Hackers roban tokens de Claude a suscriptores mediante malware que secuestra sesiones de inicio de sesión

Un consultor independiente de inteligencia artificial radicado en East Sussex, Reino Unido, detectó a comienzos de agosto un comportamiento anómalo en su cuenta Claude Max 20x: el consumo de tokens seguía subiendo pese a que él no estaba trabajando ese día. Al día siguiente desconectó todas las integraciones y dejó de usar el servicio por completo, pero el consumo volvió a aumentar. Según relató a TechCrunch, en el intervalo de control más claro el uso pasó del 45% al 55% sin que él realizara ninguna acción, con las tareas programadas en pausa o finalizadas, la ejecución en la nube desactivada y ninguna tarea local activa de Claude Code en curso.

Ante la falta de explicación, el afectado pidió a Anthropic un desglose detallado del consumo, algo que la empresa no pudo o no quiso entregar. Aun así, reconoció que algo no encajaba: suspendió la cuenta de pago, invalidó todas las sesiones y los tokens de Claude Code alojados en el servidor, y emitió un reembolso parcial de 44,49 libras sobre el resto del periodo de una suscripción de 200 dólares mensuales. La suspensión golpeó de lleno su actividad profesional, centrada en desplegar agentes de IA para pequeñas y medianas empresas —por ejemplo, para cargar automáticamente datos de órdenes de compra desde el correo electrónico a programas de contabilidad— y que, como autónomo, también depende de estas herramientas para su administración diaria, el diseño web y la programación.

Tras investigar, Anthropic le indicó que había identificado el origen: una clave de sesión de Claude comprometida se utilizó para generar tokens OAuth no autorizados de Claude Code. La empresa señaló que la cuenta "parecía haber sido utilizada por un servicio de terceros de aspecto no autorizado para gestionar actividad de otras personas, pero no pudieron determinar cómo obtuvo acceso". Según le trasladaron, la evidencia era compatible tanto con un robo de credenciales o datos de sesión sin su conocimiento como con una conexión previa de la cuenta a un servicio externo. Es decir, alguien logró hacerse con el acceso a la cuenta y estuvo desviando tokens de forma encubierta. Como el soporte de Anthropic solo registra el uso total y no un desglose por actividad —ni siquiera cuando se solicita expresamente—, este tipo de sustracción podría haber pasado inadvertida durante meses.

El afectado publicó su experiencia en Reddit y, tras acumular unos 80 comentarios, descubrió que no era un caso aislado. Un usuario relató que su cuenta fue "actualizada automáticamente sin mi consentimiento, me cobraron la tarjeta de crédito y el uso pasó del 0% al 100% de forma automática sin que yo la tocara siquiera". Otro vio cómo el consumo saltaba del 0% al 49% en solo 12 minutos, cuando su actividad se había limitado a un par de instrucciones y una búsqueda web. Otro usuario más aseguró que su cuenta agotó el límite máximo de tokens durante tres días consecutivos sin usarla en absoluto, lo que le llevó a abrir un reporte en GitHub; allí, de nuevo, otros usuarios describieron experiencias similares. Dos de ellos llegaron a compartir correos de Anthropic en los que la propia compañía —hay que reconocérselo— había identificado y advertido de que sus tokens estaban siendo robados.

El texto de esos correos, citado por los afectados, decía: "Recientemente hemos tenido conocimiento de un actor malicioso que está usando malware infostealer común para robar sesiones de inicio de sesión de Claude desde los ordenadores de las personas, y luego usando esas sesiones para acceder a las cuentas de Claude y consumir su uso". Los infostealers son un tipo de malware que se instala en el equipo de la víctima y roba contraseñas guardadas, datos de sesión y credenciales de acceso; no tienen relación con el uso de Claude en sí, y pueden contagiarse por múltiples vías habituales, desde software infectado hasta anuncios maliciosos. Cuando Anthropic detecta actividad sospechosa de este tipo, cierra la sesión de los usuarios afectados, invalida las autorizaciones existentes, emite reembolsos en algunos casos y les advierte de que probablemente tengan malware en su equipo.

Sin embargo, al consultor de East Sussex nunca le llegó uno de esos correos de aviso. Él insiste en que no ha encontrado ninguna evidencia de que su ordenador estuviera comprometido y sostiene que sigue sin tener forma de determinar cómo los atacantes obtuvieron acceso a su cuenta. Su cuenta fue finalmente restablecida al cabo de unas dos semanas, pero la lentitud para obtener ayuda y, sobre todo, la imposibilidad de acceder a un desglose de uso, terminaron por decepcionarlo. Canceló su suscripción a Claude y se pasó a Cursor, que le permite alternar entre varios modelos, incluidas opciones de código abierto más económicas; en su experiencia, estas alternativas rinden de forma comparable. "No es que sea muy diferente o mejor", afirmó, y añadió que no se plantea volver "sin que [Anthropic] haya resuelto el problema de alguna manera". A su juicio, la compañía sigue careciendo de herramientas que permitan a los usuarios ver qué está consumiendo realmente sus tokens: "No creo que haya ninguna forma de que estas personas puedan protegerse". Preguntada por TechCrunch sobre cómo pueden los usuarios detectar un uso indebido de sus cuentas, Anthropic declinó hacer comentarios.

El caso ilustra un punto ciego incómodo en la expansión acelerada de los agentes de IA de pago por uso: cuanto más se automatizan las tareas y más se delega en sesiones persistentes y tokens de acceso, mayor es la superficie de ataque para el robo de credenciales, y menor la visibilidad que tiene el usuario final sobre su propio consumo. La falta de un registro itemizado —algo estándar en la facturación de casi cualquier otro servicio digital— deja a los suscriptores sin manera de auditar su propia cuenta, y a las plataformas sin un mecanismo claro para demostrar, ante una disputa, qué actividad fue legítima y cuál no. Mientras los grandes laboratorios de IA compiten por lanzar funciones cada vez más autónomas —ejecución en la nube, tareas programadas, agentes que operan sin supervisión directa—, episodios como este sugieren que las salvaguardas básicas de seguridad de cuentas y transparencia de uso no siempre avanzan al mismo ritmo que las capacidades del producto.