Atacurile prin session-cookie replay bypassează 2FA și SSO, oferind acces la conturi Claude și Gmail corporate. Află riscurile pentru afacerile romenești.

Securitatea cibernetică în era inteligenței artificiale generative traversează o fază critică, în care metodele clasice de protecție devin insuficiente. Recent, o campanie de atacuri a demonstrat că barierele pe care mulți antreprenori le consideră impenetrabile, precum autentificarea în doi pași (2FA), pot fi ocolite cu o simplitate alarmantă. Atacul a vizat utilizatorii Claude, modelul de AI dezvoltat de Anthropic, folosind o tehnică numită session-cookie replay.

Mecanismul tehnic din spatele furtului de sesiuni

Spre deosebire de atacurile tradiționale de phishing, unde hackerul încearcă să obțină parola utilizatorului, această metodă nu vizează pagina de login. Atacatorii utilizează programe malicioase de tip infostealer care infectează computerul victimei. Odată instalat, malware-ul nu caută doar parolele salvate, ci extrage cookie-urile de sesiune din browser.

Un cookie de sesiune reprezintă, în esență, dovada digitală că un utilizator a trecut deja de procesul de autentificare. Când un server primește acest cookie, el consideră că utilizatorul este deja validat și îi oferă acces instantaneu. Prin copierea și „redarea” acestui cookie pe o altă mașină, atacatorul păcălește serverul, apărând ca utilizatorul legitim care a trecut deja de 2FA. Astfel, atacul se deplasează într-o singură direcție: de la o mașină infectată, printr-un cookie furat, trecând de un punct de control care nu este nici măcar declanșat, până la accesul total în cont.

Malware-urile implicate și vectorii de infectare

Anthropic a identificat șase familii de infostealere responsabile pentru aceste breșe. Pe sistemele de operare Windows, au fost detectate variante precum Vidar, LummaC2, StealC, RedLine și Acreed. În cazul unui număr mai mic de utilizatori de Mac, a fost identificat Atomic Stealer. Aceste programe sunt concepute pentru a colecta în masă date din browsere, transformând sesiunile active în active digitale care pot fi vândute sau utilizate.

Interesant este faptul că vectorii de infectare sunt adesea banalizați de utilizatori. Un caz raportat pe platformele Reddit și BleepingComputer a indicat faptul că infectarea a survenit în urma descărcării unui joc piratat. Această vulnerabilitate umană transformă un computer personal într-o poartă deschisă către infrastructura digitală a unei companii, mai ales atunci când granița dintre dispozitivele personale și cele profesionale este ambiguă.

Riscul extins: de la Claude la Gmail corporate

Cea mai îngrijorătoare componentă a acestui incident nu este consumul neautorizat al creditelor de AI, ci expunerea datelor. Atacatorii nu s-au limitat la a „arde” limitele de utilizare ale conturilor plătite. Din cauza integrărilor și a permisiunilor acordate (grants), sesiunile furate de Claude au putut ajunge până la accesul în Google Workspace și Gmail-ul corporate al victimelor.

Această escaladă demonstrează cum un instrument de productivitate, dacă nu este configurat corect, poate deveni un vector de atac pentru întregul ecosistem de comunicare al unei firme. VentureBeat a evidențiat faptul că aceste sesiuni au putut accesa date sensibile fără ca administratorii IT să aibă posibilitatea de a revoca accesul în timp real, deoarece conturile vizate nu erau gestionate printr-un furnizor de identitate corporativ.

Vulnerabilitatea conturilor self-serve

Analiza incidentului relevă o distincție crucială între tipurile de conturi. Atacurile au vizat conturile de tip self-serve, plătite cu cardul personal sau de companie, dar neintegrate într-o consolă de administrare centralizată. În aceste cazuri, nu există un administrator IT care să poată vedea cine este conectat sau care să poată forța deconectarea tuturor sesiunilor active dintr-un singur punct.

Session theft is becoming the new credential theft.

În timp ce Single Sign-On (SSO) oferă vizibilitate și posibilitatea de revocarie, el nu previne furtul de cookie-uri dacă dispozitivul final este compromis. SSO protejează intrarea, dar nu monitorizează „cheia” (cookie-ul) odată ce aceasta a fost eliberată browserului. Anthropic a intervenit ulterior, trimitând notificări utilizatorilor, forțând deconectarea sesiunilor, ștergând metodele de plată salvate și rambursând costurile generate de atacatori.

Strategii de mitigare pentru antreprenori

Pentru a reduce riscul de a cădea victimă unor astfel de atacuri, este esențial ca implementarea AI în business să nu se facă ad-hoc. Utilizarea conturilor individuale, plătite separat, creează „insule” de date care scapă controlului departamentului de securitate. Trecerea către planuri Enterprise, care permit integrarea cu sisteme de gestionare a identității (IdP), este prima linie de apărare.

În plus, igiena digitală la nivel de endpoint rămâne critică. Instalarea de software neautorizat sau piratat pe dispozitivele care accesează date corporate este un risc inacceptabil. Companiile ar trebui să implementeze politici stricte de utilizare a browserelor și să încurajeze utilizatorii să își curețe periodic cookie-urile sau să utilizeze profiluri de browser separate pentru activitățile personale și cele profesionale.

Impactul și implicațiile pentru ecosistemul din România

Pentru întreprinderile românești, acest incident servește ca un avertisment timely în contextul accelerării digitalizării prin fondurile PNRR. Multe IMM-uri din România adoptă instrumente de AI precum Claude sau ChatGPT în mod organic, adesea prin conturi self-serve create de angajați, fără o supraveghere centralizată a securității. Această practică creează vulnerabilități majore care pot conduce la scurgeri de date critice.

În paralel, intrarea în vigoare a AI Act la nivel european impune standarde mai stricte de guvernanță a datelor și de transparență. Companiile romene care utilizează AI pentru procesarea datelor clienților trebuie să realizeze că securitatea nu se oprește la alegerea unui furnizor „sigur”, ci depinde de modul în care accesul la acel furnizor este gestionat intern. O breșă de acest tip, care expune Gmail-ul corporate, ar putea fi considerată o încălcare gravă a GDPR, cu sancțiuni financiare semnificative.

Digitalizarea accelerată trebuie să meargă mână în mână cu educația în securitate cibernetică. Pentru un antreprenor din România, investiția în licențe Enterprise nu este doar o chestiune de funcționalitate, ci o asigurare împotriva atacurilor de tip session-cookie replay. Într-un mediu în care atacurile de tip infostealer devin tot mai sofisticate, dependența de 2FA ca singură metodă de protecție este o eroare strategică. Aventure subliniază că vizibilitatea asupra sesiunilor active este singura modalitate de a detecta rapid anomalii în utilizarea resurselor de AI.

Întrebări frecvente

---

Surse: Venturebeat, Aventure, Timesindia ·