Tra fine agosto e inizio settembre 2026 alcuni utenti di Claude hanno ricevuto un’email inattesa da Anthropic: sessione terminata, metodo di pagamento salvato rimosso, invito a effettuare nuovamente il login.
Non un disservizio tecnico, ma la conseguenza diretta di una campagna di furto di sessioni attive che ha spinto l’azienda a intervenire in modo proattivo su un numero non precisato di account.
La vicenda è emersa pubblicamente grazie a un utente che ha condiviso su Reddit, nel subreddit r/ClaudeAI, il testo integrale della comunicazione ricevuta da Anthropic, ringraziando l’azienda per la gestione dell’incidente.
Indice degli argomenti
Come funziona l’attacco: furto di sessione, non di password
Il vettore d’attacco descritto da Anthropic non punta a indovinare credenziali né a intercettare codici OTP dell’autenticazione a due fattori: i criminali sfruttano infostealer generici, malware già ampiamente diffuso, per copiare dal browser della vittima i cookie di sessione già autenticati. Una volta esfiltrati, questi token permettono a chiunque li possieda di accedere all’account come se fosse l’utente legittimo, senza dover ripetere login e verifica MFA.
Nel comunicato inviato agli utenti colpiti, Anthropic spiega che l’infostealer non ha nulla a che vedere con Claude: “non abbiamo motivo di credere che questo malware sia collegato a Claude, installato tramite Claude o correlato a qualcosa che avete fatto con Claude”.
Il malware, tipicamente, si diffonde tramite download di software crackato, applicazioni piratate o allegati malevoli e, una volta insediato, raccoglie in modo indiscriminato password salvate nel browser, cookie di login e credenziali di altre applicazioni presenti sul dispositivo.
La sessione Claude, in questo scenario, è semplicemente uno dei tanti asset raccolti insieme a molti altri, poi selezionata e rivenduta o riutilizzata da un attore malevolo distinto da chi ha condotto l’infezione iniziale.
Le famiglie di infostealer coinvolte
Secondo alcune analisi, Anthropic ha collegato la campagna a diverse famiglie di infostealer ben note nel panorama delle minacce: Vidar, LummaC2, StealC, RedLine e Acreed su Windows, oltre ad Atomic Stealer (AMOS) su un numero limitato di Mac.
Sono famiglie malware-as-a-service ampiamente commercializzate nei forum underground, distribuite tramite malvertising, crack software e installer contraffatti.
Nel caso riportato su Reddit, l’utente colpito ha confermato di aver scaricato un videogioco piratato poco prima della compromissione, conferma del vettore di infezione più comune per questa categoria di malware.
Il vero obiettivo: consumare credito, non solo rubare dati
Ciò che rende questa campagna interessante dal punto di vista analitico non è la tecnica di furto della sessione, ormai consolidata, quanto l’uso che ne viene fatto: gli attaccanti non si limitano a esfiltrare conversazioni o dati riservati, ma sfruttano attivamente l’account per consumare capacità computazionale a pagamento.
Il meccanismo degli “usage credit” sfruttato dagli attaccanti
I piani a pagamento di Claude possono offrire, se attivati dall’utente, crediti di utilizzo aggiuntivi: superato il limite incluso nel piano, l’account può continuare a operare tramite fatturazione a consumo alle tariffe standard dell’API, previa configurazione di un tetto di spesa mensile (o spesa illimitata) e prepagamento dei crediti.
È inoltre possibile attivare il ricarico automatico, che acquista nuovi crediti quando il saldo scende sotto una soglia impostata.
In uno scenario di session hijacking, un attaccante può quindi esaurire prima il credito incluso nel piano e poi, se il ricarico automatico è attivo, innescare acquisti aggiuntivi a carico della vittima. Anthropic lo descrive in modo diretto: se i limiti di utilizzo sembravano ricaricarsi e poi svuotarsi mentre l’account non veniva utilizzato, la causa era probabilmente questa.
Perché rubare capacità Claude e non solo dati
Il movente economico è evidente: usare capacità di calcolo AI a pagamento senza sostenerne il costo.
Ma l’account compromesso e i dati eventualmente esposti possono avere un valore ulteriore per attività fraudolente più ampie: dalla generazione e rifinitura di contenuti di phishing e scam, alla costruzione di infrastrutture per campagne malevole, fino allo sviluppo, modifica od offuscamento di codice malevolo.
Anthropic ricorda, comunque, di applicare misure di sicurezza e monitoraggio degli abusi e di aver già disattivato in passato account utilizzati per finalità malevole individuate dai propri sistemi.
La risposta di Anthropic: notifiche, blocco sessioni, rimborsi
Di fronte alla campagna, Anthropic ha attivato una risposta su tre livelli, comunicata direttamente agli account interessati tramite e-mail personalizzata.
Notifica personalizzata e trasparenza sull’accaduto
Ogni utente colpito ha ricevuto una comunicazione che spiega in modo chiaro cosa è successo, distinguendo esplicitamente la responsabilità del malware (esterno a Claude) dalla gestione dell’incidente da parte dell’azienda.
Un approccio di comunicazione della crisi che funziona: la reazione pubblica dell’utente che ha condiviso l’email su Reddit, con toni di ringraziamento verso Anthropic, è indicativa di come una comunicazione tempestiva e onesta possa contenere il danno reputazionale anche a fronte di un incidente di sicurezza.
