Der Fall ist ein weiteres Beispiel dafür, dass Angreifer sich vom klassischen Passwortdiebstahl abwenden und stattdessen Sitzungs-Cookies und Authentifizierungs-Token ins Visier nehmen. Weil viele Organisationen strengere Passwortvorgaben und Mehr-Faktor-Authentifizierung (MFA) durchgesetzt haben, ist der Diebstahl herkömmlicher Zugangsdaten schwieriger geworden — mit gestohlenen Sitzungsartefakten lassen sich bereits authentifizierte Zugänge dagegen direkt übernehmen und die MFA vollständig umgehen.
Fachleute beschreiben diese Verschiebung als Erschwernis für die Vorfallsbearbeitung: Ein bloßer Passwortwechsel schneidet einen Angreifer nicht zwangsläufig ab, wenn dieser bereits über eine gültige Sitzung oder ein Aktualisierungs-Token verfügt. Im Fall von Anthropic griffen die Infostealer die Claude-Sitzungen ab, wahrscheinlich zusammen mit weiteren sensiblen Daten wie Login-Cookies, gespeicherten Passwörtern und Zugangsdaten für andere Anwendungen. Die entwendeten Sitzungen erlaubten den Zugriff auf die zugehörigen Konten, ohne die davorliegenden Authentifizierungsmechanismen überwinden zu müssen.
Ein Nutzer, der die Benachrichtigung von Anthropic auf Reddit veröffentlichte, schilderte das so: „Der Angreifer hat sämtliche meiner Google-Chrome-Zugangsdaten gestohlen, einschließlich Cookies und Sitzungs-IDs, wodurch er alle Sicherheitsmaßnahmen der Zwei-Faktor-Authentifizierung umgehen konnte.“
Durch das Abmelden werden die von den Angreifern genutzten Sitzungen laut Anthropic ungültig; betroffene Nutzer müssen sich auf ihren Geräten neu anmelden, um wieder Zugriff auf Claude zu erhalten. Zusätzlich entfernte das Unternehmen alle bei kompromittierten Konten hinterlegten Zahlungsinformationen, damit die Täter darüber keine weiteren Kosten für Claude-Nutzung verursachen können.
Anthropic weist in der Mail ausdrücklich darauf hin, dass die Zwangsabmeldung lediglich die gestohlenen Sitzungen entwertet. Solange die Schadsoftware auf dem System verbleibt, könne der Angreifer erneut Sitzungsdaten abgreifen und missbrauchen. Erst nach vollständiger Entfernung der Malware sollten Nutzer das für Claude verwendete E-Mail-Konto absichern: „Nachdem die Schadsoftware vollständig entfernt wurde, sichern Sie das für Claude genutzte E-Mail-Konto, indem Sie ein neues Passwort setzen, sich von anderen Geräten abmelden und die Zwei-Faktor-Authentifizierung aktivieren“, heißt es in der Benachrichtigung.
Darüber hinaus empfiehlt das Unternehmen, auch weitere im Browser gespeicherte Passwörter zu erneuern — etwa für berufliche Zugänge, Bankkonten und andere Anwendungen. Ein Zahlungsmittel sollten Nutzer erst dann wieder im Claude-Konto hinterlegen, wenn all diese Schritte abgeschlossen sind.