описанных случаев пользователь, получивший письмо от Anthropic, признал, что скачал пиратскую игру. Для инфостилеров это практически классика жанра.
Для рынка ИИ-сервисов история важна не только из-за самого Claude. Чем больше рабочих процессов завязано на веб-интерфейсы LLM-платформ, тем выше цена обычной кражи сессионных данных. Если раньше украденная cookie могла означать, что кто-то почитает чужую почту или войдёт в CRM, теперь она ещё и открывает доступ к дорогостоящим вычислительным ресурсам, корпоративным промптам, истории запросов и, потенциально, внутреннему контексту команды. Для разработчиков это напоминание, что браузер давно перестал быть безобидной оболочкой: в нём хранится доступ к критичным бизнес-инструментам, даже если эти инструменты формально не считаются инфраструктурой.
Реакция Anthropic выглядит разумной, но ограниченной по эффекту. Принудительный выход из аккаунта действительно обрубает уже украденные сессии, а удаление сохранённых карт снижает риск новых несанкционированных списаний. Но сама компания прямо предупреждает: это не лечит заражённый компьютер. Если инфостилер остаётся в системе, следующая сессия будет украдена тем же способом. Поэтому базовые советы в данном случае вовсе не дежурные: менять учётные данные, отзывать другие активные сессии, проверять браузерные сохранения, чистить машину, а в идеале переоценивать саму модель допуска сотрудников к ИИ-сервисам с платёжными методами и чувствительной перепиской.
Для бизнеса из этой истории вытекает вполне прикладной вывод. Корпоративная политика безопасности обычно неплохо описывает доступ к почте, Git, VPN и облакам, но куда реже отдельно регулирует браузерные сессии SaaS-сервисов генеративного ИИ. Между тем именно они становятся новой точкой входа: сотрудник работает из личного браузера, расширения живут своей жизнью, на машине может оказаться сомнительный софт, а сервис при этом привязан к платной подписке и рабочему контенту. На практике это означает, что LLM-платформы пора включать в тот же класс контроля, что и другие критичные SaaS: с управлением устройствами, минимизацией локального хранения секретов, мониторингом аномального использования и жёстким разделением личной и рабочей среды.
История с Claude неприятна ещё и тем, что она показывает зрелость теневого рынка вокруг ИИ. Если злоумышленники уже не просто собирают всё подряд, а целенаправленно выдёргивают из дампов сессии конкретного ИИ-сервиса и монетизируют их через расходование лимитов, дальше логично ждать более тонкой специализации: охоты за аккаунтами с дорогими тарифами, доступом команд и ценной перепиской. Для индустрии это не разовая неприятность, а маркер того, что генеративные сервисы окончательно вошли в список обычных, а значит и обычным криминальным образом атакуемых корпоративных активов.