มัลแวร์ขโมยข้อมูลแอบยึด session ล็อกอิน: เปิดปมโควต้า Claude ถูกขโมยใช้แบบไม่รู้ตัว

ถ้าโควต้าการใช้งาน Claude ของคุณดูเหมือนว่า "เพิ่งเติมเต็ม แล้วก็หมดไปแบบไม่รู้สาเหตุ" อีเมลที่ Anthropic ส่งออกมาเมื่อสัปดาห์ที่แล้วมีคำตอบให้แล้ว ปัญหาไม่ได้อยู่ที่รหัสผ่าน หรือการยืนยันตัวตนสองชั้น แต่อยู่ที่สิ่งที่เรียกว่า session cookie ในเบราว์เซอร์ถูกขโมยไป

อีเมลฉบับนี้ถูกผู้ใช้แชร์ลงใน Reddit เป็นครั้งแรก ก่อนที่ SecurityWeek จะรายงานตามมา จากเนื้อหาในอีเมล Anthropic ได้บังคับให้บัญชีที่ได้รับผลกระทบออกจากระบบทุก session ลบบัตรเครดิตที่เคยบันทึกไว้ และคืนเงินค่าใช้จ่ายส่วนเกินที่เกิดจากการใช้งานที่ผิดปกติ พร้อมทั้งชี้แจงว่าต้นตอของปัญหามาจากมัลแวร์ประเภทขโมยข้อมูล (infostealer) บนเครื่องคอมพิวเตอร์ของผู้ใช้เอง ไม่ใช่จากระบบของ Anthropic ที่ถูกเจาะ

ขณะนี้ Anthropic ระบุมัลแวร์ 6 ตระกูลที่เป็นเป้าหมาย ฝั่ง Windows ได้แก่ Vidar, Lumma, StealC, RedLine, Acreed ส่วนฝั่ง macOS มี Atomic Stealer (AMOS) โดยทางบริษัทระบุว่าจำนวน Mac ที่ได้รับผลกระทบนั้น "น้อยมาก" มัลแวร์เหล่านี้ไม่ได้ถูกออกแบบมาเจาะจงสำหรับ Claude แต่เป็นซอฟต์แวร์ขโมยข้อมูลทั่วไปที่พบเห็นได้บ่อย มักแอบติดตั้งมาพร้อมกับไฟล์ดาวน์โหลดที่เป็นอันตราย เมื่อถูกเปิดใช้งานก็จะเก็บรวบรวมรหัสผ่านและ cookie ที่เบราว์เซอร์บันทึกไว้

จุดสำคัญอยู่ที่บทบาทของ session cookie: หลังจากผู้ใช้ล็อกอินเข้า Claude เบราว์เซอร์จะเก็บข้อมูลรับรองชุดนี้ไว้ ทำให้ระบบไม่ต้องขอรหัสผ่านใหม่ทุกครั้งที่โหลดหน้าเว็บ เมื่อผู้โจมตีคัดลอก cookie ชุดนี้ไปได้ ก็สามารถเข้าใช้ session ที่ผู้เสียหายล็อกอินไว้แล้วและผ่านการยืนยันตัวตนสองชั้นไปแล้วได้ทันที โดยไม่ต้องกระตุ้นให้มีการขอรหัสผ่านหรือยืนยันตัวตนสองชั้นอีกเลย นี่คือเหตุผลว่าทำไมบัญชีและรหัสผ่านไม่รั่วไหล แต่โควต้าถูกใช้จนหมดแบบไม่มีสาเหตุ

Anthropic เตือนว่า การบังคับออกจากระบบทำได้แค่ตัดการเชื่อมต่อของ session ที่ถูกขโมยใช้งานอยู่ในขณะนั้น แต่ไม่สามารถล้างมัลแวร์ที่ฝังอยู่ในคอมพิวเตอร์ของผู้ใช้ได้ ทางบริษัทแนะนำขั้นตอนการจัดการดังนี้ ก่อนอื่นให้ลบมัลแวร์ในคอมพิวเตอร์ออกให้หมดก่อน จากนั้นจึงเข้าสู่ระบบ Claude ใหม่ ตามด้วยการตั้งรหัสผ่านใหม่สำหรับอีเมลที่ผูกกับบัญชี พร้อมเปิดใช้การยืนยันตัวตนแบบสองชั้น และขั้นตอนสุดท้ายจึงค่อยเพิ่มวิธีการชำระเงินกลับเข้าไปใหม่ หากทำสลับลำดับกัน คุกกี้ใหม่ที่เกิดจากการเข้าสู่ระบบอีกครั้งก็มีโอกาสถูกมัลแวร์ตัวเดิมสกัดจับได้เช่นกัน

ในอีเมลไม่ได้ระบุถึงขนาดของบัญชีที่ได้รับผลกระทบ และทาง Anthropic ก็ยังไม่ตอบกลับคำขอสัมภาษณ์จาก Engadget แต่อย่างใด