Hackers vacían cuentas de Claude con sesiones robadas y Anthropic no cuenta a los usuarios en qué se gastan sus tokens

Por Zendoric · 9 de septiembre de 2026.

El 4 de agosto, Grant de Swardt, consultor independiente de IA en East Sussex (Reino Unido), notó que su cuenta de Claude Max 20x —el plan de 200 dólares al mes con el mayor límite de uso de Anthropic— seguía consumiendo tokens sin que él estuviera trabajando. Al día siguiente desconectó todas sus integraciones y dejó de usar la herramienta; el consumo, según contó a TechCrunch, subió igualmente "del 45% al 55%" con las tareas programadas en pausa, la ejecución en la nube desactivada y ningún proceso local de Claude Code en marcha.

Anthropic confirmó que algo iba mal: suspendió la cuenta, invalidó todas las sesiones y los tokens de Claude Code generados en el servidor (el mecanismo que permite a una aplicación seguir autenticada sin pedir la contraseña cada vez) y devolvió 44,49 libras de la mensualidad no disfrutada. Según explicó la propia compañía a de Swardt, una clave de sesión comprometida se usó para generar tokens OAuth de Claude Code no autorizados, y la cuenta "parecía haber sido usada por un servicio de terceros de aspecto no autorizado para gestionar actividad de otras personas", aunque Anthropic dijo no poder determinar cómo se obtuvo el acceso. Ni la compañía ni de Swardt —que asegura no haber hallado malware en su equipo— han podido explicar el origen del robo.

No es un caso aislado. De Swardt lo contó en Reddit y, entre cerca de 80 comentarios, aparecieron relatos parecidos: una cuenta que se "autoactualizó" de plan sin consentimiento y cargó la tarjeta del usuario, con el consumo saltando del 0% al 100% sin que nadie tocara nada; otra que pasó del 0% al 49% en 12 minutos tras un par de prompts; otra que agotó el límite máximo tres días seguidos, lo que llevó a su dueño a abrir un reporte en GitHub. Dos usuarios más compartieron un correo de Anthropic que sí les avisaba explícitamente: "hemos detectado a un actor malicioso que usa malware infostealer habitual para robar sesiones de inicio de Claude desde los ordenadores de la gente, y luego usa esas sesiones para acceder a las cuentas y consumir su uso".

Un infostealer es un tipo de malware que se instala en el ordenador de la víctima —según la fuente, se puede coger de muchas maneras, desde descargar software infectado hasta hacer clic en anuncios infectados, no por usar Claude— y roba contraseñas guardadas, datos de sesión y credenciales de acceso. Con una sesión robada, el atacante no necesita la contraseña: se hace pasar por el usuario legítimo y consume su cupo de tokens como si fuera trabajo propio. A favor de Anthropic, la compañía sí detectó la actividad sospechosa en varios de estos casos, cerró sesión a los afectados, invalidó las autorizaciones y ofreció reembolsos parciales.

Pero cuando TechCrunch le pidió explicar cómo pueden los usuarios identificar el abuso por su cuenta, Anthropic declinó hacer comentarios. Ahí está el problema de fondo: el soporte de Claude registra el consumo total, pero no lo desglosa por tarea ni por sesión, así que un robo de este tipo puede pasar inadvertido durante semanas o meses antes de que salte una alarma —si es que salta—. De Swardt, que usa agentes de Claude para gestionar buena parte de su negocio (desde cargar pedidos de compra hasta programar su web), acabó cancelando la suscripción tras casi dos semanas de cuenta suspendida y migró a Cursor, que le permite alternar entre varios modelos, incluidos algunos de código abierto más baratos; en su experiencia, rinden igual de bien.

Conviene separar dos cosas. Anthropic no fabricó el infostealer ni instaló el malware: la responsabilidad primera recae en quien distribuye ese software y en la higiene de seguridad de cada usuario. Pero el diseño del producto sí es responsabilidad suya, y falla en lo más básico de cualquier sistema que factura por consumo: no hay forma de auditar en tiempo real qué agente, qué tarea o qué sesión se está comiendo el cupo. Es la misma asimetría que ya vemos en la capa de gobierno de agentes que está apareciendo en toda la industria: a medida que la IA deja de ser un chat y pasa a ejecutar tareas de forma autónoma y continuada —Cowork, Dispatch, ejecución en la nube—, las credenciales de esas cuentas se convierten en un activo tan valioso como una contraseña bancaria, y el sector de la ciberseguridad ya las trata así. Anthropic va un paso por detrás de sus propios usuarios.

A corto plazo, este tipo de fricción es el peaje de una adopción que va más rápido que la infraestructura de confianza que la sostiene: cuentas que gestionan negocios enteros, sin observabilidad ni trazabilidad, son un blanco perfecto y un motivo legítimo de desconfianza —de Swardt no es un usuario ocasional, vive de estas herramientas y aun así se sintió indefenso—. Pero la respuesta no es frenar la adopción de agentes, sino madurar en paralelo la capa de identidad, auditoría y control de gasto que los sostiene, igual que la banca online tardó años en construir sus propias alertas de fraude. Si la IA va a gestionar de verdad la administración, las compras o la contabilidad de millones de pequeños negocios —el tipo de trabajo repetitivo que, bien resuelto, libera tiempo para lo que de verdad importa—, tendrá que ganarse el mismo nivel de confianza que hoy exigimos a un banco. Ese trabajo, todavía, no está hecho.