- Des comptes Claude ont été utilisés par des personnes qui n'en étaient pas titulaires.
- La cause est un malware déjà présent sur l'ordinateur, pas une faille de l'IA.
- Anthropic a déconnecté les sessions et retiré les moyens de paiement par précaution.
Plusieurs médias ont relayé cette semaine une inquiétude autour de Claude, l'intelligence artificielle d'Anthropic : des comptes auraient été compromis, avec un risque pour les moyens de paiement enregistrés. Le titre fait peur, mais la cause réelle est beaucoup plus classique qu'il n'y paraît, et n'a rien à voir avec une faille de l'intelligence artificielle elle-même.
Ce qui s'est réellement passé
Anthropic a détecté qu'un certain nombre de comptes Claude avaient été utilisés de façon anormale par des personnes qui n'en étaient pas les titulaires. Pour limiter les dégâts, l'entreprise a déconnecté les sessions concernées et supprimé les moyens de paiement enregistrés sur les comptes identifiés, par simple précaution.
Cette réaction rapide a suffi à alimenter des titres alarmants sur les réseaux sociaux, laissant penser que Claude aurait été piraté ou qu'une faille de sécurité toucherait directement le service. Ce n'est pas ce qui s'est produit.
La vraie cause : un malware déjà présent sur l'ordinateur
Les comptes concernés n'ont pas été percés par une attaque contre les serveurs d'Anthropic. Le problème vient d'un type de logiciel malveillant bien connu en cybersécurité, appelé infostealer (voleur d'informations), déjà installé sur l'ordinateur des victimes avant même qu'elles n'ouvrent Claude. Plusieurs familles de ces malwares sont concernées. Sous Windows, on trouve Vidar, Lumma, StealC, RedLine et Acreed. Atomic Stealer touche de son côté un nombre plus limité de Mac.
Ces programmes récupèrent les identifiants et les cookies de session stockés dans le navigateur. Or ce petit fichier permet de rester connecté à un compte sans avoir besoin de retaper son mot de passe. C'est précisément cette particularité, commune à n'importe quel service web, que les attaquants ont exploitée. En volant ces données, ils ont pu accéder à des comptes Claude déjà connectés, sans jamais connaître le mot de passe ni contourner la double authentification.
Dans l'un des cas documentés, la victime elle-même soupçonne l'origine de l'infection : un jeu vidéo piraté téléchargé sur son ordinateur. C'est le mode de contamination le plus fréquent pour ce type de malware : logiciels crackés, téléchargements non officiels, ou fausses applications.
Anthropic écarte tout lien direct avec Claude
Anthropic a été explicite sur ce point : l'entreprise indique n'avoir aucune raison de penser que le malware soit lié à Claude ou qu'il ait été installé par le biais du service lui-même. Le vrai point commun entre les victimes n'est donc pas Claude, mais le fait d'avoir eu un ordinateur infecté par ce malware, quelle qu'en soit l'origine.
Face à ce type d'attaque, la parade côté utilisateur reste toujours la même. Il faut éviter les logiciels piratés et les téléchargements non officiels, et faire tourner un antivirus à jour. En cas de doute, mieux vaut aussi se déconnecter des sessions actives plutôt que de changer uniquement son mot de passe.
Ce que les attaquants font d'un compte volé
Un compte Claude détourné n'intéresse pas seulement les attaquants pour l'argent lié au moyen de paiement enregistré. Selon l'éditeur de sécurité Malwarebytes, la puissance de calcul volée peut aussi servir à rédiger des contenus de phishing ou à monter l'infrastructure d'une campagne malveillante. Elle permet encore de développer du code nuisible, d'améliorer la diffusion d'un malware ou d'analyser des données déjà volées ailleurs. Anthropic précise de son côté que Claude dispose de garde-fous et d'une surveillance des abus, et affirme avoir déjà neutralisé des comptes utilisés à des fins malveillantes.
Les recommandations d'Anthropic aux utilisateurs concernés
Pour les personnes dont le compte a été identifié comme touché, Anthropic recommande d'abord de nettoyer complètement l'appareil infecté avant de se reconnecter. Il faut ensuite changer son mot de passe en activant la double authentification, et installer un antivirus à jour fonctionnant en temps réel. L'entreprise indique aussi avoir remboursé les frais non autorisés déjà prélevés. La suppression des moyens de paiement et la déconnexion des sessions ne suffisent pas si le malware reste actif sur la machine : il pourrait simplement voler les identifiants suivants dès leur saisie.
Un phénomène qui dépasse Claude
Ce type d'attaque n'est pas propre à Claude. Les infostealers ciblent depuis plusieurs années les identifiants et cookies de connexion de tous les services web populaires. L'essor des plateformes d'intelligence artificielle grand public en a simplement fait une nouvelle cible parmi d'autres, au même titre que les messageries ou les réseaux sociaux. Le point commun de toutes ces attaques reste le même : elles visent l'ordinateur de l'utilisateur, pas les serveurs du service visé.
Une rumeur à corriger au passage
Une information reprise par certains sites affirme que le fichier malveillant aurait été directement hébergé sur le domaine claude.ai. Elle ne repose sur aucune source sérieuse et n'est confirmée par aucun des médias spécialisés en cybersécurité ayant couvert l'affaire. Cette précision compte, car elle change complètement la nature du problème : un malware général qui cible ses victimes en dehors de Claude n'a rien à voir avec un service compromis depuis l'intérieur.
Pour l'utilisateur, la leçon pratique reste simple : la sécurité d'un compte en ligne dépend autant de l'hygiène numérique de l'appareil utilisé pour y accéder que du service lui-même. Un mot de passe fort et une double authentification ne protègent pas contre un cookie de session volé directement sur une machine déjà compromise.