Claude Session Hijacking: come gli Infostealer colpiscono l'AI
- Malware infostealer (Vidar, Lumma, ecc.) rubano i cookie di sessione di Claude, bypassando l'autenticazione a due fattori.
- Campagna FakeAgent ha distribuito un falso installer ClaudeDesktop.exe tramite annunci Bing, con 7.100 download.
- Nuova tecnica di persistenza tramite file SKILL.md avvelenati per reinstallare il malware.
- Anthropic risponde disconnettendo gli utenti, rimuovendo i metodi di pagamento e rimborsando i costi.
Immaginate di aprire il vostro browser per consultare Claude e trovarvi improvvisamente disconnessi. Non è un glitch tecnico, né un aggiornamento di sistema. Per alcuni utenti, questa interruzione è stata l'unica difesa immediata contro un attacco silenzioso. Anthropic ha iniziato a inviare notifiche via email a utenti i cui computer sono stati compromessi da malware di tipo infostealer, informandoli di aver rimosso i metodi di pagamento salvati e di aver forzato il logout di tutte le sessioni attive.
Il segnale d'allarme per l'utente medio è sottile: i limiti di utilizzo dell'account che sembrano ricaricarsi per poi svuotarsi rapidamente mentre il computer è spento o l'utente è inattivo. Anthropic ha spiegato in una comunicazione a un utente, poi condivisa su Reddit, che un malintenzionato stava utilizzando sessioni rubate per accedere agli account e consumarne l'uso. In termini aziendali, questo significa che le risorse pagate per l'operatività di un professionista o di un team vengono drenate da terzi senza che venga generato un alert di login anomalo.
Il furto dei cookie di sessione e il bypass dell'MFA
La pericolosità di questa operazione risiede nel metodo di esfiltrazione. Gli hacker non stanno cercando di indovinare le password o di forzare l'accesso tramite brute force. Utilizzano invece i cookie di sessione, ovvero quei piccoli file che il browser salva per ricordare che un utente ha già effettuato l'accesso, evitando di richiedere le credenziali a ogni cambio pagina.
Quando un infostealer copia un cookie di sessione già autenticato, l'attaccante può semplicemente replicare quella sessione sul proprio dispositivo. Cybersecurity News chiarisce che questo processo permette di bypassare completamente l'autenticazione a due fattori (2FA) e il Single Sign-On (SSO). Poiché il sistema crede che l'utente sia già loggato, non richiede alcun codice di verifica.
Analisi strategica: Per un imprenditore, questo scenario sposta il focus della sicurezza. Non è più sufficiente implementare l'MFA a livello di account se l'endpoint (il PC del dipendente) è vulnerabile. La sicurezza dell'identità diventa inutile se il token di sessione, una volta generato, può essere sottratto localmente. La superficie di attacco si sposta dal server al browser dell'utente.
FakeAgent: 7100 download di un installer malevolo
Parallelamente al furto di sessioni, è emersa una campagna più aggressiva identificata dalla società di sicurezza Huntress come FakeAgent. Tra il 21 e il 22 luglio 2026, gli utenti che cercavano l'app desktop di Claude su Bing sono stati indirizzati verso annunci sponsorizzati. Questi link portavano a un Artifact pubblico di Claude, ospitato direttamente sul dominio legittimo claude.ai, ereditandone così il certificato SSL e l'autorità di ricerca.
L'utente, convinto di trovarsi su un sito ufficiale, scaricava un file denominato ClaudeDesktop.exe. In realtà, si trattava di un installer contraffatto che utilizzava una tecnica di DLL sideloading tramite un file libcef.dll manomesso e un binario helper di JetBrains. Il risultato finale era l'installazione di SectopRAT, un trojan di accesso remoto (.NET) capace di raccogliere credenziali del browser, dati delle carte di credito, cookie e file locali.
L'efficacia dell'attacco è documentata dai numeri: in soli due giorni, circa 7.100 download sono stati registrati prima che Anthropic potesse rimuovere la pagina. Huntress ha confermato che almeno 29 organizzazioni sono state compromesse in questo brevissimo arco temporale. BleepingComputer sottolinea come l'uso dell'infrastruttura stessa di Claude per ospitare il malware abbia reso l'inganno quasi impercettibile.
Vidar e Lumma: l'arsenale degli infostealer
L'attacco a Claude non è l'opera di un singolo hacker isolato, ma il risultato dell'impiego di famiglie di malware consolidate. Anthropic ha identificato l'uso di diversi infostealer a seconda del sistema operativo della vittima.
Su Windows, i protagonisti sono Vidar, Lumma (LummaC2), StealC, RedLine e Acreed. Su macOS, l'attacco è stato veicolato tramite Atomic Stealer. A differenza dei ransomware, che dichiarano la propria presenza bloccando i file e chiedendo un riscatto, questi software sono progettati per essere stealth. Il loro obiettivo è rimanere invisibili il più a lungo possibile per raccogliere ogni possibile credenziale e trasmetterla ai server dei criminali.