Terminazione delle sessioni compromesse e rimozione del metodo di pagamento
Per interrompere l’accesso non autorizzato, Anthropic ha revocato le sessioni coinvolte e rimosso il metodo di pagamento salvato sugli account colpiti: una misura, questa, che impedisce ulteriori addebiti fino a quando l’utente non ripristina manualmente le proprie credenziali di pagamento.
L’azienda precisa, però, che disconnettere le sessioni rubate non elimina il malware dal dispositivo della vittima: se l’infezione resta attiva, la sessione successiva rischia di essere compromessa allo stesso modo.
Rimborso degli addebiti non autorizzati
Anthropic si è impegnata a rimborsare gli addebiti identificati come non autorizzati, riconoscendo di fatto che l’utente non ha alcuna responsabilità per il consumo di credito generato da un attaccante che ha sfruttato una sessione rubata.
Per chi continuasse a notare anomalie di utilizzo o addebiti non riconosciuti anche dopo aver seguito le indicazioni ricevute, l’azienda invita a contattare l’indirizzo dedicato usersafety@anthropic.com.
Cosa fare in caso di compromissione: la procedura consigliata
Le indicazioni operative diffuse da Anthropic seguono una sequenza logica che vale la pena riportare integralmente, perché applicabile a qualunque servizio cloud-based, non solo a Claude:
- Effettuare una scansione completa di ogni dispositivo utilizzato per accedere a Claude e rimuovere il malware individuato, prima di effettuare nuovamente il login o modificare le password.
- Una volta rimosso il malware, mettere in sicurezza l’account email associato a Claude: cambiarne la password, disconnettere le altre sessioni attive e attivare l’autenticazione a due fattori.
- Cambiare tutte le password sensibili eventualmente salvate nel browser compromesso, incluse quelle di home banking, servizi aziendali e cloud, e verificare gli estratti conto per movimenti non riconosciuti.
- Solo dopo aver completato questi passaggi, reinserire il metodo di pagamento su Claude, se si desidera mantenere attivo il rinnovo del piano.
Cosa cambia per aziende e consulenti: alcune considerazioni pratiche
Per chi segue quotidianamente sia la compliance normativa (NIS2, GDPR) sia gli aspetti tecnici della sicurezza, questo episodio offre spunti che vanno oltre la singola vicenda Claude e meritano attenzione da parte di chi in azienda gestisce account su piattaforme AI a consumo.
Il primo punto riguarda la superficie di attacco spesso sottovalutata degli strumenti AI a pagamento.
Quando un servizio cloud consente fatturazione a consumo con ricarico automatico, un account compromesso non è solo un problema di confidenzialità dei dati, ma un rischio economico diretto: la session hijacking di un account con spesa illimitata attiva può tradursi in addebiti rilevanti nel giro di poche ore.
Per i team IT che gestiscono l’adozione aziendale di Claude, ChatGPT Enterprise o servizi analoghi, è opportuno valutare con attenzione i ricarichi automatici sugli account individuali, preferendo limiti di spesa espliciti e monitoraggio centralizzato tramite le console Enterprise, che offrono controlli di governance più granulari rispetto agli account consumer.
Il secondo punto riguarda l’igiene degli endpoint. Gli infostealer coinvolti, Vidar, LummaC2, StealC, RedLine e Acreed su Windows, Atomic Stealer su Mac, sono famiglie note e monitorate dai principali vendor di sicurezza, ma continuano a diffondersi efficacemente attraverso vettori “banali” come software piratato: il caso in esame rappresenta, dunque, un efficace promemoria che le policy di utilizzo accettabile dei dispositivi aziendali (soprattutto su endpoint BYOD) restano una linea di difesa spesso più efficace di controlli tecnici sofisticati.
Infine, un punto di metodo valido per qualunque fornitore SaaS: la capacità di rilevare pattern di utilizzo anomalo (limiti che si “ricaricano e svuotano” senza attività riconducibile all’utente) e di notificare in modo proattivo e trasparente gli utenti colpiti, come ha fatto Anthropic, rappresenta oggi uno standard che i team di sicurezza aziendale dovrebbero pretendere anche dai propri fornitori AI in fase di due diligence, verificando in anticipo tempi e modalità di notifica in caso di incidente previste dal contratto o dal DPA.
Conclusioni
L’episodio conferma una tendenza ormai consolidata nel panorama delle minacce: gli infostealer generici restano uno dei vettori di compromissione più efficaci ed economici a disposizione dei criminali informatici e la crescente adozione di servizi AI a consumo apre nuove strade di monetizzazione per sessioni rubate che, fino a poco tempo fa, avrebbero avuto un valore limitato.
La risposta di Anthropic, fatta di notifica trasparente, blocco tempestivo e rimborso automatico, offre un modello di gestione dell’incidente che altri fornitori SaaS farebbero bene a osservare da vicino.
Per le aziende, la lezione è duplice: proteggere gli endpoint resta prioritario quanto proteggere gli account, e ogni servizio a fatturazione automatica richiede oggi controlli di spesa espliciti tanto quanto controlli di accesso.
Partecipa alla community