Anthropic erkennt Infostealer, die Sitzungen von Claude kapern, und erzwingt Logout bei betroffenen Konten

Anthropic hat begonnen, zahlende Nutzer von Claude zu trennen und unautorisierte Rechnungen zu erstatten, nachdem ein anomales Nutzungsmuster bei mehreren Konten festgestellt wurde: Kontingente wurden bis zur Obergrenze verbraucht, während der Besitzer sich nicht einmal eingeloggt hatte. Die Untersuchung deutete auf eine bekannte Familie von Infostealern hin, die bereits authentifizierte Sitzungscookies im Browser des Opfers stiehlt, was es dem Angreifer ermöglicht, die Sitzung zu replizieren, ohne das Passwort, TOTP oder SSO anfassen zu müssen.

Laut der Kommunikation an die betroffenen Kunden umfassen die identifizierten Proben Vidar, Lumma (LummaC2), StealC, RedLine und Acreed unter Windows sowie den Atomic Stealer unter macOS. Dies sind seit Jahren bekannte Vektoren, die durch Drive-by-Downloads, bösartige Erweiterungen und geklonte Installer über SEO-Poisoning verbreitet werden. Neu ist nicht die Malware, sondern was sie gelernt hat zu monetarisieren. Ein monatliches Kontingent von Claude Pro oder Team wurde zu einer Ware, die in Foren weiterverkauft wird, zusammen mit einer aktiven Sitzung und einer gespeicherten Zahlungsmethode.

Anthropic betonte, dass es keine Hinweise darauf gibt, dass die Infektion von innerhalb von Claude, der Webseite anthropic.com oder von irgendeiner Handlung des Nutzers im Produkt kam. Es handelt sich um Malware, die sich auf dem Gerät des Kunden befindet und Daten aus dem Browser erfasst, bevor irgendeine Anfrage den Server erreicht.

Warum das Cookie die Zweifaktor-Authentifizierung überwindet

Das Sitzungscookie ist das Token, das der Browser dem Dienst präsentiert, um zu sagen "ich bin's, ich habe mich bereits authentifiziert". Vom lokalen Speicher vom Infostealer gestohlen, kann es in einen anderen Browser injiziert und bis zum Ablaufen wiederverwendet werden. Weder SMS, TOTP noch Push-Benachrichtigungen von Duo werden in diesem Prozess ausgelöst, da kein neuer Login erfolgt. Für das Backend von Claude ist es der gleiche Benutzer, der von einem anderen Gerät zurückkehrt.

Die Antwort von Anthropic ist dreigleisig. Zunächst werden die betroffenen Sitzungen serverseitig beendet, was das Cookie sofort ungültig macht und den tatsächlichen Kontoinhaber zwingt, sich erneut zu authentifizieren. Zweitens werden gespeicherte Zahlungsmethoden aus den identifizierten Konten entfernt, wodurch der spätere Betrugsvektor unterbrochen wird. Drittens werden die Erstattungen für die vom Team als unautorisierte Nutzung klassifizierten Gebühren vorgenommen. Das Unternehmen hat auch die Betroffenen aufgefordert, ihre Zugangsdaten zu ändern, Sitzungen in anderen Diensten zu widerrufen und das Gerät zu bereinigen, bevor sie sich erneut einloggen.

Was sich für den CIO ändert

Der Vorfall enthält eine Lektion, die über Claude hinausgeht. KI-gestützte Tools sind in den letzten achtzehn Monaten in den Tresor für Zugangsdaten in den Geschäftsbereichen gewandert. Private und geschäftliche Konten existieren im selben Chrome des Analysten, im selben Safari des Partners. Ein Infostealer auf einem persönlichen Windows-Gerät erfasst Cookies von LinkedIn, der Bank, Slack und jetzt auch von Claude mit der gleichen Leichtigkeit.

Für das Sicherheitsteam haben drei Maßnahmen sofortige Dringlichkeit. Die Hygiene von Endgeräten rückt wieder in den Fokus, wobei besonderes Augenmerk auf die Erkennung von Browser-Sitzungsübernahmen in der EDR-Regel gelegt wird. Die Lebensdauer von Sitzungscookies in KI-Diensten muss verkürzt werden, mit erzwungener neuer Authentifizierung, wenn die Sitzung von IP, ASN oder Gerätesignatur wechselt. Und die Kosten pro Nutzer in KI-Diensten sollten wie bei jedem AWS-Konto oder der Snowflake-API einen Anomaliewarnhinweis haben.

Der Angriff skaliert, weil ein infiziertes Endgerät ein sofort einsatzbereiter Kit ist. Passwörter aus Chrome, Sitzungscookies von Dutzenden von SaaS und Krypto-Wallets in einem einzigen Stealer-Log werden im Paket im Dark Web zu Preisen verkauft, die in der Regel bei zwei Stellen von Dollar beginnen. Was fehlte, war ein ausreichend teures Ziel, um die Automatisierung in großem Maßstab zu rechtfertigen. Bezahlte Konten von KI-Assistenten sind teuer.

Der globale blinde Fleck

Das Problem ist von vornherein transnational. In den USA und im Vereinigten Königreich, den reiferen Märkten für KI-Abonnements, erhöht die Dichte von bezahlten Konten pro Endgerät die erwartete Rendite des Angriffs, und der Missbrauch wird oft früher in der Telemetrie der Anbieter sichtbar. In Märkten wie Indien und den Philippinen, wo sich viele Offshore-Entwicklungszentren globaler Beratungsunternehmen und Banken befinden, ist die Exposition doppelt: Unternehmensgeräte mit Lizenz für Claude for Work koexistieren mit Trainee-Programmen, die die Konten außerhalb der Arbeitszeit und in weniger überwachten Netzwerken nutzen. In Brasilien zeigte das Muster, das von Betrugsforschern in den letzten Quartalen beobachtet wurde, bereits ein Wachstum von Stealer-Logs, die Unternehmens-SaaS-Anmeldeinformationen enthielten.

Der Punkt, den Anthropic vermied, laut auszusprechen, ist das, was durch die Antwort impliziert wird. Sitzung zu sperren, Rückerstattungen zu gewähren und Gebühren zu kennzeichnen funktioniert für den aktuellen Vorfall. Es schließt jedoch die Tür nicht. Solange Browser das Sitzungscookie als tragbares Token ohne zusätzlichen Besitznachweis behandeln, wird die Betrugsgrenze in der KI diese sein: das Modell nicht zu hacken, sondern das Konto eines bereits bezahlten Nutzers zu mieten.