Los ciberdelincuentes utilizaron estas sesiones para acceder a cuentas de usuarios y consumir créditos sin autorización (los cargos identificados como indebidos ya fueron reembolsados). ESET, compañía líder en detección proactiva de amenazas, analiza de qué manera funcionan estas amenazas y cómo mantener los sistemas e información protegidos. El caso salió a la luz después de que un usuario publicara el correo electrónico recibido en una discusión en Reddit. Dentro de su relato destacó que el atacante aparentemente, incluso con la autenticación de dos factores activada, logró reutilizar una sesión ya autenticada tras el robo de cookies o tokens de sesión. Anthropic no confirmó públicamente qué artefactos específicos fueron robados, ni el mecanismo exacto utilizado para el secuestro de las sesiones.

La publicación en Reddit tiene un título curioso: “Thank you Anthropic, really”. A pesar de haber sido víctima del ataque, el usuario quiso reconocer la rapidez de la empresa para identificar el problema y proteger su cuenta.

Frente a este panorama, Anthropic desconectó las sesiones comprometidas tan pronto como identificó el problema y eliminó los métodos de pago guardados en las cuentas afectadas. Quienes se vieron afectados tuvieron que iniciar sesión nuevamente y volver a registrar su tarjeta. Según la empresa, los casos identificados estaban asociados a computadoras, sin reportes de dispositivos móviles comprometidos.

Además, la empresa dejó en claro que la falla no se originó en la plataforma, sino en los dispositivos infectados: “No tenemos motivos para creer que este malware esté relacionado con Claude, que haya sido instalado a través de Claude, o que esté relacionado con cualquier cosa que hayas hecho con Claude”, señaló.

El comunicado también menciona algunos de los malwares identificados en la campaña, como Vidar, Lumma (LummaC2), StealC, RedLine y Acreed, que atacan sistemas Windows, además de Atomic Stealer (AMOS), encontrado en un pequeño número de equipos Mac.

En caso de haber sido víctima, desde ESET advierten o alertan que desconectar la cuenta interrumpe las sesiones robadas, pero no elimina el malware de la computadora. Si la amenaza sigue activa en el dispositivo, una nueva sesión puede ser robada exactamente de la misma manera.

Anthropic recomienda algunas medidas de seguridad para este incidente

• Analizar las computadoras utilizadas con Claude en busca de malware y eliminarlo antes de continuar usando el equipo.
• Cambiar la contraseña del correo electrónico vinculado a Claude después de eliminar el malware, cerrar las sesiones en otros dispositivos y activar la autenticación de dos factores.
• Actualizar otras contraseñas guardadas en navegadores, como las de banca en línea, trabajo o servicios en la nube. También conviene revisar los estados de cuenta de la tarjeta en busca de cargos no reconocidos.
• Registrar nuevamente un método de pago solo después de completar estos pasos, si quieres mantener el plan activo con renovación automática.

Desde ESET destacan que incluso mecanismos importantes, como contraseñas sólidas y autenticación de dos factores, pueden no impedir que un atacante tome el control de una sesión que ya fue autenticada cuando el propio dispositivo está comprometido. Un infostealer puede robar cookies, tokens u otros artefactos de autenticación que permitan reutilizar una sesión ya autenticada.

“La seguridad de la propia computadora sigue siendo tan importante como las contraseñas sólidas y la autenticación de dos factores. Evitar descargas no oficiales, software pirata y aplicaciones de origen dudoso es una de las medidas más importantes para reducir el riesgo de este tipo de infección, junto con mantener los sistemas actualizados y actuar con cautela ante enlaces y archivos sospechosos”, recomienda Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales: Instagram (@eset_ve) y X (@eset_ve).

También Instagram (@esetla) y Facebook (ESET).

Con información e imágenes referenciales cortesía de ESET y Comstat Rowland

¡Sigue nuestras noticias en Google! Para obtener información actual, interesante y precisa. Haz clic aquí y conoce todos los contenidos de Puro Vinotinto. Encuéntranos también en X/Twitter e Instagram

Cada vez que alguien escribe una pregunta o interactúa con Claude, inicia un flujo de datos que pasa por servidores específicos, políticas de retención y normas de privacidad.

