أبلغت شركة Anthropic مستخدمي Claude بأن حساباتهم قد تعرّضت للاختراق، وأعادت إليهم المبالغ التي خُصمت دون تصريح.

منذ 30 أغسطس 2026، أرسلت Anthropic إشعارات إلى بعض مستخدمي Claude، موضحةً أن جهات ما تستخدم برمجيات سرقة المعلومات لسرقة ملفات تعريف ارتباط جلسات تسجيل الدخول إلى Claude من أجهزة المستخدمين، ثم تستخدم هذه الملفات لتجاوز آلية المصادقة الثنائية (2FA) واختراق الحسابات واستهلاك الحصة. وأوضحت Anthropic أن منصة Claude نفسها لم تتعرض للاختراق، بل استُخدمت حسابات Claude كنقطة عبور لتحقيق الأرباح.

إشعار Anthropic: تسجيل الخروج من الجلسات غير الاعتيادية

أوضحت Anthropic في رسالة الإشعار أنها اتخذت الإجراءات التالية بعد اكتشاف النشاط غير الاعتيادي: تسجيل الخروج من جميع جلسات تسجيل الدخول التي رُصدت فيها أنشطة غير اعتيادية، وإزالة وسائل الدفع المحفوظة في الحساب، وردّ الرسوم غير المصرح بها التي جرى تحديدها. كما ذكّرت Anthropic المستخدمين المتأثرين بأن تسجيل الخروج لا يؤدي إلا إلى إبطال الجلسة المسروقة هذه المرة، ولا يزيل البرمجيات الخبيثة من الكمبيوتر؛ وإذا لم تُزل البرمجية الخبيثة، فقد تُسرق البيانات مجدداً في المستقبل.

تشمل الخطوات التي أوصت بها Anthropic تغيير كلمة مرور الحساب، وإلغاء جلسات تسجيل الدخول على الأجهزة الأخرى، وفحص الكمبيوتر بحثاً عن البرمجيات الخبيثة وإزالتها.

آلية الهجوم: برمجيات سرقة المعلومات تسرق ملفات تعريف ارتباط الجلسة

تعمل آلية الحماية عبر 2FA على التحقق من هوية المستخدم «لحظة تسجيل الدخول» — من خلال الحساب وكلمة المرور، إضافةً إلى رمز التحقق من الطبقة الثانية — للتأكد من أن صاحب الحساب هو من ضغط زر تسجيل الدخول. لكن الهجوم الحالي لا يسرق بيانات اعتماد تسجيل الدخول، بل يسرق ملف تعريف ارتباط الجلسة الذي يحفظه المتصفح بعد تسجيل الدخول، وهو اعتماد هوية يتذكر المتصفح من خلاله أن المستخدم قد خضع للتحقق. وبمجرد حيازة المهاجم ملف تعريف ارتباط الجلسة، يصبح بإمكانه الوصول مباشرةً إلى الحساب من دون الحاجة إلى اجتياز 2FA.

نشر أحد المستخدمين على Reddit رسالة الإشعار التي تلقاها، موضحاً أنه سجّل الدخول إلى Claude باستخدام حساب Google وفعّل 2FA، لكن المهاجم سرق دفعة واحدة بيانات الحساب وكلمات المرور وملفات تعريف الارتباط ومعرّف الجلسة من متصفح Chrome، متجاوزاً 2FA بالكامل. وبعد التتبع، اكتشف أن مصدر الإصابة يُشتبه في أنه برنامج مقرصن نزّله في وقت سابق.

تحديد عائلات برمجيات سرقة المعلومات

حددت Anthropic في إشعارها عائلات برمجيات سرقة المعلومات التالية:

على Windows (5 برمجيات):

· Vidar

· LummaC2

· StealC

· RedLine

· Acreed

على macOS (برنامج واحد):

· Atomic Stealer (AMOS)

جميع هذه البرمجيات هي برمجيات تجارية لسرقة المعلومات، متداولة منذ سنوات في الأسواق غير القانونية، وتتميز بانخفاض عتبة شرائها وسهولة تشغيلها، كما يمكن نشرها على نطاق واسع؛ وهو أحد أسباب انتشار هذا النوع من الهجمات في السنوات الأخيرة.

دراسة NordVPN: أكثر من 5.8 مليون جهاز مصاب في النصف الأول من 2026

حلل باحثو NordVPN سجلات سرقة المعلومات المتداولة في منتديات الويب المظلم وأسواق Telegram خلال الفترة من يونيو 2025 إلى يونيو 2026، ووجدوا أن عدد ملفات تعريف ارتباط المتصفحات تجاوز 52.4 مليار ملف. وبالتركيز على النصف الأول من 2026، سرقت برمجيات سرقة المعلومات نحو 1.8 مليار مجموعة من بيانات اعتماد تسجيل الدخول من نحو 5.8 مليون جهاز مصاب؛ ومن بينها نحو 1.17 مليون سجل احتوى في الوقت نفسه على بيانات الحساب وكلمة المرور وملف تعريف ارتباط جلسة لا يزال صالحاً، ما يعني إمكانية تجاوز 2FA وتسجيل الدخول مباشرةً إلى الحسابات. وتعكس هذه الأرقام بلوغ هذا النوع من الهجمات نطاقاً صناعياً.

الأسئلة الشائعة

متى بدأت Anthropic بإخطار مستخدمي Claude المتأثرين؟

منذ 30 أغسطس 2026، أرسلت Anthropic إلى بعض مستخدمي Claude إشعاراً بعنوان «A recent issue affected your Claude account»، أوضحت فيه أن الحسابات تعرضت لسرقة ملفات تعريف ارتباط الجلسات، واستُخدمت هذه الملفات لاستهلاك الحصة.

لماذا لم يتمكن 2FA من منع هذا الهجوم؟

يتحقق 2FA من الهوية «لحظة تسجيل الدخول» فقط، ويحمي عملية تسجيل الدخول باستخدام الحساب وكلمة المرور. أما برمجيات سرقة المعلومات فتسرق ملف تعريف ارتباط الجلسة المحفوظ في المتصفح بعد تسجيل الدخول، وهو اعتماد هوية تم التحقق منها. وبإمكان المهاجم الذي يحوز هذا الملف الوصول مباشرةً إلى الحساب من دون الحاجة إلى اجتياز 2FA.

ما الإجراءات التي اتخذتها Anthropic للتعامل مع هذا الحادث؟

وفقاً لإشعار Anthropic، شملت الإجراءات المتخذة تسجيل الخروج من جلسات تسجيل الدخول التي رُصدت فيها أنشطة غير اعتيادية، وإزالة وسائل الدفع المحفوظة في الحساب، وردّ الرسوم غير المصرح بها التي جرى تحديدها؛ كما أوصت المستخدمين المتأثرين بتغيير كلمات المرور، وإلغاء جلسات تسجيل الدخول على الأجهزة الأخرى، وإزالة البرمجيات الخبيثة من أجهزة الكمبيوتر.

ما برمجيات سرقة المعلومات المعنية بهذا الحادث؟

تشمل برمجيات سرقة المعلومات التي حددتها Anthropic Vidar وLummaC2 وStealC وRedLine وAcreed على Windows، وAtomic Stealer (AMOS) على macOS؛ وجميعها برمجيات تجارية لسرقة المعلومات متداولة في الأسواق غير القانونية.