Una campagna basata su infostealer ha mostrato come il furto dei cookie di sessione di Claude possa consentire a un attaccante di entrare in account già autenticati senza passare nuovamente dalla pagina di login e quindi senza attivare i controlli normalmente associati a password, autenticazione a due fattori o Single Sign-On. Anthropic ha notificato ad alcuni utenti interessati che malware generalisti presenti sui loro computer avevano sottratto le sessioni di Claude e che tali sessioni erano state successivamente riutilizzate da terzi. Tra le famiglie indicate figurano Vidar, LummaC2, StealC, RedLine e Acreed su Windows e Atomic Stealer su un numero più limitato di sistemi Mac. Questi malware non prendono necessariamente di mira Claude in modo specifico, ma raccolgono dati presenti nel browser, comprese password salvate e cookie che dimostrano che una precedente autenticazione è già stata completata. Anthropic ha disconnesso gli account individuati, rimosso i metodi di pagamento salvati e rimborsato gli addebiti fraudolenti rilevati.
Il meccanismo è diverso dal furto tradizionale delle credenziali. Dopo che un utente completa correttamente il login, il servizio assegna al browser un cookie di sessione che permette di rimanere autenticati senza ripetere continuamente password e secondo fattore. Se un infostealer riesce a copiare quel cookie e un attaccante lo riproduce su un altro sistema, il server può interpretare la richiesta come proveniente dalla sessione che aveva già superato l’autenticazione. La protezione 2FA presidia quindi la fase iniziale di login, ma non impedisce necessariamente il riutilizzo di una sessione già valida. Lo stesso vale per l’SSO: se l’account Claude utilizzato non è governato dall’identità aziendale, il provider di identità dell’impresa non viene neppure coinvolto nella nuova connessione. La disconnessione forzata effettuata da Anthropic è efficace perché invalida la sessione copiata, ma non elimina il malware dal computer compromesso, che può sottrarre nuovamente una sessione generata dopo il login successivo.
Anthropic ha individuato parte dell’attività anomala attraverso il consumo degli account: in alcuni casi i limiti di utilizzo venivano ripristinati e immediatamente consumati mentre il proprietario non stava utilizzando Claude. Non è stato indicato pubblicamente il numero complessivo degli account coinvolti e, al momento della comunicazione, non era stato chiarito se tra questi vi fossero postazioni Team o Enterprise protette attraverso SSO, né se le sessioni sottratte fossero state utilizzate esclusivamente per consumare capacità di calcolo oppure anche per accedere alle conversazioni, ai file presenti nei progetti o ai servizi collegati. Gli account identificati risultavano però associati a pagamento diretto tramite carta e a modalità self-service, circostanza particolarmente rilevante perché queste identità possono trovarsi al di fuori del controllo del sistema aziendale di identity management. Anche organizzazioni Team ed Enterprise acquistate in modalità self-service possono utilizzare fatturazione tramite carta, per cui il metodo di pagamento da solo non consente di stabilire con assoluta certezza la tipologia di ogni account compromesso.
Il rischio più importante non riguarda infatti soltanto l’eventuale consumo fraudolento dell’abbonamento Claude. Una sessione autenticata eredita le possibilità operative dell’account legittimo e può quindi trovarsi davanti anche ai connettori che l’utente aveva precedentemente autorizzato. Claude permette di collegare Gmail, Google Calendar e Google Drive anche agli account individuali e può utilizzare tali servizi rispettando i permessi dell’account Google collegato. Nel caso di Gmail può cercare e leggere messaggi, accedere ai relativi metadati, gestire etichette e thread, visualizzare le bozze e, quando autorizzato, inviare, rispondere o inoltrare email. Le operazioni che modificano dati o producono effetti esterni richiedono normalmente l’approvazione dell’utente, mentre le capacità di lettura e ricerca possono essere utilizzate quando la richiesta fatta a Claude richiede quei dati. Per Google Drive il connettore può cercare e leggere documenti, fogli di calcolo, presentazioni, PDF, immagini e file Office, oltre a visualizzare permessi e modifiche recenti; operazioni come condivisione, spostamento o eliminazione sono invece soggette ai relativi controlli.
