Anthropic Uyardı: Çalınan Claude Oturumları Kullanım Limitlerini Tüketiyor

Anthropic, infostealer zararlılarının bazı kullanıcıların bilgisayarlarındaki aktif oturum bilgilerini ele geçirerek Claude hesaplarına eriştiğini açıkladı. Şirketin incelemesine göre saldırganlar, çalınan oturumları kullanarak hesapların kullanım limitlerini tüketirken yetkisiz ödemeler de gerçekleştirebiliyor. Anthropic, etkilenen hesapların oturumlarını sonlandırıp kayıtlı ödeme yöntemlerini kaldırırken izinsiz işlemleri belirlediği durumlarda ücret iadesi yapıyor.

Çalınan Oturum Bilgileri Claude Erişimini Sağlıyor

Anthropic tarafından incelenen olaylarda infostealer zararlıları, kullanıcı bilgisayarlarında bulunan tarayıcı verilerini topladıktan sonra Claude erişimini sağlayan oturum bilgilerini de ele geçirdi. Infostealer yazılımları yalnızca parolaları hedeflemediği için saldırganlar, daha önce doğrulanmış bir tarayıcı oturumunu kullanarak normal giriş sürecini atlayabiliyor.

Aktif oturum verisi saldırgana ulaştığında parola değişikliği veya iki faktörlü kimlik doğrulama gibi kontroller her durumda yeniden karşısına çıkmayabiliyor. Çalınan oturum çerezleri, tarayıcının daha önce doğruladığı hesabı saldırgan tarafında kullanılabilir hâle getirdiği için kullanıcıların güçlü parola kullanması tek başına yeterli bir koruma sağlamayabiliyor.

Anthropic, kullanım limitlerinin kullanıcı tarafından herhangi bir işlem yapılmadığı hâlde yenilenip kısa süre içinde tükenmesini olayın önemli belirtilerinden biri olarak gösterdi. Claude oturumları üzerinde gerçekleşen olağandışı tüketim, hesabın doğrudan parola saldırısıyla ele geçirildiği anlamına gelmese de çalınmış kimlik doğrulama verilerine işaret edebiliyor.

Windows bilgisayarlarında yapılan incelemeler, olayların tek bir kötü amaçlı yazılım ailesiyle sınırlı olmadığını ortaya koydu. Anthropic, Vidar, LummaC2, StealC, RedLine ile Acreed gibi infostealer örneklerini tespit ederken sınırlı sayıdaki Mac vakasında Atomic Stealer olarak bilinen AMOS ailesine de rastladı.

Vidar ile RedLine gibi bilgi hırsızları geçmişte tarayıcılarda saklanan parolalar, çerezler, kimlik bilgileri ile finansal verileri hedefleyen kampanyalarda kullanıldı. LummaC2 gibi daha yeni infostealer aileleri de tarayıcı oturumlarını, parola kasalarını, kripto para cüzdanlarını veya farklı uygulamalara ait kimlik doğrulama verilerini toplamaya odaklanıyor.

Kötü amaçlı yazılımın bilgisayara girmesi çoğu zaman Claude üzerinden gerçekleşmiyor. Zararlı uygulamalar, korsan yazılımlar, sahte güncellemeler veya güvenilir görünen indirmeler kullanıcıyı enfekte ederken Claude hesabına ait veriler saldırganın topladığı geniş veri kümesinin yalnızca bir bölümünü oluşturabiliyor.

Etkilenen bir Reddit kullanıcısının paylaştığı Anthropic mesajı, şirketin olayları hesap bazında incelemeye başladığını gösterdi. Kullanıcının korsan bir oyun indirdiğini belirtmesi, bilgisayardaki enfeksiyonun Claude dışındaki bir kaynaktan gerçekleştiğine ilişkin şirket değerlendirmesiyle örtüşüyor.

Anthropic, ele geçirilen hesaplarda ilk müdahale olarak aktif oturumları iptal ediyor. Şirket ayrıca kayıtlı ödeme yöntemlerini kaldırarak saldırganların hesabı kullanırken yeni ücretler oluşturmasını engellemeye çalışıyor.

