Infostealers roubam sessões do Claude e mostram por que MFA sozinho não impede o sequestro de contas
A Anthropic começou a alertar usuários do Claude após identificar uma campanha na qual criminosos utilizaram malware do tipo infostealer para roubar sessões de autenticação armazenadas nos computadores das vítimas. Com essas informações em mãos, os atacantes conseguiram acessar contas já autenticadas e consumir recursos pagos da plataforma sem precisar necessariamente descobrir a senha ou vencer novamente o processo de autenticação multifator.
O episódio chama atenção não por uma vulnerabilidade específica do Claude, mas por algo potencialmente mais abrangente: credenciais de sessão armazenadas em endpoints comprometidos estão se tornando ativos valiosos para criminosos interessados em serviços de inteligência artificial, aplicações SaaS, ambientes corporativos e outros recursos protegidos por autenticação.
Segundo a SecurityWeek, a Anthropic identificou computadores infectados por famílias conhecidas de infostealers, incluindo Vidar, Lumma, StealC, RedLine e Acreed em Windows, além do Atomic Stealer (AMOS) em um número menor de dispositivos macOS.
A empresa reagiu encerrando sessões comprometidas, removendo métodos de pagamento armazenados e reembolsando cobranças identificadas como não autorizadas.
O caso deixa uma mensagem especialmente relevante para organizações que utilizam IA generativa: proteger apenas a senha de uma conta não é suficiente quando o dispositivo no qual essa conta está autenticada já está comprometido.
O Claude não foi infectado nem distribuía o malware
Essa distinção é essencial.
De acordo com as informações divulgadas, não há evidência de que os infostealers tenham sido distribuídos pelo Claude, instalados pela plataforma ou decorram de uma vulnerabilidade da Anthropic.
O comprometimento acontece no endpoint do usuário.
Infostealers são malwares especializados na coleta silenciosa de informações armazenadas em computadores e navegadores. Dependendo da família e da configuração, podem capturar senhas, cookies, tokens, informações de preenchimento automático, dados de aplicações locais, carteiras de criptomoedas e outros artefatos.
Depois dessa coleta, as informações podem ser enviadas para infraestrutura controlada pelo criminoso e utilizadas diretamente ou comercializadas em mercados clandestinos.
Nesse caso, os atacantes passaram a selecionar, dentro do material roubado, sessões relacionadas ao Claude.
Essa mudança é significativa porque mostra que contas de IA passaram a ter valor próprio dentro da economia do cibercrime.
O verdadeiro alvo pode ser o cookie de sessão
Quando alguém autentica em um serviço web, o sistema normalmente cria uma sessão que permite ao navegador continuar reconhecendo aquele usuário sem solicitar senha e MFA a cada nova página.
Esse mecanismo é necessário para tornar aplicações modernas utilizáveis.
O problema surge quando um malware executado no endpoint consegue roubar os artefatos associados a essa sessão.
Em determinadas circunstâncias, um atacante que obtém um cookie ou token de sessão válido pode reutilizá-lo para se apresentar ao serviço como uma sessão previamente autenticada.
Isso muda completamente a lógica do ataque.
O criminoso não precisa necessariamente descobrir a senha, realizar brute force ou convencer a vítima a entregar um código de MFA. Ele tenta sequestrar uma autenticação que já aconteceu.
É uma diferença semelhante a tentar falsificar a chave de entrada de um prédio ou simplesmente roubar um crachá que já foi validado pelo sistema.
Por que MFA pode não impedir esse tipo de ataque
A autenticação multifator continua sendo um dos controles mais importantes contra comprometimento de contas e deve permanecer habilitada.
Mas o incidente demonstra uma limitação que precisa ser compreendida corretamente.
MFA protege principalmente o processo de autenticação. Se o atacante consegue roubar uma sessão válida depois que o usuário já realizou a autenticação, determinadas implementações podem permitir que essa sessão seja reutilizada sem solicitar imediatamente um novo fator.
Isso não significa que MFA seja inútil.
Significa que MFA não substitui segurança de endpoint, gerenciamento de sessões, detecção de comportamento anômalo e mecanismos de autenticação resistentes a phishing.
A arquitetura precisa considerar a possibilidade de o dispositivo autenticado também ser comprometido.
Como a Anthropic percebeu o problema
Um dos sintomas relatados aos usuários afetados foi particularmente interessante.
