Ciberdelincuentes roban sesiones de Claude y revenden acceso

Cómo funciona el ataque: sesiones que ya vienen autenticadas

El método que documentan Anthropic y los investigadores de SecurityWeek y Winbuzzer no explota ningún servidor de Anthropic. El malware infostealer se instala en el ordenador del usuario (Windows o, en menor medida, macOS) y, al ejecutarse, copia las cookies de sesión y los tokens de autenticación que el navegador guarda localmente. Esas cookies son pruebas activas de que el usuario ya pasó por la pantalla de login: el atacante las reenvía desde su propio equipo y el servidor de Claude acepta la sesión como legítima.

Por eso el ataque evade el segundo factor de autenticación. La cookie de sesión ya incorpora el estado "autenticado": una vez robada, el atacante opera como si fuera el dueño de la cuenta sin necesidad de contraseña ni código temporal. Anthropic no ofrece autenticación por contraseña tradicional —el login se hace con un enlace al correo—, así que el único muro que debería haber entre el atacante y la cuenta es la cookie. Y la cookie la roba el malware antes de que intervenga ningún login.

Las familias implicadas que la propia Anthropic nombró en los correos a los afectados son Vidar, Lumma (LummaC2), StealC, RedLine y Acreed en Windows, y Atomic Stealer (AMOS) en un número menor de macOS. Son herramientas de propósito general: roban contraseñas, cookies y credenciales de cualquier servicio. Que ahora aparezcan ligadas a sesiones de Claude refleja el cambio de objetivo del crimen, no una vulnerabilidad nueva de la plataforma.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Qué ha hecho Anthropic, y qué ha dejado sin responder

La respuesta operativa de Anthropic fue de manual: cerró todas las sesiones afectadas, retiró los métodos de pago guardados y reembolsó los cargos que pudo clasificar como no autorizados. Winbuzzer reportó que la compañía advirtió a los usuarios que podría volver a cerrar la sesión si reaparecen signos de uso indebido, y que el método de pago solo debe reañadirse después de confirmar que el equipo está limpio.

Lo que Anthropic no ha hecho es publicar un aviso en su sala de prensa, divulgar el número de cuentas comprometidas, detallar el vector inicial de infección, ni ofrecer un desglose forense del consumo al usuario afectado. En el caso documentado por TechCrunch y replicado por wwwhatsnew.com, el consultor independiente Grant de Swardt pidió a Anthropic el detalle de uso de su cuenta y la empresa no lo entregó: se limitó a reconocer que algo estaba mal, suspender la cuenta y emitir un reembolso parcial de £44,49.

Esa opacidad tiene un coste. En un servicio con facturación por uso adicional más allá del plan base, sin transparencia por solicitud, la víctima difícilmente detecta el abuso mientras ocurre. Anthropic permite activar spending limits configurables o ilimitados por encima del plan, y un atacante con créditos ilimitados puede consumir cientos de dólares en tokens antes de que el dueño se entere.

El caso documentado: una cuenta Claude Max 20x quemando tokens sola

El episodio más concreto lo aportó el propio De Swardt, consultor de IA con sede en East Sussex (Reino Unido), en declaraciones a TechCrunch el 8 de septiembre. El 4 de agosto detectó que su suscripción Claude Max 20x —el plan más caro del catálogo, a 200 dólares al mes— consumía tokens a ritmo anómalo sin que él hiciera nada. En el intervalo más controlado que describe, el uso pasó del 45 % al 55 % mientras su trabajo estaba pausado, las tareas programadas detenidas y sin ninguna sesión local de Claude Code abierta.

Tras investigar, Anthropic confirmó que una clave de sesión comprometida sirvió para acuñar tokens OAuth no autorizados de Claude Code desde un tercero que operó de forma encubierta mientras el dueño no trabajaba. Cuando Anthropic cerró la cuenta, lo hizo sin aviso previo y sin estimación de resolución: el negocio de De Swardt, que ayuda a pymes a configurar agentes de IA, quedó paralizado varios días y sus clientes activos, sin soporte.

Este punto es el que más debería preocupar a un founder: Anthropic no trata la suspensión de cuenta como un incidente de continuidad de negocio, solo como un cierre de seguridad. La decisión es razonable desde el lado de la plataforma, pero deja sin red a quien ha construido su servicio sobre una sola cuenta.

