Vol de sessions Claude : des abonnés voient leurs tokens disparaître

Plusieurs clients de Claude disent avoir vu leur quota s'évaporer sans utilisation apparente. Anthropic évoque des vols de sessions par des malwares et explique avoir révoqué des accès et remboursé certains comptes. Un consultant britannique, privé d'accès près de deux semaines, a résilié et pointe l'absence de relevés d'usage détaillés.

Deux semaines de coupure et un abonnement annulé

Le compte de Grant de Swardt a été restauré après une interruption d’environ deux semaines. Il indique avoir été frustré par la lenteur de l’assistance et par le fait qu’aucun relevé détaillé de l’utilisation ne lui ait été fourni. Il a résilié son abonnement pour passer à Cursor, qui permet de recourir à plusieurs modèles dont des options open source plus abordables. Selon lui, ces modèles offrent des performances comparables à celles de Claude, et il n'envisage pas de revenir tant que le problème n'est pas résolu. Il affirme par ailleurs que les outils pour identifier ce qui consomme les tokens manquent toujours. Il estime qu'il n'existe pas de moyen de se protéger efficacement. Interrogée sur la façon dont les utilisateurs peuvent repérer les abus, l'entreprise a refusé de commenter.

Anthropic décrit un vol de sessions via un infostealer

Des utilisateurs ont diffusé des e-mails où l'entreprise prévenait qu'elle voyait des vols de tokens. Elle y explique qu'un acteur malveillant utilise un malware infostealer courant pour dérober des sessions de connexion Claude sur les ordinateurs, puis accéder aux comptes afin de consommer les quotas. Lorsqu'une activité suspecte est détectée, l'entreprise déconnecte les comptes, invalide les autorisations, procède à des remboursements et avertit d'une possible infection. Elle précise que ces malwares ne proviennent pas de l'utilisation du service. Un tel logiciel peut être récupéré en ligne, notamment via des téléchargements ou des publicités infectés. Grant de Swardt n'a toutefois pas reçu ces messages d'alerte. De son côté, l'entreprise lui a indiqué qu'une clé de session compromise avait servi à créer des tokens OAuth non autorisés et évoqué l'usage possible de son compte par un service tiers, sans pouvoir établir l'origine de l'accès. Elle a aussi avancé deux scénarios compatibles avec les indices : vol d'identifiants ou données de session, ou connexion du compte à un service externe.

Signalements d'usages non autorisés par d'autres clients

Après avoir raconté son cas sur Reddit, Grant de Swardt a reçu de nombreux retours et a constaté qu'il n'était pas le seul. Un utilisateur rapporte une montée d'usage de 0% à 100% après une mise à niveau facturée sans consentement. Un autre décrit un passage de 0 à 49% en 12 minutes pour quelques requêtes et une recherche web. Un troisième évoque un quota quotidien épuisé durant trois jours sans utilisation, avant d'ouvrir un rapport sur GitHub où d'autres ont partagé des cas similaires.

Départ de l'incident : hausse inexpliquée et réactions côté compte

Le 4 août, un pic d'utilisation est apparu sur le compte Claude Max 20x de Grant de Swardt alors qu'il ne travaillait pas. Le lendemain, malgré la désactivation de tous les éléments rattachés à Claude, la consommation a encore augmenté. Dans un intervalle contrôlé, l'usage a progressé de 45% à 55% alors que les tâches Cowork étaient en pause ou achevées, que l'exécution Dispatch/cloud était coupée et qu'aucune tâche Claude Code locale n'était en cours. Il a demandé à l'entreprise un relevé détaillé, qui a reconnu un problème sans fournir le détail. L'entreprise a suspendu son compte, invalidé les sessions et tokens côté serveur et procédé à un remboursement partiel de 44,49 £, pour un abonnement facturé 200 $ par mois. Selon lui, cette suspension a fortement perturbé son activité, qui repose sur des agents pour des intégrations de données de commande dans des logiciels comptables, ainsi que pour l'administration, la conception web et le code. Le service suit l'usage global mais pas le détail, même à la demande, si bien qu'un vol pourrait, selon l'estimation donnée, passer inaperçu pendant des mois.