Stjålne loginsessioner tømmer Claude-brugeres forbrugsgrænser

Anthropic har advaret nogle Claude-brugere om, at en angriber bruger stjålne loginsessioner til at få adgang til deres konti og bruge af deres forbrugsgrænser. Det skriver BleepingComputer, som gengiver en e-mail fra Anthropic, der er delt på Reddit.

Anthropic skriver, at hvis ens forbrugsgrænser så ud til at være fyldt op igen og derefter blev tømt, mens man selv ikke brugte Claude, kan det være årsagen.

Malware på brugerens egen computer

Ifølge Anthropic sker det med almindelig infostealer-malware. Det er skadelig software, der stjæler oplysninger, som ligger lokalt på en computer, fx adgangskoder gemt i browseren og login-cookies. Malwaren kommer typisk via downloads eller ondsindede apps. Anthropic mener, at Claude-sessionen sandsynligvis blot var én af mange ting, der blev indsamlet, og at en angriber nu er begyndt at plukke Claude-sessioner ud af det stjålne materiale.

Selskabet har ingen grund til at tro, at malwaren har forbindelse til Claude eller er installeret via Claude. Ingen af kilderne peger på, at Anthropics egne systemer er brudt ind i.

Anthropic har identificeret malwarefamilierne Vidar, LummaC2, StealC, RedLine og Acreed på Windows samt Atomic Stealer (AMOS) på et mindre antal Macs. Brugeren, der delte mailen på Reddit, bekræftede at have downloadet et piratkopieret spil, hvilket kan forklare smitten. Hvordan andre er blevet smittet, fremgår ikke af kilderne.

BleepingComputer bemærker, at en infostealer kan kopiere en browsersession, der allerede er godkendt. Så skal angriberen ikke nødvendigvis igennem et almindeligt login med adgangskode og tofaktorgodkendelse.

Det gør Anthropic - og det bør du gøre

Anthropic logger de berørte brugere ud, fjerner gemte betalingsmetoder og refunderer gebyrer, som selskabet vurderer er uautoriserede. Undersøgelsen pågår stadig.

Udlogning stopper de stjålne sessioner, men fjerner ikke malwaren. Ligger den stadig på computeren, kan næste loginsession blive stjålet på samme måde. Anthropic opfordrer derfor berørte til at skifte loginoplysninger, tilbagekalde andre sessioner og fjerne malwaren.

Brugeres egne eksempler

TechCrunch beskriver den britiske AI-konsulent Grant De Swardt, der den 4. august 2026 så sit forbrug på en Claude Max 20x-konto stige fra 45 til 55 procent natten over uden aktivitet fra hans side. Anthropic bekræftede over for ham, at kontoen havde brugt en kompromitteret sessionsnøgle til at udstede uautoriserede OAuth-tokens, altså adgangsbeviser. Selskabet kunne ikke afgøre, hvordan adgangen var opnået. Han fik en delvis refusion på 44,49 pund på sit abonnement til 200 dollar om måneden, og kontoen blev genetableret efter cirka to uger.

Flere andre har på Reddit og GitHub beskrevet lignende hændelser. En bruger så forbruget gå fra 0 til 49 procent på 12 minutter, og en anden fik sit maksimale forbrug brugt tre dage i træk. Det er brugernes egne beretninger.

Antallet af berørte er ikke oplyst. Ifølge TechCrunch ville Anthropic ikke kommentere, hvordan brugere kan se, om deres konto er misbrugt.