Anthropic alertó sobre un malware infostealer que roba sesiones activas de Claude para consumir créditos sin autorización. ESET Latinoamérica analiza el mecanismo de este ataque, su impacto en usuarios y las medidas de protección que toda persona debe aplicar para evitar ser víctima de este tipo de amenazas cibernéticas.

Recientemente, Anthropic alertó a los usuarios sobre un problema grave: un malware del tipo infostealer logró secuestrar sesiones activas de Claude, su asistente de IA. Este tipo de malware, especializado en robar datos almacenados en computadoras infectadas —como contraseñas, cookies de inicio de sesión y credenciales—, permitió a los ciberdelincuentes acceder a cuentas de usuarios y consumir créditos sin autorización. Según la empresa, los cargos indebidos identificados ya fueron reembolsados.

ESET, líder en detección proactiva de amenazas, explicó cómo funcionan estas amenazas y cómo mantener los sistemas e información protegidos. El caso salió a la luz después de que un usuario compartiera en Reddit el correo electrónico que recibió de Anthropic, destacando que, incluso con la autenticación de dos factores activada, el atacante logró reutilizar una sesión ya autenticada tras el robo de cookies o tokens de sesión.

¿Cómo operó el ataque a Claude?

El mecanismo exacto utilizado para el secuestro de sesiones no fue revelado públicamente por Anthropic. Sin embargo, se sabe que el malware involucrado pertenece a familias conocidas como Vidar, Lumma (LummaC2), StealC, RedLine y Acreed, que afectan principalmente a sistemas Windows. También se detectó Atomic Stealer (AMOS) en un pequeño número de equipos Mac.

Anthropic actuó rápidamente: desconectó las sesiones comprometidas, eliminó los métodos de pago guardados en las cuentas afectadas y obligó a los usuarios a iniciar sesión nuevamente y volver a registrar sus tarjetas. La empresa aclaró que la falla no se originó en su plataforma, sino en los dispositivos infectados de los usuarios: “No tenemos motivos para creer que este malware esté relacionado con Claude, que haya sido instalado a través de Claude, o que esté relacionado con cualquier cosa que hayas hecho con Claude”.

¿Qué hacer si fuiste víctima?

ESET advierte que, aunque desconectar la cuenta interrumpe las sesiones robadas, el malware sigue activo en la computadora. Si la amenaza persiste, una nueva sesión podría ser robada de la misma manera. Por ello, recomiendan:

• Analizar la computadora en busca de malware y eliminarlo antes de seguir usando el equipo.
• Cambiar la contraseña del correo electrónico vinculado a Claude después de eliminar el malware, cerrar sesiones en otros dispositivos y activar la autenticación de dos factores.
• Actualizar otras contraseñas guardadas en navegadores, como las de banca en línea, trabajo o servicios en la nube. Revisar los estados de cuenta en busca de cargos no reconocidos.
• Registrar un método de pago solo después de completar los pasos anteriores, si se desea mantener el plan activo con renovación automática.

Como señala Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica: “La seguridad de la propia computadora sigue siendo tan importante como las contraseñas sólidas y la autenticación de dos factores. Evitar descargas no oficiales, software pirata y aplicaciones de origen dudoso es una de las medidas más importantes para reducir el riesgo de infección, junto con mantener los sistemas actualizados y actuar con cautela ante enlaces y archivos sospechosos”.

Medidas preventivas clave

El caso de Claude demuestra que, incluso con mecanismos de seguridad robustos como contraseñas complejas y autenticación de dos factores, un atacante puede tomar el control de una sesión ya autenticada si el dispositivo está comprometido. Un infostealer puede robar cookies, tokens u otros artefactos de autenticación que permitan reutilizar una sesión.

Para profundizar en cómo actuar tras un hackeo, puedes consultar la guía de ESET sobre qué hacer en los primeros 15 minutos.