Infostealer Bajak Sesi Login Claude, Anthropic Paksa Logout Massal dan Ganti Rugi Pengguna

Anthropic mulai menghubungi satu per satu pengguna Claude yang terdampak pada 30 Agustus lalu, setelah mendeteksi pola aneh: kuota pemakaian yang terisi ulang lalu terkuras habis padahal pemilik akunnya sedang tidak memakai Claude sama sekali. Penyebabnya bukan celah di sistem Claude, melainkan malware infostealer generik yang lebih dulu bersarang di komputer pengguna, mencuri cookie sesi login yang sudah terautentikasi, lalu memutarnya kembali untuk membajak akun tanpa perlu kata sandi maupun kode dua faktor sama sekali (BleepingComputer).

Bukan Curi Password, Tapi Curi Sesi yang Sudah Login

Yang membuat serangan ini sulit dicegah dengan cara-cara keamanan biasa adalah target curiannya: bukan kata sandi, melainkan cookie sesi yang sudah lolos autentikasi. Keluarga malware yang teridentifikasi — Vidar, Lumma (LummaC2), StealC, RedLine, dan Acreed di Windows, plus Atomic Stealer (AMOS) pada sejumlah kecil perangkat macOS — diam-diam menyalin kata sandi tersimpan, cookie browser, dan kredensial lokal dari mesin yang terinfeksi (SecurityWeek).

Karena yang dicuri adalah sesi yang sudah login, bukan kredensial mentah, penyerang otomatis melompati proteksi autentikasi dua faktor maupun single sign-on — keduanya cuma berguna saat seseorang mencoba login baru, bukan saat sesi lama diputar ulang begitu saja. Akibatnya, pelaku bisa "menempati" akun Claude korban dan memakai kuota berbayarnya sampai habis, tanpa jejak login mencurigakan yang biasanya memicu alarm keamanan konvensional (Help Net Security).

Respons Anthropic: Logout Paksa, Hapus Kartu, Ganti Rugi

Setelah pola pengurasan kuota di luar jam pakai wajar itu terdeteksi, Anthropic mengambil tiga langkah sekaligus terhadap akun-akun yang teridentifikasi terdampak: memaksa logout dari semua sesi aktif, menghapus metode pembayaran tersimpan supaya tidak ada tagihan susulan tanpa izin, dan mengembalikan dana atas transaksi yang dikonfirmasi tidak sah (The Register).

Beberapa outlet lain yang turut mengonfirmasi rincian yang sama — mulai dari lima keluarga malware yang disebutkan sampai tiga langkah respons Anthropic — termasuk Security Affairs, Cybersecurity News, GBHackers, dan The Cyber Express, yang masing-masing menelusuri laporan asli Anthropic secara independen (Security Affairs) (Cybersecurity News).

Anthropic Tegaskan: Ini Bukan Salah Claude

Poin yang berulang kali ditekankan Anthropic dalam pemberitahuannya adalah bahwa infeksi ini sama sekali tidak berasal dari Claude. "We have no reason to believe that this malware is related to Claude, installed through Claude, or related to anything you did with Claude," tulis Anthropic, menegaskan bahwa malware-nya bersifat umum dan biasanya masuk lewat unduhan tidak resmi atau aplikasi berbahaya yang sama sekali tidak berhubungan dengan produk Anthropic (SearchEngineJournal).

Ini bagian penting dari cerita: Vidar, Lumma, StealC, RedLine, dan Acreed bukan malware baru yang dirancang khusus menyasar Claude — mereka infostealer serbaguna yang sudah lama beredar dan biasa dipakai mencuri kredensial dari layanan apa pun yang tersimpan di browser korban, mulai dari email, media sosial, sampai dompet kripto. Claude kebetulan jadi salah satu target karena sesi berbayarnya bernilai — bisa dipakai memburu kuota model mahal — bukan karena ada pintu masuk khusus di sisi Anthropic (TheCyberExpress).

Karena rutenya lewat unduhan tidak resmi dan aplikasi berbahaya di komputer pengguna sendiri, bukan lewat celah di server Anthropic, tanggung jawab mencegah infeksi awal ini pada akhirnya kembali ke kebiasaan digital masing-masing pengguna — bukan sesuatu yang bisa ditambal Anthropic dari sisi mereka semata.

Langkah yang Disarankan Anthropic ke Korban

Bagi pengguna yang dihubungi langsung karena akunnya teridentifikasi terdampak, Anthropic memberi urutan langkah yang lebih jauh dari sekadar logout paksa. Prioritas pertama adalah memindai dan membersihkan malware dari komputer sebelum memakainya lagi untuk apa pun — percuma mengganti kata sandi kalau mesinnya sendiri masih terinfeksi infostealer yang sama. Setelah itu, Anthropic menyarankan mengamankan akun email yang terhubung ke Claude dengan kata sandi baru, melakukan logout dari semua perangkat lain, dan mengaktifkan autentikasi dua faktor pada email tersebut (SecurityWeek).

Anthropic juga menganjurkan pengguna memperbarui kata sandi layanan lain yang mungkin ikut tersimpan di browser yang sama — perbankan, akun kerja, layanan cloud — dan memeriksa ulang mutasi kartu jika data pembayaran sempat tersimpan di browser tersebut. Rangkaian saran ini konsisten dilaporkan di banyak outlet independen, termasuk Windows Report dan Security Affairs, yang sama-sama mengutip advisori asli Anthropic (Windows Report).

Takeaway

Kasus ini adalah pengingat bahwa lini pertahanan terlemah pada layanan AI berbayar sering kali bukan di server penyedia, melainkan di laptop pengguna sendiri. Begitu infostealer generik berhasil bersarang di sebuah mesin, semua sesi yang sedang login di browser mesin itu — Claude atau layanan berbayar lain apa pun — otomatis ikut terekspos, sepenuhnya melompati proteksi 2FA yang selama ini dianggap cukup. Langkah Anthropic (logout paksa, hapus kartu tersimpan, ganti rugi) menangani gejalanya dengan cepat, tapi akar masalahnya tetap ada di sisi pengguna: kebiasaan mengunduh software dari sumber tidak resmi. Tanda paling praktis untuk diwaspadai — persis seperti yang memicu deteksi Anthropic sendiri — adalah kuota pemakaian yang terisi ulang lalu terkuras habis padahal Anda sedang tidak memakainya sama sekali.

Sumber gambar: Markus Spiske di Unsplash (cover) Sumber gambar: Philipp Katzenberger di Unsplash Sumber gambar: Florian Olivo di Unsplash Sumber gambar: Glenn Carstens-Peters di Unsplash