Pessoas observaram seus limites de utilização do Claude aparentemente serem restaurados e depois consumidos novamente, mesmo quando não estavam utilizando a plataforma.
A Anthropic relacionou esse comportamento ao uso das sessões roubadas.
Em resposta, a empresa encerrou sessões envolvidas no abuso e informou que poderá desconectar novamente usuários caso novos sinais de comprometimento sejam detectados.
Métodos de pagamento armazenados também foram removidos preventivamente.
A medida busca impedir que um atacante continue consumindo recursos cobrados da vítima, especialmente em configurações que permitem aquisição ou recarga de créditos adicionais.
A Anthropic também informou que cobranças identificadas como não autorizadas foram reembolsadas.
Infostealers transformaram navegadores em cofres digitais
O incidente envolvendo Claude é apenas uma manifestação de um problema muito maior.
Navegadores modernos concentram uma quantidade extraordinária de informações.
Uma única estação de trabalho pode manter sessões autenticadas de e-mail corporativo, Microsoft 365, Google Workspace, sistemas financeiros, CRM, GitHub, plataformas cloud, ferramentas administrativas e aplicações de inteligência artificial.
Para um infostealer, comprometer esse endpoint pode significar obter acesso potencial a diversos ambientes simultaneamente.
É por isso que o roubo de cookies e tokens de sessão merece atenção equivalente ao roubo tradicional de credenciais.
O impacto também pode ultrapassar a conta inicialmente utilizada pelo criminoso.
Se a mesma máquina possuir sessões corporativas autenticadas, senhas armazenadas ou tokens de aplicações, um incidente aparentemente relacionado ao consumo indevido de uma plataforma de IA pode ser apenas um indicador visível de um comprometimento muito mais amplo.
Claude e outras plataformas de IA estão se tornando ativos economicamente interessantes
Existe ainda outra dimensão no incidente.
Contas premium de inteligência artificial possuem capacidade computacional que custa dinheiro.
Um criminoso que sequestra uma conta pode utilizar recursos pagos sem assumir diretamente o custo dessa infraestrutura.
A Malwarebytes observa que contas comprometidas podem permitir o consumo da franquia contratada e, dependendo da configuração da conta, créditos adicionais associados ao serviço.
Mas o risco não termina na cobrança.
Contas de IA podem armazenar histórico de conversações contendo código-fonte, documentos, análises, estratégias, informações de clientes, configurações técnicas e outros dados utilizados durante atividades profissionais.
Por isso, uma conta corporativa de IA generativa deve ser tratada como qualquer outra aplicação SaaS que processe informações organizacionais.
O incidente também interessa a CISOs e gestores de identidade
Para empresas, o alerta não deveria ser interpretado apenas como “proteja sua conta Claude”.
A conclusão mais importante é que sessões autenticadas precisam fazer parte do modelo de ameaça da organização.
Uma empresa pode possuir senha forte e MFA habilitado e ainda assim sofrer comprometimento quando um endpoint infectado entrega ao adversário os artefatos necessários para reutilizar uma sessão legítima.
Nesse cenário, controles de Endpoint Detection and Response (EDR), Extended Detection and Response (XDR), Identity Threat Detection and Response (ITDR) e SIEM tornam-se complementares.
Eventos como autenticação proveniente de localização inesperada, mudança repentina de dispositivo, comportamento incompatível com o perfil do usuário, consumo incomum de recursos ou sessões simultâneas podem fornecer sinais importantes para investigação.
Trocar a senha antes de remover o malware pode não resolver
Esse é um dos aspectos operacionais mais importantes para usuários potencialmente afetados.
Se existe suspeita de infostealer no computador, simplesmente trocar senhas utilizando a mesma máquina ainda comprometida pode permitir que o malware capture novamente informações relevantes.
A prioridade deve ser identificar e remover o comprometimento.
Somente depois da limpeza do endpoint deve-se iniciar a recuperação das identidades utilizadas naquele dispositivo.
Isso pode envolver encerramento de sessões existentes, troca de senhas, revisão dos dispositivos conectados, habilitação ou reconfiguração de MFA e verificação das contas mais sensíveis utilizadas naquele navegador ou computador.
A análise não deveria se limitar ao Claude.
E-mail, serviços financeiros, ambientes corporativos, redes sociais, cloud, GitHub e outras contas acessadas pelo equipamento comprometido também precisam ser consideradas na avaliação de impacto.
Ambientes corporativos precisam tratar infostealers como incidente de identidade
Em organizações, uma infecção desse tipo não deveria ser tratada apenas como “malware removido pelo antivírus”.
