Infostealer sind für dieses Angriffsmuster besonders geeignet, weil sie eine bereits authentifizierte Browsersitzung kopieren können. Der Angreifer muss den regulären Anmeldeweg mit Passwort und Zwei-Faktor-Authentifizierung damit gar nicht mehr durchlaufen — die gestohlene Sitzung genügt für den Kontozugriff.
Nach Darstellung von Anthropic waren die betroffenen Computer bereits zuvor mit universeller Infostealer-Schadsoftware infiziert. Diese gelangt typischerweise über Downloads oder bösartige Apps auf das System und greift lokal gespeicherte Informationen ab: im Browser hinterlegte Passwörter, Login-Cookies sowie Zugangsdaten anderer Anwendungen. Die Claude-Sitzung sei dabei nur eines von vielen eingesammelten Datenobjekten gewesen. Neu ist laut Anthropic, dass ein Akteur nun offenbar gezielt die Claude-Sitzungen aus diesem Datenbestand heraussucht und verwendet.
Der Reddit-Nutzer, der die E-Mail öffentlich machte, bestätigte, ein raubkopiertes Spiel heruntergeladen zu haben — was die Kompromittierung seines Systems erklärt.
Anthropic hat nach eigenen Angaben mehrere Schadprogramme identifiziert, die in diesem Zusammenhang eine Rolle spielen: unter Windows Vidar, LummaC2, StealC, RedLine und Acreed, dazu Atomic Stealer (AMOS) auf einer kleinen Zahl von Macs.
Bei betroffenen Konten widerruft Claude die kompromittierten Sitzungen und entfernt gespeicherte Zahlungsmethoden, um unbefugte Käufe zu verhindern. Das Unternehmen weist allerdings ausdrücklich auf die Grenze dieser Maßnahme hin: Die Abmeldung stoppe zwar die gestohlenen Sitzungen, entferne aber nicht die Schadsoftware. Befinde sie sich weiterhin auf dem Rechner, könne die nächste Anmeldesitzung auf dieselbe Weise entwendet werden.
Anthropic fordert die betroffenen Nutzer daher zu grundlegenden Schritten auf: Zugangsdaten ändern, weitere aktive Sitzungen widerrufen und die Schadsoftware vom PC entfernen. Erstattet werden nach Angaben des Unternehmens jene Beträge, die als nicht autorisiert erkannt werden.