Anthropic detecta infostealers sequestrando sessões do Claude e força logout em contas afetadas

A Anthropic começou a desconectar usuários pagos do Claude e a estornar cobranças não autorizadas depois de identificar um padrão de uso anômalo em várias contas: cotas eram consumidas até o teto quando o dono sequer estava logado. A investigação apontou para uma família conhecida de infostealers roubando cookies de sessão já autenticados no navegador da vítima, o que permite ao atacante replicar a sessão sem tocar em senha, TOTP ou SSO.

Segundo a comunicação enviada aos clientes afetados, as amostras identificadas incluem Vidar, Lumma (LummaC2), StealC, RedLine e Acreed no Windows, além do Atomic Stealer no macOS. São vetores conhecidos há anos, distribuídos por download drive-by, extensões maliciosas e instaladores clonados via SEO poisoning. A novidade não é o malware, é o que ele aprendeu a monetizar. Uma cota mensal de Claude Pro ou Team virou commodity revendida em fóruns, junto com sessão ativa e método de pagamento salvo.

A Anthropic reforçou que não há indício de que a infecção venha de dentro do Claude, do site anthropic.com ou de qualquer ação feita pelo usuário no produto. Trata-se de malware presente na máquina do cliente, capturando dados do navegador antes que qualquer solicitação chegue ao servidor.

Por que o cookie derrota o segundo fator

O cookie de sessão é o token que o navegador apresenta ao serviço para dizer "sou eu, já autentiquei". Roubado do disco local pelo infostealer, pode ser injetado em outro navegador e reutilizado até expirar. Nenhum SMS, TOTP ou push do Duo é acionado no processo, porque nenhum login novo acontece. Para o backend do Claude, é o mesmo usuário voltando de outra máquina.

A resposta da Anthropic segue três frentes. A primeira é encerrar as sessões afetadas do lado servidor, o que invalida o cookie no ato e obriga o dono real da conta a reautenticar. A segunda é remover métodos de pagamento salvos das contas identificadas, cortando o vetor de fraude subsequente. A terceira é o estorno das cobranças que o time classifica como consumo não autorizado. A empresa também orientou os afetados a trocar credenciais, revogar sessões em outros serviços e limpar a máquina antes de voltar a logar.

O que muda para o CIO

O episódio embute uma lição que vai além do Claude. Ferramentas de IA generativa migraram para o cofre de credenciais das áreas de negócio nos últimos dezoito meses. Contas pessoais e corporativas convivem no mesmo Chrome do analista, no mesmo Safari do parceiro. Um infostealer numa máquina Windows pessoal captura cookies do LinkedIn, do banco, do Slack e agora do Claude com a mesma facilidade.

Para o time de segurança, três frentes ganham urgência imediata. Endpoint hygiene volta ao topo da agenda, com atenção redobrada à detecção de browser session hijacking na regra do EDR. O tempo de vida dos cookies de sessão em serviços de IA precisa ser encurtado, com reautenticação forçada quando a sessão migra de IP, ASN ou fingerprint de dispositivo. E o custo por usuário em serviços de IA deveria ter alerta de anomalia como qualquer conta AWS ou API do Snowflake tem hoje.

O ataque escala porque um endpoint infectado é um kit pronto. Senhas do Chrome, cookies de sessão de dezenas de SaaS e carteiras de cripto num único stealer log são vendidos em pacote na dark web por valores que costumam começar em duas casas de dólares. O que faltava era um alvo caro o suficiente para justificar automação em escala. Contas pagas de assistentes de IA são caras.

O ponto cego global

O problema é transnacional por construção. Nos Estados Unidos e no Reino Unido, mercados de assinatura de IA mais maduros, a densidade de contas pagas por endpoint eleva o retorno esperado do ataque, e o abuso costuma aparecer antes na telemetria dos provedores. Em mercados como Índia e Filipinas, onde ficam boa parte dos centros de desenvolvimento offshore de consultorias globais e bancos, a exposição é dupla: máquinas corporativas com licenças Claude for Work coexistem com programas de trainee que usam as contas fora do horário e em redes menos monitoradas. No Brasil, o padrão observado por pesquisadores de fraude nos últimos trimestres já mostrava crescimento de stealer logs contendo credenciais SaaS corporativas.

O ponto que a Anthropic evitou dizer em voz alta é o que segue implícito na resposta. Bloquear sessão, reembolsar e sinalizar cobrança funcionam para o incidente atual. Não fecham a porta. Enquanto navegadores continuarem tratando o cookie de sessão como token portátil sem prova adicional de posse, a fronteira de fraude em IA vai ser essa: não invadir o modelo, apenas alugar a conta de quem já pagou por ele.