Ses tokens Claude volés alimentaient un marché noir : comment Anthropic a repéré la fraude

Fin août, un utilisateur de Reddit publiait un témoignage qui a fini par circuler jusque dans la presse spécialisée britannique : un mail d'Anthropic l'informant que son compte Claude venait d'être déconnecté de force, moyen de paiement supprimé, après la détection d'une activité suspecte. Le récit, banal en apparence, éclaire un phénomène plus large : les comptes liés aux outils d'IA sont devenus une marchandise pour les cybercriminels, au même titre qu'un accès bancaire ou un compte de réseau social.

Un jeu vidéo piraté, point de départ classique

Tout part, par l'aveu de l'utilisateur lui-même, du téléchargement imprudent d'un jeu vidéo piraté. Après avoir constaté le piratage de ses comptes sur les réseaux sociaux, il finit par identifier l'origine du problème et nettoyer son système. Il pensait l'incident derrière lui. La nuit suivante, un message d'Anthropic l'informe que sa session faisait partie d'un lot d'identifiants compromis détecté par les systèmes internes de l'entreprise.

Le mail d'Anthropic, cité par Numerama, précise l'indice qui aurait dû alerter plus tôt l'utilisateur : si son quota d'utilisation semblait se recharger puis s'épuiser sans qu'il utilise Claude lui-même, c'est probablement parce qu'un tiers exploitait sa session à son insu.

Pas une faille de Claude, mais un infostealer classique

Anthropic prend soin, dans son message, de dissocier l'incident de ses propres produits : rien n'indique que le logiciel malveillant soit lié à Claude, qu'il ait été installé via le service, ou qu'il résulte d'une action de l'utilisateur sur la plateforme elle-même. La session Claude n'était qu'un élément parmi d'autres récupérés par un infostealer, ces logiciels conçus pour aspirer en masse identifiants Google, cookies et jetons de session stockés sur un ordinateur infecté. Anthropic cite plusieurs familles de malwares susceptibles d'être en cause : Vidar, LummaC2, StealC, RedLine, Acreed et Atomic Stealer.

Comment un identifiant volé devient une marchandise

Le mécanisme se déroule en deux temps. D'abord, l'infostealer collecte tout ce qui traîne sur la machine infectée, sans distinction. Ensuite, des acteurs malveillants trient ce butin de données pour isoler spécifiquement les sessions donnant accès à des services payants comme Claude, avant de les exploiter directement ou de les revendre sur des marchés parallèles. Impossible de savoir, dans le cas de cette victime, si ses jetons ont été utilisés directement par le pirate initial, revendus à un tiers, ou les deux : le mail d'Anthropic ne le précise pas, et c'est une limite qu'il faut reconnaître plutôt que de la combler par supposition.

« Les jetons ont de la valeur et peuvent être revendus. »

Cette remarque de la victime, rapportée par Numerama, résume l'essentiel : un abonnement Claude compromis n'est pas seulement un problème de confidentialité, c'est un accès payant qu'un tiers peut monétiser sans que le titulaire du compte s'en aperçoive immédiatement.

Une réactivité saluée, mais qui interroge sur le service client

Interrogé par le média britannique The Register, l'utilisateur a salué la rapidité d'Anthropic, estimant que l'entreprise l'avait alerté sur une faille de sécurité qu'il n'avait pas encore entièrement colmatée sur ses propres appareils. Il tempère toutefois cet éloge : selon lui, le service client du groupe s'est montré par le passé peu réactif face aux demandes de remboursement ou de récupération de comptes compromis. Ce mail d'alerte marquerait, à ses yeux, une évolution bienvenue plutôt qu'une pratique déjà installée.

Source

Numerama, qui cite le témoignage original publié sur Reddit et une interview accordée à The Register.