Hackers estão roubando tokens do Claude via sessões comprometidas

Um consultor de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → no Reino Unido percebeu, em 4 de agosto de 2026, que o consumo de tokens da sua conta Claude Max 20x subia sozinho, mesmo sem ele trabalhar. No intervalo mais controlado que conseguiu isolar, o uso pulou de 45% para 55% enquanto ele não executava nenhuma tarefa: tarefas do Cowork pausadas ou concluídas, execução em nuvem (Dispatch) desabilitada e nenhuma sessão local do Claude Code ativa. A reportagem da TechCrunch mostra que ele não estava sozinho, e o problema tem uma causa concreta que interessa a quem constrói software com o Claude.

O que aconteceu, segundo a Anthropic

Grant De Swardt, consultor independente de IA em East Sussex, contatou a Anthropic e pediu um detalhamento item a item do consumo. A empresa não forneceu essa lista, mas concordou que algo estava errado: suspendeu a conta paga, invalidou todas as sessões e os tokens do Claude Code no lado do servidor e devolveu £44,49 proporcionais aos dias restantes da assinatura de US$ 200/mês.

Após investigar, a Anthropic disse ter encontrado o culpado no caso dele: uma chave de sessão do Claude comprometida foi usada para gerar tokens OAuth não autorizados do Claude Code. Segundo o relato passado ao consultor, a conta "parecia ter sido usada por um serviço de terceiros suspeito para lidar com atividade de outras pessoas", sem que a empresa conseguisse determinar como o acesso foi obtido. A evidência, disseram, era compatível tanto com credenciais/dados de sessão levados sem o conhecimento dele quanto com a conta conectada a um serviço externo.

Na prática: um invasor obteve acesso à conta e drenava tokens de forma silenciosa. E como o suporte rastreia o uso total, mas não o uso detalhado por origem, mesmo sob pedido, esse tipo de roubo poderia rodar por meses sem ser notado.

Não é caso isolado: o vetor é infostealer

De Swardt postou a experiência no Reddit e, depois de 80 comentários, descobriu outros na mesma situação. Um usuário afirmou ter a conta "atualizada automaticamente sem consentimento, com cobrança no cartão e uso disparando de 0% a 100%" sem tocar em nada. Outro viu o consumo ir de 0 a 49% em 12 minutos, tendo feito apenas alguns prompts e uma busca na web. Um terceiro relatou que a conta queimava o limite máximo de tokens todos os dias por três dias seguidos sem uso próprio, e abriu um report no GitHub, onde mais gente confirmou o padrão.

Dois desses usuários publicaram e-mails da Anthropic que identificaram e alertaram sobre o roubo. O texto da empresa é direto sobre o vetor de ataque:

Recentemente ficamos cientes de um agente malicioso que usa malware comum de infostealer para roubar sessões de login do Claude dos computadores das pessoas e então usa essas sessões para acessar as contas e consumir o uso delas.

E-mail da Anthropic a usuários afetados, via TechCrunch

Infostealer é a categoria de malware que se instala na máquina e rouba senhas salvas, dados de sessão e credenciais de login. Ao capturar a sessão ativa, o atacante entra sem precisar de senha nem de segundo fator: o token já está autenticado. A Anthropic frisou que o malware não vem do uso do Claude em si, e sim de fontes variadas na web, de software infectado a anúncios maliciosos clicados.

Quando detectou atividade suspeita, a empresa deslogou os usuários, invalidou autorizações existentes, emitiu alguns reembolsos e avisou que a máquina podia estar infectada. No caso de De Swardt, porém, esse e-mail não foi enviado, ele afirma não ter encontrado sinal de comprometimento no computador e diz não ter como saber como o acesso foi obtido. A conta dele foi reativada após cerca de duas semanas, e ele acabou migrando para o Cursor, pela possibilidade de usar múltiplos modelos, incluindo opções open source↳Open source71 conteúdosComo o Open Source Está Liberando o Poder da Automação para TodosDev (Back & Front) · out 2025Código aberto: programadores criam software da NASA sem saberDev (Back & Front) · abr 2021N8N: O que é a ferramenta open source que está revolucionando a automação em TI?Dev (Back & Front) · dez 2025Ver tudo em Dev (Back & Front) → mais baratas. Questionada sobre como usuários podem identificar uso indevido, a Anthropic não comentou.

Por que roubo de sessão fura MFA

O ponto técnico que o dev precisa internalizar: session hijacking ignora autenticação forte. Autenticação multifator protege o momento do login. Depois que você entra, o servidor emite um token de sessão (ou cookie) que representa aquela sessão já autenticada. Se um infostealer copia esse token do disco ou da memória, o atacante o reapresenta e passa pelo mesmo portão que você, sem senha e sem MFA, porque a barreira já foi vencida.

No caso relatado, o agravante é o encadeamento: uma session key comprometida foi usada para gerar tokens OAuth do Claude Code. Ou seja, de uma sessão roubada o atacante derivou credenciais de acesso programático com validade própria. Invalidar a sessão original nem sempre mata tudo que foi gerado a partir dela.

O que muda para quem usa Claude no Brasil

Se você mantém automações, agentes ou pipelines de código apoiados no Claude, o risco descrito vale tanto para assinatura Claude.ai quanto para o uso do Claude Code com OAuth. Alguns pontos práticos que se extraem do episódio:

• Trate a máquina de dev como parte da superfície de ataque. O vetor aqui não foi a Anthropic, foi o endpoint. Tokens de sessão e credenciais ficam em disco e em memória; um infostealer que entra por um download ou anúncio malicioso leva tudo.
• Rotacione credenciais e revise autorizações OAuth periodicamente. Chaves de API e tokens do Claude Code devem ter rotação programada, não vitalícia. Reveja e revogue integrações de terceiros que você não reconhece.
• Monitore consumo você mesmo. Como o suporte não entrega uso detalhado por origem, montar seu próprio alerta de baseline (consumo médio esperado por hora/dia) é a forma prática de perceber uma anomalia cedo, em vez de descobrir no fim do mês.
• Separe credenciais de produção do ambiente pessoal. Rodar automações críticas na mesma conta e na mesma máquina que a navegação do dia a dia aumenta a chance de uma sessão sensível ser capturada.
• Considere o custo silencioso. Em conta com cobrança por uso via API, tokens minerados por terceiros viram fatura real. O prejuízo não é só de indisponibilidade, é financeiro.

O que fica em aberto é justamente o que mais incomoda o consultor do relato: a falta de visibilidade item a item do consumo. Sem ferramenta que mostre o que está gastando os tokens, a detecção depende de o dono notar um número estranho, o que, segundo ele, deixa pouca margem para o usuário se proteger sozinho. Enquanto a Anthropic não expõe esse detalhamento, a responsabilidade de vigiar o consumo e de blindar o endpoint recai sobre quem constrói.

Fonte: TechCrunch