Anthropic a pris une mesure inhabituelle pour protéger certains utilisateurs de Claude : déconnecter leurs comptes et supprimer les informations de paiement enregistrées. La décision intervient après la découverte d’une campagne utilisant des logiciels malveillants capables de voler les sessions de connexion des utilisateurs.
Pressé ? Obtenez l'essentiel, ou écoutez l'article.
Le problème ne vient donc pas d’une faille de Claude permettant directement à un pirate de pénétrer dans les comptes. Des cybercriminels ont utilisé des infostealers, des logiciels conçus pour récupérer des informations présentes sur l’ordinateur d’une victime, notamment les cookies et sessions de navigation.
Une fois ces éléments récupérés, les attaquants pouvaient se faire passer pour un utilisateur déjà connecté à Claude, sans nécessairement avoir besoin de connaître son mot de passe.
Le pirate peut utiliser Claude à la place de la victime
Cette technique est particulièrement problématique pour les utilisateurs disposant d’un abonnement payant.
Selon les informations communiquées aux utilisateurs concernés, les attaquants utilisaient les sessions volées pour accéder aux comptes Claude et consommer leur quota d’utilisation. Dans certains cas, la consommation pouvait également entraîner des frais supplémentaires lorsque des crédits payants ou des mécanismes de recharge automatique étaient activés.
L’objectif des attaquants ne semble donc pas nécessairement être de voler directement une carte bancaire. Ils peuvent surtout chercher à détourner la puissance de calcul et les capacités de Claude, déjà payées par la victime.
Anthropic a indiqué avoir détecté cette activité sur certains comptes et avoir pris des mesures pour empêcher les sessions compromises de continuer à fonctionner.
Pourquoi Anthropic supprime les cartes bancaires
La suppression des informations de paiement répond à une logique de protection supplémentaire.
En supprimant la carte enregistrée, Anthropic évite qu’un compte compromis puisse continuer à générer des dépenses si l’attaquant parvient à utiliser les fonctionnalités payantes du service.
Les utilisateurs concernés doivent ensuite se reconnecter et enregistrer à nouveau leur moyen de paiement s’ils souhaitent continuer à utiliser leur abonnement dans les mêmes conditions.
Anthropic précise par ailleurs ne pas avoir de raison de penser que le malware est lié à Claude, qu’il a été installé par Claude ou qu’il provient d’une action effectuée avec le service.
Même l’authentification à deux facteurs peut ne pas suffire
C’est probablement l’un des enseignements les plus importants de cette affaire.
L’authentification à deux facteurs protège normalement un compte en ajoutant une vérification supplémentaire au mot de passe. Mais un cookie ou une session de navigateur déjà authentifiée peut permettre à un attaquant de contourner cette étape : il ne cherche plus à se connecter comme un nouvel utilisateur, il récupère une session qui l’est déjà.
C’est précisément l’une des techniques utilisées par les infostealers. Malwarebytes explique que ces logiciels peuvent voler les sessions de navigateur et permettre aux attaquants de prendre le contrôle de comptes sans avoir besoin de récupérer directement les identifiants classiques.
Cela ne signifie pas que l’authentification à deux facteurs est inutile. Elle reste une protection essentielle. Mais elle ne suffit pas à elle seule lorsqu’un appareil est déjà compromis.
Que doivent faire les utilisateurs de Claude concernés ?
Anthropic recommande de ne pas se reconnecter immédiatement si l’ordinateur utilisé avec Claude pourrait être infecté.
La priorité est d’abord de rechercher et supprimer le logiciel malveillant présent sur l’appareil. Il faut ensuite sécuriser le compte de messagerie associé à Claude, modifier les mots de passe importants et vérifier les autres comptes qui ont pu être accessibles depuis le navigateur compromis.
Il est également recommandé de vérifier ses relevés bancaires et l’historique de facturation de Claude afin de repérer d’éventuelles dépenses inhabituelles.
Cette affaire rappelle surtout que la sécurité d’un compte ne dépend pas uniquement de son mot de passe. Lorsqu’un ordinateur est infecté, les sessions déjà ouvertes peuvent elles aussi devenir une cible.
Pour Anthropic, cette nouvelle alerte intervient alors que l’entreprise renforce déjà fortement la sécurité de ses infrastructures et de ses environnements de développement, après plusieurs incidents liés à des modèles Claude ayant obtenu un accès non autorisé à des systèmes réels lors d’évaluations de cybersécurité