Questo crea un problema specifico quando un dipendente collega il proprio account Google Workspace aziendale a un abbonamento Claude personale. L’autorizzazione al servizio Google viene concessa dall’utente tramite OAuth e rimane associata a quel collegamento anche se Claude non appartiene al tenant aziendale. Un attaccante che riesce a riutilizzare la sessione Claude potrebbe quindi trovarsi all’interno di un account che possiede già un’autorizzazione valida verso Gmail o Drive aziendali. Il sistema di identità dell’impresa ha verificato l’utente quando è stato concesso l’accesso al servizio collegato, ma la successiva sessione Claude può trovarsi fuori dall’SSO aziendale. In questo scenario non esiste un amministratore del tenant Claude aziendale in grado di disconnettere un account personale, mentre l’amministratore Google Workspace o Microsoft Entra che può intervenire sull’autorizzazione OAuth sottostante potrebbe non sapere che quel collegamento è stato creato. È quindi possibile che la gestione centralizzata dell’identità aziendale e quella dell’account AI rimangano separate proprio nel punto in cui i due sistemi condividono l’accesso ai dati.
La distinzione tra revoca della sessione e revoca delle autorizzazioni è fondamentale. Disconnettere Claude rende inutilizzabile il cookie rubato, ma non equivale automaticamente a eliminare l’autorizzazione che era stata concessa a Claude sul servizio Google o Microsoft collegato. Di conseguenza, dopo un incidente di questo tipo non è sufficiente invalidare la sessione dell’applicazione AI: è necessario verificare anche le autorizzazioni di terze parti presenti nel sistema aziendale e rimuovere i grant OAuth non più considerati affidabili. Sui piani Claude Team ed Enterprise gli amministratori possono invece governare centralmente i connettori, abilitandoli o disabilitandoli a livello organizzativo e imponendo limiti sulle operazioni consentite. Anthropic permette, per esempio, di autorizzare soltanto la lettura di email o file bloccando le operazioni di scrittura; sui piani Enterprise è inoltre possibile impedire che servizi appartenenti a domini verificati vengano collegati ad account Claude esterni all’organizzazione.
Il problema assume particolare rilevanza perché l’utilizzo di account AI personali sui dispositivi aziendali è ormai diffuso. Dati LayerX richiamati nel rapporto Akamai sui rischi dell’AI enterprise indicano che il 47% delle conversazioni AI in ambito aziendale viene effettuato utilizzando identità personali, percentuale che raggiunge il 61% per Claude. Questo comportamento consente ai dipendenti di utilizzare direttamente strumenti esterni senza necessariamente passare dal tenant approvato dall’impresa. In uno dei casi notificati da Anthropic, l’utente ha ricondotto l’infezione a un gioco pirata, ma campagne precedenti mostrano che il problema non è limitato al software illegale. Nel luglio 2026 una falsa pagina di download di Claude era stata ospitata sullo stesso dominio claude.ai attraverso un Artifact pubblico e promossa tramite un annuncio sponsorizzato su Bing rivolto a chi cercava l’app desktop. La campagna, denominata FakeAgent, aveva portato SectopRAT sui sistemi di dipendenti appartenenti a 29 organizzazioni nell’arco di due giorni e il contenuto aveva registrato circa 7.100 download prima della rimozione. Un’altra campagna aveva distribuito in precedenza un falso installer di Claude attraverso un sito di download contraffatto.
Il commercio di credenziali e sessioni relative ai servizi AI non è inoltre limitato a singole campagne. CrowdStrike ha rilevato che credenziali sottratte di servizi come ChatGPT, Claude e Gemini vengono comprate e rivendute nei circuiti criminali alimentati dagli infostealer. Nel Threat Hunting Report 2026 l’azienda documenta anche un caso di “LLMjacking” nel quale quasi 200.000 richieste API sono state eseguite in appena due minuti utilizzando l’accesso compromesso ai modelli AI di un account cloud. In questo tipo di attività il furto delle credenziali rappresenta la prima fase, mentre il successivo sfruttamento delle risorse AI della vittima viene utilizzato per eseguire operazioni a spese dell’account compromesso e può produrre costi molto elevati.
