Des sessions Claude volées par des logiciels espions
Anthropic a averti certains utilisateurs de Claude que leurs sessions ouvertes avaient été dérobées par des logiciels espions présents sur leurs ordinateurs. Selon le courriel rapporté par BleepingComputer, les attaquants ont ensuite utilisé ces sessions pour consommer leurs quotas d'utilisation. Il ne s'agit pas d'une intrusion dans l'infrastructure de Claude, mais d'un ordinateur utilisateur déjà compromis.
Une session ouverte suffit à contourner la reconnexion
Quand vous vous connectez à un service dans votre navigateur, celui-ci conserve généralement un cookie de session. C'est ce qui évite de vous demander votre mot de passe à chaque page. Si ce cookie est encore valide, il prouve au site que la session a déjà été authentifiée. C'est pratique, mais un logiciel espion capable de lire les données du navigateur peut aussi le copier.
Dans le cas signalé, les pirates ne sont donc pas décrits comme ayant cassé un mot de passe Claude ni comme ayant franchi la double authentification. Ils auraient réutilisé une session déjà ouverte, récupérée sur une machine contaminée. L'effet est important : une authentification à deux facteurs protège la connexion initiale, mais ne nettoie pas un ordinateur infecté et ne rend pas inutilisable une session déjà volée.
Anthropic dit avoir alerté des comptes concernés
BleepingComputer publie le texte d'un courriel qu'Anthropic dit avoir adressé à un utilisateur concerné et à d'autres titulaires de comptes compromis. L'entreprise y explique avoir découvert qu'un acteur malveillant utilisait des logiciels voleurs d'informations courants pour dérober des sessions Claude, puis consommer l'usage associé aux comptes.
Le signal ayant conduit à l'alerte est inhabituel mais très concret : des limites d'utilisation qui se rechargent puis se vident alors que leur titulaire n'utilise pas le service. Anthropic indique déconnecter les sessions compromises, retirer les moyens de paiement enregistrés et rembourser les frais identifiés comme non autorisés. Le nombre de comptes visés n'est pas public dans les sources consultées.
Le vrai point d'entrée est le poste infecté
Les sources consultées insistent sur ce point : les logiciels malveillants ne seraient pas liés à Claude, ni installés par Claude. Leur rôle est plus large. Un infostealer fouille l'ordinateur et le navigateur afin de récupérer ce qui s'y trouve : cookies, mots de passe enregistrés et identifiants d'autres applications. Une session Claude n'est alors qu'un élément parmi d'autres que les attaquants peuvent sélectionner ensuite. Cette distinction évite une conclusion erronée : changer uniquement le mot de passe de Claude ne répond pas à la compromission d'un navigateur qui contient potentiellement des sessions d'autres services.
Anthropic cite notamment Vidar, LummaC2, StealC, RedLine et Acreed sur Windows, ainsi qu'Atomic Stealer sur un petit nombre de Mac. Les articles rapportent aussi le cas d'un utilisateur ayant téléchargé un jeu piraté avant l'infection. Ce témoignage illustre un mode de diffusion possible, pas l'origine démontrée de tous les cas.
Se déconnecter ne retire pas le logiciel espion
Le courriel attribué à Anthropic donne une précision utile : forcer la déconnexion arrête la session qui a déjà été volée, mais ne supprime pas le programme malveillant. Si celui-ci demeure sur l'ordinateur, une nouvelle session peut être récupérée après la reconnexion. C'est pourquoi le traitement ne peut pas se limiter à cliquer sur « se déconnecter » dans Claude.
Si vous recevez cette alerte, ou constatez une consommation de quota que vous n'expliquez pas, commencez par ne pas poursuivre vos connexions depuis le poste suspect. Vérifiez et supprimez l'infection avant de recréer une session, puis changez vos identifiants et révoquez les autres sessions comme le recommande Anthropic. Cette séquence répond au problème documenté : le contrôle du navigateur par un logiciel espion.
Ce que nous ne pouvons pas vérifier
Nous n'avons pas trouvé de communiqué public d'Anthropic détaillant cette campagne ni le nombre de personnes concernées. Notre constat repose sur le courriel rapporté par BleepingComputer et repris par plusieurs médias. Nous ne pouvons pas vérifier indépendamment l'identité de tous les destinataires de l'alerte, ni le volume des usages frauduleux remboursés.
Nous ne pouvons pas non plus attribuer chaque infection à un téléchargement précis. Le jeu piraté mentionné dans les articles est le récit d'un utilisateur, pas une explication établie pour l'ensemble des victimes. Ce qui est rapporté comme confirmé par Anthropic est l'utilisation de logiciels espions généralistes pour voler des sessions Claude sur des ordinateurs déjà infectés.
Le déroulé
- Fin août 2026 · Des médias publient le courriel par lequel Anthropic avertit des utilisateurs concernés de vols de sessions Claude.
- Après la détection · Anthropic indique déconnecter les sessions compromises, retirer des moyens de paiement et rembourser les frais non autorisés identifiés.
Ce qu'il faut faire
- Traitez d'abord l'ordinateur infecté. Une déconnexion seule ne suffit pas : tant que le logiciel espion reste présent, il peut voler votre prochaine session ouverte.
- Révoquez les sessions après le nettoyage. Une fois le poste assaini, changez vos identifiants et fermez les autres sessions afin que les cookies volés cessent d'être utilisables.
- Évitez les téléchargements non fiables. Les logiciels piratés ou installateurs inconnus peuvent cacher un programme qui cible l'ensemble des données conservées dans le navigateur.
Sources : BleepingComputer ↗ · 01net ↗
Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.