Des infostealers copient sur votre ordinateur la session Claude ouverte dans votre navigateur, et des pirates la rejouent pour entrer dans votre compte sans mot de passe ni double authentification. Fin août, Anthropic a prévenu par courriel des utilisateurs de Claude dont la session avait été volée.
Un lot de logs d'infostealers de 7 Go a été diffusé gratuitement le 2 août dernier sur un canal Telegram, contenant 5 871 dossiers, un par ordinateur infecté, répartis dans 162 pays. L'équipe de veille sur les menaces d'Okta a analysé ces dossiers, qui renferment notamment des identifiants et des jetons de session. Pour rappel, un jeton de session est le fichier que le site remet à votre navigateur une fois la connexion validée.
561 jetons Anthropic sur 404 ordinateurs infectés
Les vendeurs de logs diffusent gratuitement une partie de leur production, afin d'attirer des clients vers des abonnements hebdomadaires ou mensuels, précise Okta. Ce lot renferme 561 jetons d'authentification uniques d'Anthropic, présents sur 404 machines, selon le tableau du rapport. Au 2 août, 164 de ces jetons n'avaient pas encore expiré.
« Les jetons de session et les clés d'API sont recherchés en priorité par les cybercriminels, car il est souvent possible de rejouer ces secrets pour contourner l'authentification par identifiants », a écrit Jeremy Kirk, directeur d'Okta Threat Intelligence. Des pirates qui rejouent un jeton encore valide accèdent en effet directement au compte, sans que la double authentification soit sollicitée.
Okta cite aussi le cas d'un ordinateur Windows 11 en Israël. Son utilisateur avait téléchargé le jeu Hearts of Iron IV dans une version piégée avec l'infostealer Remus. Le dossier de cette machine renfermait des données de session OpenAI et ChatGPT, dans un troisième profil Chrome. Okta a en outre retrouvé dans ce lot 24 clés d'API encore valides pour quatre services d'IA, dont Google Gemini et OpenAI, d'après The Hacker News.
- Upload de fichiers pouvant aller jusqu'à 100 000 tokens (75 000 mots environ)
- Personnalisation avancée
- Conception éthique
Des comptes Claude déconnectés et des cartes bancaires retirées
L'entreprise a déconnecté les utilisateurs concernés et supprimé leur carte bancaire enregistrée, puis remboursé les frais non autorisés. Les utilisateurs pouvaient repérer ce vol quand leur limite d'usage était rechargée puis épuisée alors qu'ils n'utilisaient pas Claude, indique Anthropic. « Nous n'avons aucune raison de croire que ce logiciel malveillant est lié à Claude, installé par l'intermédiaire de Claude, ou lié à quelque chose que vous avez fait avec Claude », explique l'entreprise dans son courriel. « Se déconnecter de Claude arrête les sessions volées, mais ne supprime pas le logiciel malveillant », a-t-elle averti, rapporte BleepingComputer. Anthropic conseille donc d'analyser l'ordinateur pour supprimer le logiciel malveillant, puis de changer le mot de passe de sa messagerie. Une carte bancaire ne doit être enregistrée à nouveau qu'après ce nettoyage, ajoute l'entreprise.
