AnswersPublished19 sources
Як шкідливе ПЗ захоплювало акаунти Claude — і як захиститися
За словами Anthropic, інфокрадії копіювали активні cookie файли сесій Claude із заражених комп’ютерів, після чого зловмисники відтворювали ці сесії та витрачали платний ліміт без пароля або нового коду MFA. Атака використовувала вже автентифіковану сесію, а не форму входу, тому сама зміна налаштувань багатофакторної...
ОпублікувавВідредаговано за допомогою GPT-5.6 Luna
Research answer
Key takeaways
- За словами Anthropic, інфокрадії копіювали активні cookie файли сесій Claude із заражених комп’ютерів, після чого зловмисники відтворювали ці сесії та витрачали платний ліміт без пароля або нового коду MFA.
- Атака використовувала вже автентифіковану сесію, а не форму входу, тому сама зміна налаштувань багатофакторної автентифікації могла не усунути ризик.
- Anthropic примусово завершувала підозрілі сесії, видаляла збережені способи оплати та обіцяла повертати кошти за підтверджені несанкціоновані списання.
AI Prompt
microsoft.comCreate a landscape editorial hero image for this Studio Global article: What did Anthropic disclose about the infostealer-malware campaign that hijacked active Claude login sessions—including how attackers stole. Article summary: Anthropic said a bad actor used common infostealer malware on users’ computers to copy active Claude browser-session cookies, then replay those already authenticated sessions to enter accounts and consume paid Claude usa. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
Anthropic попередила частину користувачів Claude, що поширене шкідливе ПЗ типу infostealer викрадало активні сесії браузера з їхніх комп’ютерів. Після цього зловмисники могли відтворювати ці сесії, отримувати доступ до акаунтів і витрачати платний ліміт без знання пароля чи повторного проходження двофакторної автентифікації. 18
19
21
Цей випадок важливий не лише для користувачів Claude. Якщо шкідлива програма отримує вже автентифіковану сесію браузера, захист, який працює під час наступного входу, може не зупинити нападника, що вже має дійсний токен. Тому відновлення акаунта потрібно поєднувати з перевіркою та очищенням пристрою.
Як працювала атака
Infostealer — це шкідлива програма, призначена для крадіжки даних із зараженого комп’ютера. Вона може збирати cookie-файли браузера, збережені паролі, дані автозаповнення та іншу локальну інформацію для автентифікації. У цьому випадку серед викрадених даних були активні сесії входу до Claude. Зловмисник не вводив новий пароль, а використовував скопійовані дані так, ніби продовжував уже відкритий сеанс користувача. 19
22
26
Саме тому атака могла не викликати запиту пароля або нового коду двофакторної автентифікації. MFA захищає нову подію входу, але не обов’язково анулює токен сесії, який уже опинився у сторонніх руках. У повідомленнях про інцидент цю техніку описували як обхід перевірок пароля та MFA, оскільки зловмисник використовував чинну сесію. 19
23
26
Як Anthropic помітила зловживання
Системи Anthropic виявили підозрілу активність, пов’язану з окремими акаунтами. Однією з помітних ознак було використання Claude, яке не відповідало поведінці власника акаунта, зокрема несподіване швидке вичерпання лімітів. 18
21
Викрадення сесії може виглядати не так, як звичайний злам акаунта. Користувач усе ще може мати правильний пароль, тоді як нападник працює через копію сесії, поцуплену з його браузера. Незвичне споживання ліміту, невідомі дії або повідомлення від сервісу можуть свідчити про зараження пристрою — і не обов’язково про злам бази даних самого сервісу.
