Anthropic повідомила користувачів Claude про те, що їхні облікові записи було зламано, і повернула кошти за несанкціоновані списання.

Починаючи з 30 серпня Anthropic надсилає деяким користувачам Claude повідомлення про те, що зловмисники використовують викрадачі даних для крадіжки сесійних cookie Claude з комп’ютерів користувачів, а потім обходять у такий спосіб механізм 2FA, отримують доступ до акаунтів і витрачають їхні ліміти. Anthropic уточнила, що сама платформа Claude не була зламана, а акаунти Claude лише використовувалися як проміжна ланка для монетизації.

Повідомлення Anthropic: аномальні сесії завершено

У повідомленні Anthropic зазначено, що після виявлення аномалії було вжито таких заходів: завершено всі виявлені аномальні сесії входу, видалено збережені в акаунтах платіжні методи та повернуто кошти за ідентифіковані несанкціоновані списання. Anthropic також нагадала постраждалим користувачам: вихід із системи може лише розірвати викрадену сесію, але не видаляє шкідливе програмне забезпечення з комп’ютера. Якщо вірус не видалити, дані можуть знову бути викрадені в майбутньому.

Anthropic рекомендує виконати такі кроки: змінити пароль акаунта, відкликати активні сеанси на інших пристроях, а також просканувати комп’ютер і видалити шкідливе програмне забезпечення.

Принцип атаки: викрадачі даних крадуть сесійні cookie

Механізм захисту 2FA перевіряє особу в «момент входу» — акаунт, пароль і код двофакторної автентифікації підтверджують, що кнопку входу натиснула саме ця людина. Однак під час цієї атаки викрадається не обліковий запис для входу, а сесійний файл cookie, збережений браузером після входу (ідентифікатор, за допомогою якого браузер запам’ятовує підтверджену особу). Отримавши сесійний cookie, зловмисник фактично може отримати прямий доступ до акаунта без проходження 2FA.

Користувач Reddit опублікував отримане повідомлення та пояснив: він увійшов до Claude за допомогою акаунта Google і ввімкнув 2FA, але зловмисник одним махом викрав із браузера Chrome облікові дані, cookie та ідентифікатор сесії, повністю обійшовши 2FA. Під час розслідування він виявив, що джерелом зараження, імовірно, було піратське програмне забезпечення, яке він раніше завантажив.

Названі родини викрадачів даних

У повідомленні Anthropic було названо такі родини викрадачів даних:

Для Windows (5 видів):

· Vidar

· LummaC2

· StealC

· RedLine

· Acreed

Для macOS (1 вид):

· Atomic Stealer (AMOS)

Усі вони є комерційними викрадачами даних, які вже багато років поширюються на підпільному ринку. Низький поріг придбання та простота використання дають змогу розгортати їх у масштабі, що є однією з причин поширення таких атак останніми роками.

Дослідження NordVPN: у першій половині 2025 року було заражено понад 5,8 мільйона пристроїв

У період із червня 2025 року до червня 2026 року дослідники NordVPN проаналізували записи, викрадені шкідливим програмним забезпеченням і поширювані на форумах даркнету та в маркетплейсах Telegram, і виявили понад 52,4 мільярда файлів cookie браузерів. Якщо зосередитися на першій половині 2025 року, викрадачі даних поцупили приблизно 1,8 мільярда наборів облікових даних для входу з приблизно 5,8 мільйона заражених пристроїв; близько 1,17 мільйона записів одночасно містили облікові дані та все ще чинні сесійні cookie, що означає можливість прямого входу в акаунти в обхід 2FA. Ці статистичні дані свідчать, що такі атаки вже досягли промислових масштабів.

Поширені запитання

Коли Anthropic почала повідомляти постраждалих користувачів Claude?

Починаючи з 30 серпня 2026 року Anthropic надсилає деяким користувачам Claude повідомлення із заголовком «A recent issue affected your Claude account», у якому пояснюється, що сесійні cookie акаунта було викрадено та використано для витрачання лімітів.

Чому 2FA не змогла запобігти цій атаці?

2FA перевіряє особу лише «в момент входу» та захищає процес входу на рівні пароля акаунта. Викрадачі даних крадуть сесійні cookie, збережені в браузері після входу (підтверджений ідентифікатор особи), тому зловмисник, який володіє цим cookie, може безпосередньо отримати доступ до акаунта без проходження 2FA.

Яких заходів Anthropic вжила у відповідь на цю подію?

Відповідно до повідомлення Anthropic, було вжито таких заходів: завершено виявлені аномальні сесії входу, видалено збережені в акаунтах платіжні методи та повернуто кошти за ідентифіковані несанкціоновані списання; водночас постраждалим користувачам рекомендовано змінити пароль, відкликати активні сеанси на інших пристроях і видалити шкідливе програмне забезпечення з комп’ютера.

Які викрадачі даних були причетні до цієї атаки?

Anthropic назвала такі викрадачі даних: Vidar, LummaC2, StealC, RedLine та Acreed для Windows, а також Atomic Stealer (AMOS) для macOS; усі вони є комерційними викрадачами даних, що поширюються на підпільному ринку.