L'analisi di questi strumenti rivela un modello di business preciso: i dati rubati possono essere utilizzati immediatamente dagli attaccanti per consumare crediti AI o, più frequentemente, venduti in marketplace del dark web a terzi che si occupano di frodi finanziarie o spionaggio industriale.
Il rischio dei file SKILL.md e la persistenza
Una delle evoluzioni più preoccupanti riguarda la persistenza del malware. Una volta che un sistema è stato pulito, gli attaccanti hanno trovato un modo per reinfettarlo utilizzando i file SKILL.md. Questi documenti sono file di configurazione in stile documentazione utilizzati per definire le abilità degli agenti di Claude.
Gli hacker mascherano istruzioni malevole all'interno di note che sembrano normali guide di stile. Quando Claude carica il file SKILL.md, i comandi nascosti attivano silenziosamente il download dell'infostealer, reinfettando la macchina e ricominciando il ciclo di raccolta delle credenziali. Questo trasforma un semplice file di configurazione in un vettore di attacco persistente.
Analisi di rischio: Questo metodo evidenzia una vulnerabilità nell'interazione tra l'AI e i file di configurazione locali. Se un'azienda permette ai propri dipendenti di importare file di configurazione o skill da fonti non verificate, sta essenzialmente aprendo una porta secondaria per l'esecuzione di codice malevolo.
Risposte di Anthropic e misure di contenimento
La reazione di Anthropic si è concentrata sulla mitigazione del danno economico e sull'interruzione dell'accesso non autorizzato. La strategia adottata segue tre direttrici principali:
- Forced Logout: La disconnessione immediata di tutte le sessioni sospette per invalidare i cookie rubati.
- Payment Stripping: La rimozione automatica dei metodi di pagamento salvati per evitare addebiti fraudolenti.
- Refunds: L'emissione di rimborsi per gli importi identificati come non autorizzati.
Nonostante queste misure, l'azienda ha ammesso che l'indagine è ancora in corso. Search Engine Journal riporta che l'azienda sta monitorando i pattern di utilizzo per identificare preventivamente i conti compromessi.
Per le imprese, l'indicatore verificabile per valutare l'efficacia di queste misure sarà l'introduzione di sistemi di Session Binding (il legame tra sessione e impronta digitale del dispositivo), che renderebbe i cookie inutilizzabili se spostati su un altro PC. Un altro indicatore sarà l'aggiornamento dei termini di servizio o delle guide di sicurezza di Anthropic riguardo l'uso dei file SKILL.md.
Gestione delle sessioni e NIS2 nell'UE
L'incidente di Claude non è un semplice problema di account, ma si inserisce nel quadro normativo europeo della cybersecurity. Con l'entrata in vigore della direttiva NIS2, molte imprese italiane che prima erano considerate non critiche rientrano ora negli obblighi di gestione del rischio e notifica degli incidenti.
Il furto di sessioni AI rappresenta un rischio operativo concreto. Se un dipendente di un'azienda essenziale utilizza Claude per analizzare dati aziendali sensibili e l'account viene dirottato, l'attaccante non ottiene solo l'uso dell'AI, ma potenzialmente l'accesso a tutta la cronologia delle chat, che spesso contiene segreti industriali, strategie di business o dati di clienti.
In Italia, l'adozione di AI generative nelle PMI sta procedendo più velocemente della cultura della sicurezza informatica. Il caso FakeAgent dimostra che l'autorità di un dominio (claude.ai) può essere usata come arma. Le imprese devono quindi implementare policy di Zero Trust, dove l'accesso all'AI non è considerato sicuro solo perché l'utente è autenticato, ma viene monitorato costantemente per anomalie comportamentali.
L'AI Act europeo, pur concentrandosi sulla governance e l'etica, impone standard di robustezza e sicurezza per i sistemi AI. Incidenti di questo tipo spingono verso una maggiore responsabilità dei provider (come Anthropic) nel proteggere non solo il modello, ma l'intera interfaccia di accesso dell'utente finale.
Domande frequenti
Come posso capire se il mio account Claude è stato compromesso?
Il segnale principale è l'anomalia nei limiti di utilizzo: se i vostri limiti di messaggi sembrano ricaricarsi e poi svuotarsi rapidamente mentre non state usando il servizio, è probabile che un malintenzionato stia usando la vostra sessione.
L'autenticazione a due fattori (2FA) mi protegge da questo attacco?
No, in questo caso specifico. Poiché gli infostealer rubano i cookie di sessione già validati, l'attaccante entra nell'account saltando completamente la fase di login e quindi bypassando l'MFA.
Cosa sono i file SKILL.md e perché sono pericolosi?
Sono file di configurazione per le abilità degli agenti di Claude. Possono essere pericolosi se contengono istruzioni malevole nascoste che, una volta caricate dall'AI, forzano il computer a scaricare nuovamente malware infostealer.
Fonti: Searchenginejournal, Cybersecuritynews, Bleepingcomputer ·
Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
