# Ses tokens Claude volés alimentaient un marché noir : comment Anthropic a repéré la fraude

> Un infostealer classique a suffi à siphonner les identifiants d'un utilisateur, dont la session Claude a ensuite été détournée par des tiers avant qu'Anthropic ne coupe l'accès de sa propre initiative.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/tokens-claude-voles-marche-noir-infostealer-anthropic
- Auteur : Kelvyn
- Publié le : 2 septembre 2026 (2026-09-02T03:55:00.000Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Claude, Anthropic, Vol de données, infostealer, comptes IA
- Langue : français

Fin août, un utilisateur de Reddit publiait un témoignage qui a fini par circuler jusque dans la presse spécialisée britannique : un mail d'Anthropic l'informant que son compte Claude venait d'être déconnecté de force, moyen de paiement supprimé, après la détection d'une activité suspecte. Le récit, banal en apparence, éclaire un phénomène plus large : les comptes liés aux outils d'IA sont devenus une marchandise pour les cybercriminels, au même titre qu'un accès bancaire ou un compte de réseau social.

## Un jeu vidéo piraté, point de départ classique

Tout part, par l'aveu de l'utilisateur lui-même, du téléchargement imprudent d'un jeu vidéo piraté. Après avoir constaté le piratage de ses comptes sur les réseaux sociaux, il finit par identifier l'origine du problème et nettoyer son système. Il pensait l'incident derrière lui. La nuit suivante, un message d'Anthropic l'informe que sa session faisait partie d'un lot d'identifiants compromis détecté par les systèmes internes de l'entreprise.

Le mail d'Anthropic, cité par [Numerama](https://www.numerama.com/cyberguerre/2322891-merci-anthropic-vraiment-pirate-il-decouvre-par-mail-que-ses-tokens-claude-alimentent-un-marche-parallele.html), précise l'indice qui aurait dû alerter plus tôt l'utilisateur : si son quota d'utilisation semblait se recharger puis s'épuiser sans qu'il utilise Claude lui-même, c'est probablement parce qu'un tiers exploitait sa session à son insu.

## Pas une faille de Claude, mais un infostealer classique

Anthropic prend soin, dans son message, de dissocier l'incident de ses propres produits : rien n'indique que le logiciel malveillant soit lié à Claude, qu'il ait été installé via le service, ou qu'il résulte d'une action de l'utilisateur sur la plateforme elle-même. La session Claude n'était qu'un élément parmi d'autres récupérés par un infostealer, ces logiciels conçus pour aspirer en masse identifiants Google, cookies et jetons de session stockés sur un ordinateur infecté. Anthropic cite plusieurs familles de malwares susceptibles d'être en cause : Vidar, LummaC2, StealC, RedLine, Acreed et Atomic Stealer.

## Comment un identifiant volé devient une marchandise

Le mécanisme se déroule en deux temps. D'abord, l'infostealer collecte tout ce qui traîne sur la machine infectée, sans distinction. Ensuite, des acteurs malveillants trient ce butin de données pour isoler spécifiquement les sessions donnant accès à des services payants comme Claude, avant de les exploiter directement ou de les revendre sur des marchés parallèles. Impossible de savoir, dans le cas de cette victime, si ses jetons ont été utilisés directement par le pirate initial, revendus à un tiers, ou les deux : le mail d'Anthropic ne le précise pas, et c'est une limite qu'il faut reconnaître plutôt que de la combler par supposition.

> « Les jetons ont de la valeur et peuvent être revendus. »

Cette remarque de la victime, rapportée par Numerama, résume l'essentiel : un abonnement Claude compromis n'est pas seulement un problème de confidentialité, c'est un accès payant qu'un tiers peut monétiser sans que le titulaire du compte s'en aperçoive immédiatement.

## Une réactivité saluée, mais qui interroge sur le service client

Interrogé par le média britannique The Register, l'utilisateur a salué la rapidité d'Anthropic, estimant que l'entreprise l'avait alerté sur une faille de sécurité qu'il n'avait pas encore entièrement colmatée sur ses propres appareils. Il tempère toutefois cet éloge : selon lui, le service client du groupe s'est montré par le passé peu réactif face aux demandes de remboursement ou de récupération de comptes compromis. Ce mail d'alerte marquerait, à ses yeux, une évolution bienvenue plutôt qu'une pratique déjà installée.

> Le réflexe à retenir ne concerne pas Claude en particulier : un mot de passe unique par service, une authentification à deux facteurs, et une vérification systématique après tout téléchargement douteux restent la meilleure protection contre ce type d'infostealer, qui vise n'importe quel compte de valeur stocké dans un navigateur.

## À retenir

- Un infostealer classique, et non une faille de Claude, est à l'origine du vol de session révélé par cette affaire.
- Anthropic a détecté puis coupé de force le compte compromis en s'appuyant sur des identifiants Google et des jetons de session volés.
- Les malwares cités par Anthropic (Vidar, LummaC2, StealC, RedLine, Acreed, Atomic Stealer) collectent d'abord tout, avant qu'un tri isole les accès IA à forte valeur.
- On ignore si les jetons ont été exploités directement ou revendus : l'alerte d'Anthropic ne le précise pas.
- Les comptes IA rejoignent les comptes bancaires et sociaux comme cibles lucratives pour les cybercriminels.

## Source

[Numerama](https://www.numerama.com/cyberguerre/2322891-merci-anthropic-vraiment-pirate-il-decouvre-par-mail-que-ses-tokens-claude-alimentent-un-marche-parallele.html), qui cite le témoignage original publié sur Reddit et une interview accordée à The Register.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/tokens-claude-voles-marche-noir-infostealer-anthropic