« Merci Anthropic (vraiment). » C’est par ces mots que WorriedAssociate7029 débute son témoignage publié fin août sur Reddit, accompagné de la capture d’écran d’un mail alarmant envoyé par Anthropic.

Tout commence quelques jours plus tôt. Après avoir constaté le piratage de ses comptes sur les réseaux sociaux, il finit par identifier l’origine du problème et nettoyer son système. En cause, reconnaît-il lui-même : un jeu vidéo piraté, téléchargé sans se méfier. « Je me suis fait avoir comme un débutant », admet-il dans un commentaire sous sa propre publication.

Pensant l’incident derrière lui, il reçoit pourtant, la nuit suivante, un message d’Anthropic signalant que son compte Claude a été déconnecté et le moyen de paiement associé supprimé. Le motif invoqué ? Une activité suspecte détectée sur sa session, qui faisait partie d’un lot d’identifiants compromis.

Le mail indique : « Si votre quota d’utilisation semblait se recharger, puis s’épuiser sans que vous utilisiez Claude, c’est probablement parce que votre session était exploitée par un tiers. » // Source : Reddit

Comment Anthropic a remonté la piste

C’est grâce à ses identifiants Google, à ses cookies et à ses jetons de session, tous aspirés lors du piratage, que des tiers pouvaient se connecter à Claude à sa place.

Dans son message, Anthropic prend d’ailleurs soin de dissocier cet incident de ses propres produits. Rien ne permet d’établir que le malware soit lié à Claude, qu’il ait été installé via le service ou qu’il résulte d’une action effectuée par l’utilisateur sur la plateforme.

La session Claude ne constituait, en réalité, qu’un élément parmi d’autres récupérés par un infostealer classique. Anthropic cite plusieurs familles de malwares susceptibles d’être impliquées : Vidar, LummaC2, StealC, RedLine, Acreed et Atomic Stealer.

Ce n’est que dans un second temps que des acteurs malveillants ont commencé à trier ces butins de données volées afin d’identifier les sessions donnant spécifiquement accès à Claude, puis de les exploiter directement ou de les revendre.

Des comptes de valeur

Difficile de savoir si les tokens de la victime ont été directement siphonnés par le hacker, revendus à un tiers, ou utilisés pour d’autres besoins, le mail d’Anthropic ne le précise pas. Une chose est sûre en revanche, l’activité a été détectée comme suspecte par les systèmes internes de l’entreprise.

Interrogé par le média britannique The Register, WorriedAssociate7029 a salué la réactivité d’Anthropic, estimant que l’entreprise l’avait alerté sur une faille de sécurité qu’il n’avait pas encore entièrement colmatée. Il tempère néanmoins cet éloge : selon lui, le service client du groupe s’est montré par le passé peu réactif, notamment face aux demandes de remboursement ou de récupération de comptes compromis. Ce mail pourrait ainsi marquer une évolution bienvenue dans la politique de protection des utilisateurs de l’entreprise.

« Les jetons ont de la valeur et peuvent être revendus », insiste-t-il. L’occasion de rappeler que, au même titre que les comptes de réseaux sociaux, les messageries ou les services bancaires en ligne, les comptes liés aux outils d’IA peuvent eux aussi représenter une cible lucrative pour les cybercriminels.