Infostealer rubano le sessioni Claude e prosciugano le quote senza superare il 2FA

🛡️ Executive Summary

• Anthropic segnala account Claude compromessi attraverso sessioni browser rubate da infostealer già presenti sui computer delle vittime.
• Gli attaccanti possono riutilizzare una sessione autenticata senza ripetere necessariamente password e 2FA, consumando direttamente le quote disponibili.
• Vidar, LummaC2, StealC, RedLine, Acreed e Atomic Stealer compaiono nell’indagine; il logout blocca la sessione rubata ma non elimina il malware.

Anthropic sta avvertendo alcuni utenti Claude che malware infostealer già presenti sui loro computer hanno sottratto sessioni di autenticazione attive e le hanno successivamente utilizzate per accedere agli account e consumarne le quote. Il comportamento spiega casi nei quali i limiti di utilizzo sembravano essersi ricaricati per poi esaurirsi nuovamente senza attività riconosciuta dall’utente. Il punto tecnico è più grave di un normale furto di password: copiando cookie e materiale di sessione già autenticato, un attaccante può in alcuni scenari riutilizzare l’accesso senza dover eseguire da zero il normale login e quindi senza incontrare necessariamente lo stesso controllo 2FA. È esattamente il rischio già osservato con AMOS su macOS, dove cookie di sessione, token e credenziali vengono raccolti insieme ai dati di browser e wallet.

Anthropic collega gli accessi anomali a sessioni Claude già rubate

L’allerta emerge da comunicazioni inviate direttamente da Anthropic agli utenti interessati e riportate da un utente su Reddit. L’azienda spiega di avere identificato un attore che utilizza infostealer generalisti per raccogliere sessioni Claude dai computer compromessi e selezionarle successivamente tra i molti dati esfiltrati. Anthropic sottolinea che il malware non è distribuito da Claude e non dipende da un’azione eseguita all’interno del servizio: l’infezione avviene normalmente attraverso download, applicazioni malevole o altre catene già note agli stealer. Claude diventa semplicemente uno degli asset presenti sulla macchina e quindi una nuova voce da monetizzare. La dinamica conferma ciò che era già emerso nelle campagne in cui gli infostealer raccolgono contemporaneamente password, cookie, token OAuth, chiavi SSH e sessioni cloud: il valore dell’endpoint compromesso cresce con il numero di servizi ai quali l’utente rimane autenticato.

Rubare una sessione può rendere inutile il nuovo login con 2FA

La differenza fondamentale tra credential theft e session hijacking è che una sessione valida rappresenta il risultato di un’autenticazione già completata. Il browser conserva cookie e token proprio per evitare che l’utente debba inserire nuovamente le credenziali a ogni richiesta. Se un infostealer riesce a copiare quel materiale e l’applicazione accetta la sessione dal nuovo contesto, l’attaccante non deve necessariamente conoscere la password né ripetere il processo di autenticazione multifattore. Non significa che il 2FA sia inutile: protegge il login e resta fondamentale, ma non può da solo impedire l’abuso di una sessione già autenticata sottratta dal dispositivo. È un modello già dimostrato da AmnesiaStealer, capace di clonare interi profili Chromium con cookie e stato locale per mantenere un contesto molto vicino a quello della vittima. Per questo il problema deve essere trattato come compromissione dell’endpoint e della sessione, non soltanto come password leak.

Leggi anche: Jewelbug ruba cookie e segue la generazione dei token di sessione direttamente dal browser

Vidar, LummaC2, StealC e RedLine compaiono sui sistemi Windows

Anthropic afferma di avere associato gli incidenti a diversi infostealer già ampiamente diffusi, tra cui Vidar, LummaC2, StealC, RedLine e Acreed sui computer Windows. Non si tratta quindi di una nuova famiglia costruita specificamente contro Claude, ma di malware generalisti ai quali gli operatori stanno assegnando un nuovo obiettivo economico. Questi programmi scandagliano browser, applicazioni e filesystem, comprimono i dati interessanti e li inviano agli operatori o ai mercati criminali che acquistano log di infezioni già pronti. Una sessione Claude può entrare nello stesso pacchetto contenente Gmail, GitHub, account social, servizi cloud o wallet. La progressiva industrializzazione di questo modello era già evidente con AgentBaiting, dove repository GitHub falsi consegnavano StealC agli utenti di Claude Code, Gemini e altri agenti. La novità è che ora Claude non è soltanto l’esca o lo strumento usato durante l’infezione: è direttamente una delle risorse rubate.

Atomic Stealer porta lo stesso rischio anche sui Mac

Anthropic ha individuato anche un piccolo numero di casi macOS associati ad Atomic Stealer, noto come AMOS. È un dettaglio particolarmente importante per sviluppatori e professionisti che utilizzano Claude su Mac e potrebbero considerare l’ambiente meno esposto rispetto a Windows. AMOS è progettato precisamente per sottrarre dati ad alto valore da browser e applicazioni, comprese password, cookie, token, Keychain e wallet. La sua distribuzione è diventata sempre più aggressiva attraverso finti programmi, malvertising e tecniche ClickFix. Nel luglio 2026 Atomic Stealer veniva già distribuito attraverso annunci sponsorizzati su X che inducevano gli utenti macOS a eseguire comandi nel Terminale. Una volta ottenuta l’esecuzione locale, distinguere una sessione Claude da qualsiasi altra sessione browser è semplicemente una questione di sapere quali file e database cercare.

