Anthropic informe les utilisateurs de Claude que leurs comptes ont été piratés et rembourse les prélèvements non autorisés.

Depuis le 30 août, Anthropic a envoyé une notification à certains utilisateurs de Claude pour les informer que des individus utilisaient des logiciels voleurs d’informations afin de dérober le cookie de session de Claude sur leurs ordinateurs, puis de contourner le mécanisme 2FA pour s’introduire dans leurs comptes et en consommer les ressources. Anthropic a précisé que la plateforme Claude elle-même n’avait pas été compromise et que les comptes Claude servaient simplement de relais pour générer des revenus.

Notification d’Anthropic : déconnexion des sessions anormales

Dans son e-mail de notification, Anthropic a expliqué avoir pris les mesures suivantes après avoir détecté l’anomalie : déconnexion de toutes les sessions identifiées comme anormales, suppression des moyens de paiement enregistrés sur les comptes et remboursement des prélèvements non autorisés identifiés. Anthropic a également rappelé aux utilisateurs concernés que la déconnexion ne pouvait que couper la session dérobée et ne supprimait pas les logiciels malveillants présents sur l’ordinateur. Si le logiciel malveillant n’est pas supprimé, les informations pourraient à nouveau être dérobées ultérieurement.

Anthropic recommande notamment de changer le mot de passe du compte, de révoquer les sessions enregistrées sur les autres appareils, ainsi que d’analyser l’ordinateur et d’en supprimer les logiciels malveillants.

Principe de l’attaque : les logiciels voleurs d’informations dérobent les cookies de session

Le mécanisme de protection 2FA vérifie l’identité de l’utilisateur au moment de la connexion — compte, mot de passe et code de vérification supplémentaire — afin de confirmer qu’il s’agit bien de la personne qui se connecte. Mais l’attaque en question ne dérobe pas les identifiants de connexion : elle dérobe le cookie de session enregistré par le navigateur après la connexion, c’est-à-dire l’identifiant attestant que l’identité a déjà été vérifiée. Une fois en possession du cookie de session, l’attaquant peut accéder directement au compte sans avoir à passer par le 2FA.

Un utilisateur de Reddit a publié l’e-mail de notification qu’il avait reçu et expliqué qu’il se connectait à Claude avec son compte Google et avait activé le 2FA, mais que l’attaquant avait dérobé simultanément ses identifiants, ses cookies et son identifiant de session stockés dans le navigateur Chrome, contournant ainsi complètement le 2FA. Après enquête, il a découvert que la source de l’infection était probablement un logiciel piraté qu’il avait téléchargé auparavant.

Familles de logiciels voleurs d’informations citées

Les familles de logiciels voleurs d’informations citées dans la notification d’Anthropic sont les suivantes :

Côté Windows (5 logiciels) :

· Vidar

· LummaC2

· StealC

· RedLine

· Acreed

Côté macOS (1 logiciel) :

· Atomic Stealer (AMOS)

Tous ces logiciels voleurs d’informations commerciaux circulent depuis longtemps sur les marchés clandestins. Leur acquisition et leur utilisation sont faciles, et ils peuvent être déployés à grande échelle, ce qui explique en partie la prolifération de ce type d’attaques ces dernières années.

Étude de NordVPN : plus de 5,8 millions d’appareils infectés au premier semestre 2025

Entre juin 2025 et juin 2026, les chercheurs de NordVPN ont analysé les données dérobées circulant sur les forums du dark web et les marchés Telegram, et ont découvert plus de 52,4 milliards de cookies de navigateur. En se concentrant sur le premier semestre 2025, ils ont constaté que les logiciels voleurs d’informations avaient dérobé environ 1,8 milliard d’identifiants de connexion sur environ 5,8 millions d’appareils infectés ; environ 1,17 million d’enregistrements contenaient à la fois les identifiants et un cookie de session encore valide, ce qui permettait de se connecter directement aux comptes en contournant le 2FA. Ces chiffres montrent que ce type d’attaque a atteint une échelle industrielle.

Questions fréquentes

Quand Anthropic a-t-elle commencé à informer les utilisateurs de Claude concernés ?

À partir du 30 août 2026, Anthropic a envoyé à certains utilisateurs de Claude une notification intitulée « A recent issue affected your Claude account », expliquant que leur compte avait été victime d’un vol de cookie de session et utilisé pour consommer des ressources.

Pourquoi le 2FA n’a-t-il pas pu empêcher cette attaque ?

Le 2FA vérifie uniquement l’identité de l’utilisateur au « moment de la connexion » et protège le processus de connexion reposant sur le mot de passe du compte. Les logiciels voleurs d’informations dérobent le cookie de session enregistré dans le navigateur après la connexion, c’est-à-dire l’identifiant attestant que l’identité a été vérifiée ; l’attaquant qui possède ce cookie peut accéder directement au compte sans avoir à passer par le 2FA.

Quelles mesures Anthropic a-t-elle prises pour répondre à cet incident ?

D’après la notification d’Anthropic, les mesures prises comprennent la déconnexion des sessions détectées comme anormales, la suppression des moyens de paiement enregistrés sur les comptes et le remboursement des prélèvements non autorisés identifiés ; les utilisateurs concernés sont également invités à changer leur mot de passe, à révoquer les sessions ouvertes sur les autres appareils et à supprimer les logiciels malveillants de leur ordinateur.

Quels logiciels voleurs d’informations sont concernés ?

Les logiciels voleurs d’informations cités par Anthropic comprennent, côté Windows, Vidar, LummaC2, StealC, RedLine et Acreed, ainsi qu’Atomic Stealer (AMOS) côté macOS ; tous sont des logiciels voleurs d’informations commerciaux circulant sur les marchés clandestins.