O endpoint é somente uma parte do incidente.
Se houve execução de um infostealer, deve-se assumir inicialmente a possibilidade de exposição das credenciais e sessões acessíveis naquele dispositivo até que a investigação determine o contrário.
Isso muda o escopo da resposta.
Além da análise e contenção do endpoint, a equipe de segurança precisa avaliar identidades utilizadas na máquina, sessões SaaS, tokens, credenciais administrativas, acesso a ambientes cloud e outras informações potencialmente disponíveis ao malware.
Essa abordagem conecta endpoint security, identity security e incident response.
Empresas também precisam criar governança para IA generativa
O crescimento da utilização de ferramentas como Claude, ChatGPT, Gemini, Copilot e outras plataformas significa que contas de IA estão gradualmente entrando no inventário de ativos relevantes das organizações.
Governança de IA, portanto, não pode tratar somente de quais informações funcionários podem enviar aos modelos.
Também precisa responder perguntas operacionais.
Quem pode utilizar serviços externos de IA? Quais planos são corporativamente autorizados? Como as identidades são gerenciadas? Quais informações podem ser processadas? Como uma conta comprometida deve ser revogada? Como logs e atividades suspeitas são monitorados? O que acontece quando um funcionário deixa a organização?
Essas questões aproximam a governança de IA dos mesmos princípios já aplicados ao gerenciamento de aplicações SaaS.
Proteção exige controles em camadas
Para usuários individuais, a principal recomendação é evitar software obtido de fontes desconhecidas, downloads não oficiais, cracks, instaladores suspeitos e aplicações distribuídas por canais não confiáveis — vetores frequentemente associados à disseminação de infostealers.
Sistemas operacionais, navegadores e aplicações devem permanecer atualizados, e soluções de proteção de endpoint devem ser mantidas ativas.
MFA deve continuar habilitado sempre que disponível, preferencialmente utilizando métodos resistentes a phishing quando suportados.
Em ambientes empresariais, o controle precisa ser mais amplo.
EDR/XDR, políticas de aplicação, privilégio mínimo, gerenciamento de identidade, proteção do navegador, monitoramento de sessões, gestão de dispositivos e capacidade de revogação rápida de acessos precisam trabalhar em conjunto.
Nenhum desses mecanismos isoladamente elimina o risco.
A defesa depende justamente da sobreposição das camadas.
O alerta sobre Claude é, na realidade, um alerta sobre identidade
O aspecto mais importante dessa campanha talvez seja justamente aquilo que ela não representa.
Não se trata, pelas informações atualmente disponíveis, de uma falha de segurança no Claude.
Trata-se de criminosos aproveitando computadores previamente infectados para transformar sessões legítimas em mecanismos de acesso não autorizado.
O Claude apareceu como alvo porque suas contas passaram a possuir valor.
Amanhã, o mesmo modelo de ataque pode priorizar qualquer outro serviço capaz de oferecer informação, capacidade computacional ou acesso corporativo.
Para organizações que aceleram a adoção de inteligência artificial, a conclusão é clara: proteger IA também significa proteger os endpoints, navegadores, identidades e sessões que dão acesso a ela.
A segurança da inteligência artificial não começa apenas no modelo.
Ela começa no dispositivo do usuário.
Referências
SecurityWeek — Anthropic Warns Claude Users of Infostealer Malware Infections
BleepingComputer — Anthropic warns infostealer malware is hijacking Claude sessions to drain usage
Malwarebytes — Infostealers are hijacking Claude accounts at users’ expense
Anthropic — Transparency Hub
Anthropic — What we learned mapping a year’s worth of AI-enabled cyber threats
Clique e fale com representante oficial Sophos
Veja também:
- Principais ataques cibernéticos no Brasil em agosto de 2026: ransomware, invasões e vazamentos
- Orçamento de Cibersegurança no Brasil: como a IA está mudando os investimentos
- Privacidade deixou de ser apenas uma obrigação legal
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Aumento do “Shadow AI” no Brasil
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Além do isolamento da chave privada
- Cibersegurança: de despesa a estratégia de crescimento
- IA a serviço do crime?
- Shadow AI: 3 medidas para reduzir o risco de cibersegurança
- O maior risco para os sistemas industriais não é a computação quântica, e sim esperar por ela
- Milhares de credenciais AWS vazadas continuam ativas
1 Trackback / Pingback