Даже 2FA не спасает: как инфостилеры крадут сессии Claude, обходя безопасность

История всплыла на Reddit. Пользователь опубликовал письмо от Anthropic, в котором компания сообщила: их системы зафиксировали несанкционированный доступ к его аккаунту Claude. Anthropic сама разлогинила скомпрометированные сессии и удалила привязанную карту оплаты, чтобы остановить списания. Источник проблемы оказался не в Claude, а в заражённом компьютере пользователя.

Что такое инфостилер и почему он опаснее вируса-шифровальщика?

Инфостилер (infostealer) работает незаметно. В отличие от шифровальщика, который блокирует файлы и требует выкуп, инфостилер тихо копирует сохранённые пароли, куки браузера, токены сессий и учётные данные приложений, а затем отправляет всё на сервер злоумышленников.

По данным письма Anthropic, в этой кампании были замечены конкретные семейства вредоносного ПО:

• Vidar, Lumma (LummaC2), StealC, RedLine, Acreed на Windows
• Atomic Stealer (AMOS) на небольшом числе Mac-компьютеров

Пользователь Reddit признал: заражение произошло через скачанную пиратскую игру, внутри которой был спрятан инфостилер. Украдены были не только пароли, но и куки Chrome, идентификаторы сессий, то есть всё, что позволяет выдать себя за владельца аккаунта.

Почему двухфакторная аутентификация не помогла?

Это, пожалуй, самая тревожная деталь во всей истории. Пользователь утверждает, что двухфакторная аутентификация (2FA, дополнительная проверка входа через код из приложения или SMS) была включена, но не защитила аккаунт.

Причина проста: злоумышленникам не нужно было вводить пароль и код. Они использовали украденный идентификатор уже активной сессии браузера. Для сервера это выглядело так, будто за компьютером сидит настоящий владелец. Преступники обошли 2FA, потому что вообще не проходили этап входа.

Для тех, кто привык считать двухфакторную аутентификацию надёжной защитой, это серьёзный повод пересмотреть подход к безопасности. Сильный пароль плюс 2FA не спасут, если на компьютере работает инфостилер.

Что понадобится для защиты

• Время: 30 минут на проверку и смену учётных данных
• Доступ: ко всем браузерам, где вы залогинены в Claude и другие сервисы
• Антивирус: свежий, но имейте в виду, встроенный Windows Defender, по словам пострадавшего пользователя, инфостилер не обнаружил
• Менеджер паролей: для генерации новых уникальных паролей

Пошаговая инструкция: как проверить себя и защитить аккаунт

1. Проверьте лимиты использования Claude. Если лимиты сначала восстановились, а потом быстро исчерпались, пока вы не работали, это признак компрометации. Именно этот симптом описала Anthropic в своём письме.

2. Завершите все активные сессии. Зайдите в настройки аккаунта Claude и принудительно разлогиньте все устройства. Даже если Anthropic уже сделала это за вас, повторите вручную.

3. Смените пароль Claude и всех сервисов, куки которых хранились в браузере. Каждый сервис получает новый уникальный пароль.

4. Очистите куки и сохранённые пароли в браузере. В Chrome это делается так:

Настройки → Конфиденциальность и безопасность → Удалить данные браузера → Файлы cookie и данные сайтов + Пароли

1. Проверьте компьютер на инфостилеры. Используйте сторонний антивирус помимо Windows Defender. Пострадавший пользователь прямо написал: «Windows Defender was clueless» (встроенный антивирус ничего не нашёл).

2. Удалите подозрительное ПО. Любые программы, скачанные из неофициальных источников, пиратские игры, «кряки», неизвестные утилиты.

3. Если есть подозрение на глубокое заражение, переустановите систему. Эксперт по безопасности с двадцатилетним стажем, ответивший в том же обсуждении на Reddit, рекомендовал полную переустановку: по его опыту, подобные вредоносные программы часто внедряются так глубоко, что точечное удаление не гарантирует очистки.

Что делать прямо сейчас, по ролям

Автору Дзена и копирайтеру: если вы работаете с Claude через браузер, проверьте лимиты. Необъяснимые скачки использования, сигнал. Смените пароль и завершите все сессии. Не скачивайте «бесплатные» утилиты для обхода ограничений Claude из непроверенных источников.

Маркетологу и предпринимателю: если ваша команда использует Claude через API (программный интерфейс для подключения к модели), проверьте логи обращений. Несанкционированное использование API означает прямые финансовые потери: злоумышленники расходуют ваш оплаченный лимит.

Пользователям в РФ и СНГ: история касается любого, кто работает с Claude через браузер или API, независимо от страны. Из доступных в России нейросетей, YandexGPT и GigaChat, риск инфостилеров точно такой же: вредонос крадёт куки всех сервисов разом, не только Claude.

Случай одного пользователя Reddit показал уязвимость, о которой мало кто думает: не взлом пароля, не утечка базы данных, а тихое копирование браузерной сессии, после которого злоумышленник просто «становится вами» для любого сервиса. Проверьте свои сессии Claude сегодня, а пиратский софт удалите вчера.