La stessa evoluzione sta spingendo i sistemi di identity management a trattare gli agenti AI come identità autonome invece di affidarsi a token statici o credenziali appartenenti agli utenti. Okta ha reso generalmente disponibile il 24 agosto 2026 Agent SSO, integrando lo standard Cross App Access nel proprio sistema SSO. Gli agenti possono essere registrati come workload principal e amministrati attraverso Universal Directory, ottenendo accessi governati attraverso l’infrastruttura di identità anziché dipendere da credenziali persistenti memorizzate localmente. L’Admin Console di Okta include ora una sezione dedicata agli AI Agents e Agent SSO è disponibile all’interno dei piani Workforce SSO principali. La coincidenza temporale mette in evidenza due modelli opposti: da una parte gli agenti iniziano a ottenere identità gestite centralmente e revocabili, dall’altra gli utenti continuano frequentemente a utilizzare account AI personali che rimangono esterni ai sistemi aziendali di governance.
Anche la protezione dei cookie stessi sta cambiando. Google ha portato nel 2026 Device Bound Session Credentials, o DBSC, su Chrome per Windows, con l’obiettivo di associare la sessione autenticata al dispositivo sul quale è stata generata. La tecnologia utilizza una chiave privata legata al dispositivo per rendere più difficile il riutilizzo di un cookie sottratto su una macchina differente. Google ha iniziato la disponibilità pubblica con Chrome 146 ad aprile e dal 25 maggio ha avviato il rollout della versione generalmente disponibile, attiva per impostazione predefinita per gli utenti Google Workspace, Workspace Individual e gli account Google personali su Chrome per Windows. Per gli amministratori Workspace non è richiesta alcuna configurazione specifica e gli eventi di session binding possono essere controllati attraverso i log disponibili nel Security Investigation Tool. La copertura indicata riguarda attualmente Chrome su Windows, mentre l’estensione a macOS è stata annunciata per una versione successiva.
Per le organizzazioni, un incidente basato su un infostealer deve quindi essere gestito considerando gli account AI alla stessa stregua delle altre sessioni sensibili presenti sul dispositivo compromesso. Quando viene rilevata una famiglia come Vidar o LummaC2, devono essere considerate potenzialmente compromesse anche le sessioni AI presenti sul browser, comprese quelle personali utilizzate sul computer aziendale. Oltre alla disconnessione degli account è necessario verificare i grant OAuth verso Google Workspace e Microsoft 365, individuare le sottoscrizioni AI personali utilizzate sui dispositivi gestiti attraverso telemetria del browser, sistemi CASB o informazioni di spesa e impedire che identità AI esterne possano conservare autorizzazioni verso dati aziendali quando tali connessioni non sono previste dalle policy interne. Google Workspace e Microsoft 365 consentono agli amministratori di limitare l’autorizzazione delle applicazioni di terze parti, mentre l’impiego di tenant AI gestiti consente di riportare anche connettori e relative capacità operative sotto un controllo organizzativo centralizzato.
L’incidente evidenzia infine una separazione tecnica che può facilmente sfuggire ai normali controlli aziendali: il dispositivo può essere gestito dal team endpoint, l’identità Workspace dal team IAM e l’utilizzo dell’AI da policy specifiche, mentre un account Claude personale può attraversare contemporaneamente tutti e tre gli ambiti senza appartenere realmente a nessuno di essi. Il rischio non dipende quindi da una compromissione dei sistemi Anthropic né da un malware installato attraverso Claude. Anthropic ha precisato di non avere elementi per ritenere che il software malevolo fosse collegato al proprio servizio. Il problema nasce invece quando un infostealer già presente sul dispositivo sottrae una sessione autenticata che, attraverso autorizzazioni precedentemente concesse, dispone a sua volta di un percorso verso servizi e dati aziendali.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)