Le quote Claude diventano un asset monetizzabile dagli attaccanti

Il comportamento osservato introduce una forma di monetizzazione differente dal classico account takeover. L’attaccante può utilizzare la capacità computazionale già pagata dalla vittima, facendo consumare messaggi e limiti senza acquistare un proprio abbonamento. Il valore cresce ulteriormente sui piani con quote elevate o sulle sessioni utilizzate per Claude Code, dove workload agentici e conversazioni prolungate possono consumare molta più capacità rispetto alla chat occasionale. Il problema arriva proprio mentre Anthropic sta modificando i limiti settimanali di Claude Code e trasformando la capacità disponibile in una variabile sempre più importante per gli sviluppatori. Un infostealer può quindi sottrarre non soltanto identità digitale ma compute già acquistato, con una conseguenza immediatamente visibile nella dashboard dell’utente: quota disponibile che scompare anche quando Claude non viene utilizzato legittimamente.

Anthropic revoca le sessioni e rimuove i metodi di pagamento

Per gli account identificati come compromessi, Anthropic sta forzando il logout, revocando quindi le sessioni sottratte, e rimuovendo i metodi di pagamento salvati per limitare eventuali acquisti non autorizzati. L’azienda afferma inoltre di rimborsare gli addebiti che identifica come fraudolenti. Questa misura blocca l’accesso basato sul materiale di sessione già rubato, ma Anthropic avverte esplicitamente che non rimuove l’infostealer dal computer. Se il dispositivo resta infetto, una nuova autenticazione può generare una nuova sessione che il malware potrebbe sottrarre nuovamente. Lo stesso problema ricorre nelle campagne macOS in cui lo stealer continua a raccogliere cookie, password e token fintanto che rimane presente sull’endpoint. Il logout deve quindi essere accompagnato dalla bonifica del dispositivo, altrimenti la rotazione della sessione rischia semplicemente di fornire agli attaccanti una credenziale fresca.

Claude permette di vedere e terminare le sessioni attive

Anthropic dispone già di strumenti specifici per questo tipo di incidente. Nella documentazione ufficiale sulla gestione delle sessioni viene spiegato che da Impostazioni > Account è possibile visualizzare i browser e i dispositivi collegati, la posizione approssimativa e l’ultimo utilizzo, terminando individualmente le sessioni sconosciute. È inoltre possibile effettuare il logout globale da tutti i dispositivi. La società precisa che una normale sessione Claude web può avere una durata di 28 giorni e viene aggiornata durante l’utilizzo, una caratteristica che aumenta la comodità ma rende ancora più prezioso un cookie sottratto prima della scadenza. L’importanza di poter revocare centralmente queste credenziali emerge anche negli attacchi che sfruttano chat AI e domini fidati per convincere gli utenti a installare direttamente infostealer: una volta compromesso l’host, la sessione deve essere considerata potenzialmente esposta anche se la password non è mai stata digitata nella pagina malevola.

Enterprise può ridurre la durata massima delle sessioni

Per le organizzazioni il problema può essere mitigato anche riducendo la finestra temporale durante la quale una sessione rubata rimane utile. Anthropic permette agli amministratori Enterprise e Console di configurare una durata massima della sessione pari a 1, 7, 14 o 28 giorni, obbligando gli utenti a autenticarsi nuovamente anche se stanno utilizzando attivamente il servizio. La documentazione sulla session security presenta esplicitamente questa funzione come strumento per limitare il tempo durante il quale una sessione compromessa può restare valida. È particolarmente importante nei team di sviluppo, dove skills e integrazioni agentiche possono aumentare enormemente il numero di credenziali, repository e servizi raggiungibili dalla stessa workstation. Accorciare la sessione non previene il furto, ma restringe la finestra operativa disponibile all’attaccante.

Continua con:

• ClickFix su macOS usa fingerprinting e oltre 250 domini per distribuire Atomic Stealer
• AMOS usa ChatGPT, Grok e Google Ads per rubare sessioni, Keychain e wallet su macOS

Il browser autenticato diventa la nuova cassaforte degli account AI

L’allerta Anthropic dimostra che la sicurezza degli account AI dipende ormai direttamente dalla sicurezza locale del browser. Una password robusta e il 2FA restano indispensabili, ma non coprono da soli il furto di cookie e token validi da un computer già infetto. Con servizi come Claude, ChatGPT e gli agenti di coding, il valore di una sessione cresce ulteriormente perché rappresenta contemporaneamente accesso a conversazioni, capacità computazionale e in alcuni casi strumenti collegati. È la stessa evoluzione osservata negli infostealer moderni che non cercano più soltanto credenziali statiche ma interi contesti operativi fatti di token, sessioni cloud e chiavi di sviluppo. Per chi osserva quote Claude che si ricaricano e vengono prosciugate senza utilizzo, l’ipotesi da verificare non è quindi soltanto un errore di billing: può essere il segnale che qualcuno sta utilizzando una sessione già autenticata sottratta direttamente dal dispositivo.