Вкрадені сесійні cookies Claude можуть відкрити доступ до корпоративної пошти Gmail
Шкідливе ПЗ для крадіжки інформації відтворює вкрадені сесійні cookies Claude на платних акаунтах, оминаючи двофакторну автентифікацію. Атака загрожує доступом до Gmail та Drive через конектори, які не може відкликати IT-адміністратор.
Шкідливе програмне забезпечення для крадіжки інформації відтворює вкрадені сесійні cookies штучного інтелекту Claude на платних акаунтах користувачів, повністю оминаючи захист сторінки входу з двофакторною автентифікацією. Компанія Anthropic, розробник Claude, виявила кампанію за аномаліями у лічильниках використання: ліміти поповнювалися та вичерпувалися, поки власник акаунта не працював із сервісом.
У повідомленнях, надісланих постраждалим користувачам, Anthropic назвала шість родин шкідливого ПЗ: Vidar, LummaC2, StealC, RedLine та Acreed на Windows, а також Atomic Stealer на невеликій кількості Mac. Компанія примусово завершила сесії, видалила збережені платіжні методи та повернула кошти за виявлені несанкціоновані списання. Один із користувачів Reddit, який отримав повідомлення, простежив зараження до піратської гри, повідомляє BleepingComputer.
Механізм атаки простий: сесійний cookie є доказом того, що вхід уже відбувся. Сайт видає браузеру cookie після успішної автентифікації, щоб користувач залишався в системі. Зловмисник, який копіює цей cookie та відтворює його, виглядає для сервера як особа, що вже пройшла перевірку. Примусове завершення сесій спрацювало саме тому, що відтворений cookie гине разом із сесією, яку він копіює. Однак двофакторна автентифікація та системи єдиного входу (SSO) тут не допомагають: вони захищають лише сторінку входу, а не вже видані cookies.
Постраждалі акаунти були картковими, самообслуговуваними підписками, які не контролюються корпоративним постачальником ідентифікаційних даних. Для таких акаунтів не існує адміністративної консолі, яка могла б примусово завершити сесію. Як зазначив генеральний директор Bugcrowd Дейв Геррі в інтерв'ю Axios на початку серпня, особиста підписка на Claude на керованому робочому ноутбуці — це той самий рефлекс, що й спроби завантажити несанкціоновані інструменти, і вона супроводжується збереженою карткою.
Головна загроза полягає не у витраченому використанні, а в тому, до чого можуть дістатися вкрадені сесії. Відтворена сесія успадковує все, до чого міг дістатися легітимний користувач: історію розмов, файли, завантажені в проєкти, та будь-які конектори, які власник авторизував. Згідно з довідковим центром Anthropic, конектори дозволяють Claude отримувати дані та виконувати дії у підключених сервісах, причому Claude успадковує права кожної особи з підключеного сервісу. Операції читання та пошуку виконуються без схвалення, тоді як дії запису, зокрема надсилання, відповіді, пересилання та видалення, за замовчуванням вимагають підтвердження.
Конектори Google Workspace доступні для індивідуальних акаунтів Claude, тому особиста підписка Pro може містити активну авторизацію до поштової скриньки Gmail або папки Drive. Якщо це робоча скринька, зловмисник, який володіє відтвореним cookie, отримує шлях читання до неї. Корпоративний постачальник ідентифікаційних даних оцінює цей доступ лише один раз — у момент, коли працівник натиснув «дозволити», — і рідко переглядає його. На особистому плані працівник володіє цим дозволом самостійно: жоден адміністратор Claude не може завершити такий акаунт, а адміністратор Workspace, який міг би відкликати базовий дозвіл, зазвичай навіть не знає про його існування.
Кампанія з крадіжки сесій — не поодинокий випадок. У липні зловмисники розмістили підроблену сторінку завантаження Claude на самому домені claude.ai через публічний Artifact, а реклама у Bing спрямовувала працівників, які шукали «Claude Desktop app», прямо на неї. Кампанія FakeAgent, задокументована Huntress, скомпрометувала працівників 29 організацій за два дні; артефакт зібрав приблизно 7100 завантажень до видалення. Окрема кампанія раніше того ж року поширювала фальшивий інсталятор Claude через підроблений сайт завантаження. За даними LayerX у звіті Akamai про корпоративні ризики штучного інтелекту, 47% корпоративних розмов зі штучним інтелектом відбуваються через особисті ідентифікатори, а для Claude цей показник сягає 61%.