Яке шкідливе ПЗ та які пристрої були залучені
У повідомленнях згадувалися п’ять інфокрадів для Windows — Vidar, LummaC2, StealC, RedLine та Acreed — а також Atomic Stealer для macOS. 19
26
Це універсальні інструменти для крадіжки інформації, а не шкідливе ПЗ, яке, за наявними даними, було вбудоване в Claude. Йшлося про заражені Windows-ПК або комп’ютери Mac, на яких інфокраді вже працював і збирав браузерні сесії Claude разом з іншими паролями та cookie-файлами. 20
22
25
Доступні повідомлення стосувалися передусім настільних і портативних комп’ютерів. Вони не підтверджували, що саме цей механізм викрадення браузерних сесій уразив телефони чи планшети. Водночас це не означає, що мобільні пристрої загалом захищені від усіх загроз для акаунтів або шкідливого ПЗ. 22
Що зробила Anthropic
Anthropic примусово завершила роботу підозрілих сесій Claude, видалила з акаунтів збережені способи оплати та заявила, що поверне кошти за списання, які визнає несанкціонованими. Такі кроки блокують викрадену сесію та зменшують ризик подальшого використання платних функцій або зловживань із білінгом. 17
18
20
21
Однак вони не видаляють infostealer із комп’ютера. Якщо пристрій залишається зараженим, після повторного входу зловмисник може знову викрасти нову сесію, пароль або інші дані браузера. Тому перевірка та очищення кінцевого пристрою є обов’язковими. 20
Що робити користувачам Claude
Якщо ви отримали повідомлення від Anthropic або бачите незрозуміле використання акаунта, вважайте комп’ютер, з якого ви заходили в Claude, потенційно скомпрометованим.
- Перевірте й очистьте всі відповідні комп’ютери. Запустіть надійний засіб безпеки та завершіть очищення до повторного входу в акаунти. Якщо пристрій не можна вважати безпечним, зверніться до фахівців із реагування на інциденти або перевстановіть систему за допомогою перевіреного, «чистого» процесу.
- Захистіть електронну пошту, прив’язану до Claude. Змініть її пароль із безпечного пристрою, а потім оновіть інші облікові дані, які могли зберігатися або використовуватися в зараженому браузері. Насамперед перевірте пошту, банківські та фінансові сервіси, робочі акаунти й менеджер паролів.
- Перегляньте акаунти та активні сесії. Перевірте банківські операції, налаштування відновлення доступу, список активних входів і сповіщення безпеки. Усе незнайоме слід розслідувати.
- Лише після цього відновлюйте доступ до Claude. Коли пристрій очищено, а важливі паролі змінено, увійдіть у Claude знову. Повторно додайте платіжні дані лише за потреби.
Примусовий вихід із системи та видалення картки — корисні заходи локалізації наслідків, але вони не замінюють очищення пристрою. Головна проблема в цьому інциденті полягала у здатності зараженого комп’ютера розкривати автентифіковані дані браузера. 20
25
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Як шкідливе ПЗ захоплювало акаунти Claude — і як захиститися"?
За словами Anthropic, інфокрадії копіювали активні cookie файли сесій Claude із заражених комп’ютерів, після чого зловмисники відтворювали ці сесії та витрачали платний ліміт без пароля або нового коду MFA.
What are the key points to validate first?
За словами Anthropic, інфокрадії копіювали активні cookie файли сесій Claude із заражених комп’ютерів, після чого зловмисники відтворювали ці сесії та витрачали платний ліміт без пароля або нового коду MFA. Атака використовувала вже автентифіковану сесію, а не форму входу, тому сама зміна налаштувань багатофакторної автентифікації могла не усунути ризик.
What should I do next in practice?
Anthropic примусово завершувала підозрілі сесії, видаляла збережені способи оплати та обіцяла повертати кошти за підтверджені несанкціоновані списання.
Sources
searchenginejournal.comAnthropic Warns Hackers Are Stealing Claude Sessions To Hijack Accounts
aiweekly.coAnthropic warns infostealer malware is draining Claude sessions
bleepingcomputer.comAnthropic warns infostealer malware is hijacking Claude sessions to ...
xenospectrum.comAnthropic Warns Stolen Login Sessions Let Attackers Drain Claude Users' Usage Limits | XenoSpectrum