El mercado negro del cómputo robado: sesiones revendidas, víctima que paga

La lógica económica es simple y es la razón por la que este tipo de ataques ha pasado de anécdota a campaña sistemática. El atacante vende acceso a cuentas comprometidas en foros clandestinos por una fracción del precio de suscripción. Quien compra usa la capacidad de tokens del legítimo suscriptor —generación de contenido, entrenamiento de prompts, automatización— y la factura llega al dueño original.

Cuando la cuenta tiene habilitados créditos adicionales o auto-recarga, el daño deja de ser un susto y se convierte en un agujero financiero. El incidente con Claude se suma al malware en la cadena de suministro de LiteLLM documentado en marzo de 2026, que fue la primera señal de que los atacantes habían empezado a apuntar específicamente al ecosistema de herramientas de IA. Lo de septiembre confirma que el patrón es sistemático, no oportunista.

Tu plataforma favorita probablemente tiene el mismo problema

Un apunte comparativo relevante publicado por TechCrunch el 15 de agosto: Claude no ofrece autenticación multifactor tradicional. El login es por enlace al correo, así que la única barrera entre el atacante y la cuenta es la cookie de sesión —precisamente lo que roba el infostealer. ChatGPT y Perplexity sí ofrecen MFA, lo que añade una capa extra incluso si la contraseña queda comprometida.

La consecuencia operativa para el usuario es directa:

En Claude, revisar las sesiones activas (Settings → Account → Active sessions) y cerrar lo que no reconozcas es la única herramienta nativa de defensa. Si ves actividad sospechosa, no basta con cambiar la contraseña: hay que invalidar las sesiones desde ese mismo panel.
En ChatGPT y Perplexity, activar MFA por aplicación autenticadora reduce el riesgo de que un infostealer reuse credenciales futuras, aunque no protege contra el robo de cookies ya emitidas.

En los tres casos, el patrón de uso sospechoso se parece: el límite del plan "se rellena y se vacía" sin que el usuario esté trabajando, según el correo que Anthropic envió a los afectados.

Qué significa esto para tu startup

Si tu producto, agencia o flujo de trabajo interno depende de una sola cuenta de IA como infraestructura crítica, este incidente te obliga a revisar tres cosas concretas.

Aísla la dependencia técnica. Ninguna cuenta individual de Claude, ChatGPT o cualquier proveedor de IA debería ser un punto único de fallo para tus clientes. Construye un failover entre cuentas, organiza claves de API por proyecto (no por persona) y ten documentado un proceso de migración a otro proveedor que puedas ejecutar en horas, no en semanas.
Revisa hoy mismo el panel de sesiones activas y la configuración de gasto. En Claude, ve a Settings → Account y revisa los dispositivos conectados: cierra lo que no reconozcas. Si tienes additional usage o auto-recarga habilitados, valora poner un spending limit estricto mientras dure el periodo de riesgo. La investigación de Winbuzzer recuerda que la sesión web tiene una vida útil de 28 días de inactividad con refresco por hora, así que las cookies robadas pueden reusarse semanas después del robo original.
Audita el endpoint, no solo la cuenta. El correo de Anthropic es claro: cerrar la sesión no elimina el malware. Si sospechas, desconecta el equipo de la red, pasa un antivirus actualizado desde un medio externo, cambia credenciales desde un dispositivo limpio, y solo después reactiva métodos de pago. Un gestor de contraseñas separado del navegador reduce la superficie de exposición ante futuros infostealers.

El aprendizaje de fondo, que wwwhatsnew.com señala con acierto, es que el mayor riesgo de seguridad en la adopción empresarial de IA no está en que la IA alucine o dé respuestas malas, sino en que un proveedor externo decida, con razón o sin ella, cerrar tu cuenta de un día para otro — y tu operativa dependa exclusivamente de esa cuenta.

Conclusión

El caso de la cuenta Max 20x de De Swardt es el primero en el que la víctima documentada opera con la suscripción más cara del catálogo de Anthropic, pero no será el último. Los infostealers ya están en tu navegador, la cookie es lo único que te protege y el mercado secundario de cómputo robado crece mientras las plataformas afinan sus respuestas. Para un founder, la conclusión es incómoda pero accionable: deja de tratar tu cuenta de IA como una caja fuerte personal y empieza a tratarla como una pieza crítica de infraestructura con plan B.