Anthropic предупредила о краже сессионных cookie для обхода двухфакторной защиты Claude
Компания Anthropic разослала уведомления пользователям Claude, чьи аккаунты были скомпрометированы через кражу сессионных cookie-файлов — злоумышленники получили доступ к платным self-serve аккаунтам, минуя страницу входа и двухфакторную аутентификацию (2FA) целиком.
Атака была реализована через шесть семейств инфостилеров: Vidar, LummaC2, StealC, RedLine и Acreed на Windows, а также Atomic Stealer на macOS.
Пострадали именно аккаунты, оплаченные банковской картой напрямую — та категория пользователей, что не защищена корпоративным провайдером идентификации (SSO) и не видна ИТ-администратору.
Это принципиально важно: единая система входа (SSO) в данном случае не предотвращает атаку, а лишь даёт компании возможность отозвать доступ и увидеть инцидент постфактум — сам механизм замены сессии обходит и SSO, и 2FA одинаково эффективно.
Anthropic принудительно вышла из скомпрометированных сессий, удалила сохранённые платёжные данные и вернула деньги за обнаруженные несанкционированные списания.
Прямой финансовый ущерб от исчерпанных лимитов использования назван компанией незначительным по сравнению с потенциальным риском утечки данных через доступ к истории переписки и рабочим материалам.
Для семейных офисов и управляющих капиталом в Дубае это сигнал: сотрудники, использующие ИИ-инструменты через личные аккаунты с оплатой картой в обход корпоративной инфраструктуры, создают слепую зону безопасности, недоступную ИТ-службе.
На фоне бурного роста pre-IPO оценки Anthropic (последний раунд оценивал компанию в диапазоне $170-183 млрд) подобные инциденты подчёркивают операционные риски ИИ-инфраструктуры, которые инвесторы закладывают в премию за неопределённость перед возможным IPO.
Институциональным клиентам стоит требовать от портфельных ИИ-компаний обязательного корпоративного SSO для всех сотрудников и запрета self-serve оплаты картой из личных средств.
В ближайшие месяцы ожидаем ужесточения политик безопасности у OpenAI, Google и Anthropic — это станет стандартной практикой due diligence при оценке ИИ-стартапов перед раундами и листингом.
