El 8 de septiembre, TechCrunch publica la investigación que llevaba semanas tomando forma en foros de seguridad: hay una campaña activa de robo de sesiones de Claude mediante malware infostealer —Vidar, LummaC2, StealC, Redline y Acreed— que ya ha comprometido cuentas de suscriptores de pago de Anthropic. La compañía ha confirmado el incidente, ha cerrado sesiones afectadas, eliminado métodos de pago guardados y emitido reembolsos parciales. El número total de cuentas comprometidas no se ha divulgado.
El caso más documentado es el de Grant de Swardt, consultor independiente de IA con sede en East Sussex (Reino Unido), que el 4 de agosto detectó que su cuenta Claude Max 20x —la suscripción más cara de Anthropic, a 200 dólares al mes (≈188 euros)— consumía tokens a ritmo anormal sin que él hiciera nada. En el intervalo más controlado que describe a TechCrunch, el uso pasó del 45% al 55% mientras su trabajo estaba completamente pausado, con las tareas programadas detenidas y sin ninguna sesión local activa de Claude Code.
Al pedir a Anthropic un desglose detallado del uso, la empresa no lo proporcionó, pero sí reconoció que algo estaba mal y suspendió la cuenta. El reembolso que recibió fue de £44,49 por el tiempo restante en la suscripción.
¿Qué están robando exactamente y cómo lo usan?
Los infostealers no hackean los servidores de Anthropic. Lo que hacen es robar cookies de sesión y tokens de autenticación almacenados en el navegador del usuario. Una vez que el atacante tiene esa cookie, puede reproducir la sesión en su propio dispositivo: el sistema de Anthropic no ve diferencia entre la sesión legítima y la robada, porque técnicamente la cookie es válida.
En el caso de De Swardt, Anthropic identificó después de investigar que una clave de sesión comprometida fue usada para acuñar tokens OAuth no autorizados de Claude Code —el entorno de desarrollo por línea de comandos—. Un tercero accedió a su cuenta y la usó de forma encubierta mientras él dormía o no trabajaba.
Lo que hace especialmente rentable este ataque es que los infostealers saltan la autenticación en dos factores (2FA). La cookie de sesión ya incorpora el estado de sesión autenticada: no importa que la cuenta tenga 2FA activo. Una vez robada la cookie post-autenticación, el atacante opera como si fuera tú sin necesidad de conocer la contraseña ni tener acceso al segundo factor.
La campaña de malware en WhatsApp que Kaspersky documentó en junio de 2026 funciona con la misma mecánica básica: comprometer el dispositivo del usuario para robar credenciales activas, sin necesidad de explotar vulnerabilidades en la plataforma objetivo. La diferencia es que robar acceso a una cuenta de IA con capacidad de procesado intensivo tiene un mercado secundario estructurado y creciente.
El mercado negro del compute robado
El caso del hacker que usó Claude y ChatGPT para comprometer agencias del gobierno mexicano demostró que la IA comercial es ya una herramienta de ataque de bajo coste accesible a individuos. El mercado de sesiones robadas va en la dirección opuesta: proporcionar acceso barato a IA de alta calidad a quienes no pueden pagarlo o no quieren hacerlo.
La mecánica es sencilla. El atacante vende acceso a cuentas comprometidas en foros underground por una fracción del precio de suscripción. Llevo siguiendo incidentes de robo de credenciales de plataformas de IA desde los primeros casos de extracción de claves de API en 2023, y este es el primero en el que la víctima documentada opera con la suscripción más cara del catálogo. Quien compra el acceso usa la capacidad de tokens del legítimo suscriptor —para generar contenido, entrenar prompts, automatizar tareas— mientras la víctima paga la factura sin saberlo.
En el caso de cuentas con facturación por uso adicional habilitada, el daño económico puede ser considerable: Claude permite a los suscriptores activar créditos adicionales más allá del plan base, con spending limit configurable o ilimitado. Un atacante con acceso a una cuenta con créditos ilimitados puede consumir cientos de dólares en tokens antes de que la víctima lo detecte. La opacidad del sistema —Anthropic no ofrece desglose detallado del uso por solicitud— hace más difícil detectar el abuso en tiempo real.
Qué puedes hacer para proteger tu cuenta de Claude
La primera medida es revisar los dispositivos en los que has instalado software de origen dudoso, extensiones de navegador poco conocidas o aplicaciones descargadas fuera de las tiendas oficiales. Los infostealers entran típicamente por instaladores falsos, software pirata y extensiones maliciosas que tienen acceso al almacenamiento de cookies del navegador.
Si usas Claude Code o cualquier integración con tokens OAuth, vale la pena revocar todos los tokens existentes desde el panel de seguridad de la cuenta y regenerar los accesos. Anthropic ha recomendado también no guardar en el navegador credenciales de servicios con tarjeta vinculada; un gestor de contraseñas con almacenamiento separado del navegador reduce el riesgo de exposición frente a infostealers.
La conclusión más incómoda del incidente es la opacidad que Anthropic mostró frente a la víctima. Sabe suficiente para emitir un reembolso parcial, pero no proporcionó el desglose de qué hizo exactamente el atacante con la cuenta. En un servicio de facturación por uso, esa transparencia no debería ser opcional. El malware en la cadena de suministro de LiteLLM, descubierto en marzo de 2026, fue la primera señal de que los atacantes habían decidido apuntar específicamente al ecosistema de herramientas de IA. Este incidente con Claude confirma que el patrón es ya sistemático y está evolucionando.
De Swardt fue más allá en su declaración a TechCrunch: el cierre de la cuenta sin previo aviso paralizó su negocio durante días. Su trabajo —ayudar a pequeñas y medianas empresas a configurar agentes de IA para automatización de tareas cotidianas— depende completamente de acceso ininterrumpido a la API de Claude Code. Sin esa cuenta, sus clientes en activo quedaron sin soporte. La suspensión, aunque justificada por el incidente de seguridad, llegó sin ninguna comunicación anticipada y sin una estimación de cuándo se resolvería.
Esto apunta a un problema más amplio para cualquier empresa o profesional que dependa de una sola cuenta de IA como infraestructura crítica: la arquitectura de seguridad de estas plataformas, razonablemente diseñada para bloquear cuentas comprometidas de forma rápida, no tiene en cuenta el impacto operativo en los negocios que las usan. Una cuenta suspendida de Claude Max 20x no es solo un inconveniente personal; puede ser una interrupción de servicio para todos los clientes de quien la usa como proveedor. Hemos comprobado en wwwhatsnew que este tipo de dependencia de un único proveedor de IA para tareas críticas es el riesgo más subestimado en la adopción empresarial de estas herramientas.