Claude hesap güvenliği açısından kullanıcıların yalnızca parola yenilemesi yeterli bir adım oluşturmuyor. Etkilenen bir bilgisayarın temizlenmesi, diğer aktif oturumların kapatılması, parolaların güvenli bir cihaz üzerinden değiştirilmesi, iki faktörlü kimlik doğrulamanın etkin tutulması gibi işlemler birlikte uygulanıyor.

Güvenlik ekipleri için tarayıcı çerezlerinin incelenmesi de önem taşıyor çünkü oturum hırsızlığı saldırganın parolayı bilmeden doğrulanmış bir kullanıcı gibi davranmasına yol açabiliyor. Bu nedenle çalınan oturumun iptal edilmesi, yalnızca hesabın parolasını değiştirmekten daha kritik bir müdahale adımı hâline geliyor.

Bir bilgisayarda infostealer bulunduğu sürece yeni oluşturulan kimlik doğrulama verileri de saldırganın erişimine açık kalabiliyor. Anthropic, kullanıcıların yalnızca Claude oturumundan çıkış yapmasının zararlı yazılımı sistemden kaldırmadığını özellikle belirtiyor.

Kurumsal cihazlarda bu risk daha geniş bir etki alanına sahip oluyor çünkü tek bir tarayıcı profili içinde e-posta, bulut hizmetleri, parola yöneticileri, iş uygulamaları ile yapay zekâ platformlarına ait çok sayıda oturum bulunabiliyor. Çalınan veriler arasında kurumsal kimlik bilgileri yer aldığında saldırgan, Claude tüketiminin ötesinde başka hesaplara erişim sağlamak için aynı enfeksiyondan yararlanabiliyor.

BT ekipleri, bu tür olaylarda yalnızca Claude hesabını incelemek yerine enfekte cihazın tamamını olay müdahalesi kapsamında değerlendirmeli. Güvenlik ürünleriyle uç nokta taraması yapılması, şüpheli tarayıcı oturumlarının sonlandırılması, kimlik bilgilerinin yenilenmesi ile cihazın güvenilir hâle getirilmesi sonraki erişimlerin önlenmesinde önem taşıyor.

Yapay zekâ hizmetlerinde kullanım limitlerinin doğrudan parasal değere sahip olması, çalınmış hesapları saldırganlar açısından farklı bir kaynak hâline getiriyor. Yapay zekâ hesabı ele geçirme vakalarında saldırganlar yalnızca kişisel verilere ulaşmayı değil, hesap sahibinin satın aldığı veya tahsis edilen işlem kapasitesini tüketmeyi de hedefleyebiliyor.

Anthropic olayında kullanım hakkının saldırganlar tarafından tüketilmesi, hesap güvenliğinin yalnızca veri gizliliği açısından değerlendirilmemesi gerektiğini gösteriyor. Kurumsal aboneliklerde yüksek kullanım limitleri, kayıtlı ödeme yöntemleri veya ekip üyelerine tanımlanan erişimler bulunduğu için benzer saldırılar doğrudan maliyet oluşturabiliyor.

Türkiye’deki şirketler açısından gelişme özellikle çalışanların kişisel bilgisayarlarından kurumsal yapay zekâ hizmetlerine eriştiği senaryolarda önem taşıyor. Kurumların uç nokta güvenliği, kimlik erişimi, oturum yönetimi, çok faktörlü kimlik doğrulama ile yapay zekâ hizmetlerinin kullanım politikalarını birlikte ele alması saldırının tek bir hesabın sınırlarını aşmasını önleyebilir.

Anthropic’in soruşturması ilerledikçe hangi hesapların etkilendiği, saldırganların çalınan oturumları ne kadar süre kullandığı ile olayların kapsamı konusunda daha fazla ayrıntı ortaya çıkabilir. Güvenlik sektörü açısından gelişme, Claude hesapları için yaşanan tekil bir olaydan daha geniş bir eğilime işaret ediyor çünkü infostealer operasyonları kullanıcıların tarayıcılarında bulunan doğrulanmış oturumları ekonomik değere dönüştürmeye devam ediyor.