Compte Claude piraté à grande échelle ! Des victimes à Taïwan et au Canada perdent des dizaines de milliers, trois étapes pour vous protéger immédiatement

Récemment, plusieurs utilisateurs de Claude AI ont lancé des alertes dans des groupes Facebook et sur Reddit, indiquant que la carte de crédit associée à leur compte Anthropic était fréquemment utilisée à leur insu. Les attaquants réalisent de nombreuses transactions via la fonctionnalité « Abonnement cadeau (Gift) » de la plateforme. Plusieurs victimes, originaires de Taïwan, du Canada et des États-Unis, déclarent des pertes de plusieurs dizaines de milliers de NTD, suscitant l’attention du public.

Des extensions malveillantes ciblant Google ont été en embuscade pendant trois ans, contournant secrètement les mots de passe et la double authentification

M. Hong, une victime taïwanaise, a publié un message dans le groupe Facebook Claude Taiwan pour révéler l’affaire. Selon lui, la cause principale vient du fait qu’au cours du processus de téléchargement d’un logiciel en avril 2023, il a installé sans le savoir, en même temps, une extension malveillante Chrome nommée « Start New Tab Search ». Ce programme appartient à la famille Adware.NewTab et est resté en place pendant près de trois ans jusqu’à aujourd’hui.

Cette extension dispose des autorisations permettant d’intercepter les requêtes HTTP, et elle vole en continu, en arrière-plan, les cookies et les jetons de session des utilisateurs. Une fois que l’attaquant obtient un jeton de session valide, il n’a absolument pas besoin du mot de passe du compte ni de passer par la double authentification (2FA) : il peut directement effectuer des achats via le compte de l’utilisateur. C’est aussi la principale raison pour laquelle, après les faits, les mesures prises par les victimes — stopper la carte, changer les mots de passe, activer la 2FA, etc. — n’ont toutes eu aucun effet.

Quatre débits en trois jours, changer de carte n’a servi à rien ; un défaut de l’interface d’Anthropic révélé

M. Hong indique qu’au petit matin du 16 avril, il a découvert que son compte avait été débité automatiquement pour acheter l’offre « Gift Max 5X ». Même s’il a immédiatement pris toutes les mesures de sécurité standard : arrêter la carte, modifier les mots de passe, activer la double authentification, se déconnecter de tous les appareils, révoquer les API Keys et changer de nouveau mode de paiement, la fraude s’est poursuivie jusqu’au 20 avril.

Au final, M. Hong s’est fait débiter avec succès quatre transactions, pour une perte totale de 400 dollars. Pendant ce temps, son téléphone a continué à recevoir des messages d’authentification 3D Mastercard et des codes de vérification Stripe, montrant que l’attaquant tentait sans cesse de reprovisionner des débits en utilisant une nouvelle carte.

Il s’inquiète du fait que l’interface de facturation d’Anthropic ne propose pas l’option « supprimer la carte de crédit ». Il n’y a que « mettre à jour le mode de paiement (Update) », ce qui empêche les utilisateurs de détacher la carte du compte.

Les victimes nationales et internationales se manifestent en même temps ; Reddit relaie aussi des cas de fraude

Il est à noter qu’un autre utilisateur canadien a également publié sur le subreddit r/ClaudeAI de Reddit, indiquant que son compte avait été acheté en utilisant une carte de crédit pour un abonnement-cadeau « Gift Max 20x ». Sa perte s’élève à environ 950 CAD (soit environ 700 dollars), et la fraude s’est également poursuivie avec plusieurs débits.

Il a précisé que sur le site de critiques Trustpilot, plusieurs utilisateurs des Pays-Bas, du Royaume-Uni et des États-Unis ont aussi signalé des cas similaires.

Le service client d’Anthropic semble largement inefficace ; contacter la société de carte bancaire devient le moyen le plus rapide pour se sauver

Les deux victimes font face à la même difficulté : le support général d’Anthropic support@anthropic.com ne peut presque pas fournir d’aide immédiate. Après que M. Hong ait signalé le problème le 18 avril, il a ensuite envoyé quatre lettres explicatives supplémentaires, mais pendant 72 heures, aucune réponse d’un humain n’est jamais arrivée : il n’y a eu que des réponses automatisées du Fin AI Agent. L’utilisateur canadien a aussi déclaré que l’efficacité du support de Fin AI est très mauvaise.

À l’heure actuelle, les deux personnes ont toutes deux saisi la société de leur carte bancaire pour contester les débits frauduleux (chargeback), ce qui est aussi la façon la plus rapide pour les victimes d’arrêter les pertes. M. Hong recommande en plus que, si l’on veut contacter l’équipe d’Anthropic, on envoie simultanément des e-mails à usersafety@anthropic.com et disclosure@anthropic.com, afin d’avoir peut-être une chance d’obtenir une réponse plus directe.

Comment se protéger ? Trois étapes pour vérifier immédiatement votre compte Claude

Face à cette vague d’attaques qui continue de se propager, les victimes exhortent tous les utilisateurs de Claude à prendre immédiatement les mesures de protection suivantes.

Tout d’abord, connectez-vous immédiatement à claude.ai, allez dans « Settings → Billing → Invoices », et vérifiez s’il existe des historiques de débits liés à « Gift Max » non autorisés. Dès qu’une telle mention est repérée, contactez immédiatement la banque émettrice de la carte pour demander une contestation de débit, sans attendre une réponse du service client d’Anthropic.

Ensuite, ouvrez la page de gestion des extensions de Chrome (chrome://extensions/), et inspectez minutieusement toutes les extensions installées. Supprimez toute extension inconnue, douteuse, ou toute autre que vous ne vous souvenez pas d’avoir installée volontairement. Ces programmes malveillants se déguisent souvent sous des noms du type « améliorer ou embellir l’interface ».

Enfin, soumettez un ticket de support officiel à Anthropic, et envoyez en même temps des e-mails à usersafety@anthropic.com et disclosure@anthropic.com, afin d’augmenter les chances que votre demande soit traitée par un humain.

Les victimes espèrent également qu’Anthropic renforce rapidement les mécanismes de protection de la plateforme, notamment en permettant aux utilisateurs de retirer effectivement le mode de paiement, d’ajouter une seconde vérification pour les transactions Gift effectuées sur une courte période, et de geler automatiquement le compte après qu’un utilisateur a signalé une arnaque.

Cet article : le compte Claude subit un piratage à grande échelle ! Les victimes à Taïwan et au Canada perdent des dizaines de milliers de dollars, trois étapes pour se protéger immédiatement. Apparait pour la première fois sur 鏈新聞 ABMedia.