ESET, compañía líder en detección proactiva de amenazas, sostiene que el rápido crecimiento no es sinónimo de seguridad garantizada y advierte que entender cómo funciona este flujo es el primer paso para utilizar la herramienta sin renunciar a la protección de la información personal o corporativa. Además, comenta las principales novedades de su uso, el tratamiento de datos de los usuarios por parte de Anthropic y las certificaciones de seguridad de la empresa.

Claude es el asistente de inteligencia artificial desarrollado por Anthropic, una empresa de investigación y seguridad en IA fundada en 2021 por antiguos empleados de OpenAI. La herramienta funciona como un chatbot capaz de responder preguntas, escribir textos, analizar documentos, programar e incluso realizar tareas más complejas de forma autónoma dentro de flujos de trabajo automatizados, dependiendo del plan y la versión utilizada. Puede accederse a través de la web oficial, aplicaciones móviles o integrado con otras herramientas de trabajo mediante conectores y la API, utilizada principalmente por empresas y desarrolladores.

Una de las diferencias que destaca Anthropic es la llamada “IA Constitucional”, un enfoque de entrenamiento que utiliza un conjunto de principios éticos definidos para guiar el comportamiento del modelo, en lugar de depender únicamente de la retroalimentación humana directa. En la práctica, esto significa que la seguridad se trata como parte del desarrollo del modelo, en lugar de como una capa añadida posteriormente. La propia Anthropic supervisa cómo se utiliza Claude en la práctica, a través de un estudio en curso llamado Índice Económico Antrópico,  para entender a qué tipo de tarea recurre más la gente, las personas, a la IA.

Cuando se envía un mensaje a Claude, este no viaja sin protección por internet. Anthropic implementa capas de seguridad que comienzan con el transporte de datos y llegan hasta el almacenamiento en servidores. La comunicación entre un navegador o aplicación y los servidores de Anthropic está cifrada según los estándares de seguridad del sector, lo que significa que dificulta que un tercero intercepte o lea las conversaciones mientras viajan por la red. Dentro de los servidores de Anthropic existen controles de acceso basados en roles, es decir, no todos los empleados de la empresa pueden acceder a los datos de los usuarios, lo que está restringido a equipos específicos que necesitan gestionar la infraestructura.

Las certificaciones son la forma más objetiva de demostrar que una empresa realmente sigue buenas prácticas de seguridad.

Tres certificaciones principales

• La certificación SOC 2 Tipo II significa que auditores independientes externos examinaron los controles de seguridad de Anthropic durante meses y confirmaron que todo funcionaba correctamente en la práctica. Esto indica que se trata de una evaluación en curso, con controles definidos en las políticas de seguridad que funcionaron de manera consistente durante el período auditado.
• ISO 27001, norma internacional para la gestión de la seguridad de la información. Es reconocida globalmente y a menudo requerida por grandes empresas europeas y multinacionales al evaluar proveedores de tecnología. Cubre aspectos que van desde la política de contraseñas hasta los planes de respuesta a incidentes de seguridad.
• La ISO 42001 es más reciente y específica para sistemas de IA. Evalúa cómo Anthropic gestiona los riesgos relacionados con la inteligencia artificial, incluyendo los procesos para el desarrollo, supervisión y uso responsable de los modelos, así como la monitorización de posibles conductas dañinas.

Para las empresas que necesitan un cumplimiento aún más estricto, Anthropic ofrece contratos específicos para casos de uso sensibles, como aquellos relacionados con datos de salud o cumplimiento normativo. En estas situaciones, se puede negociar la retención de datos, el acceso e incluso la ubicación de los servidores.

“Vale la pena aclarar que estas certificaciones aseguran que la infraestructura, los controles de acceso y los procesos de seguridad de Anthropic estén en orden. No significan que Claude nunca cometa errores, ni que sus respuestas siempre sean precisas o seguras. Significan que la empresa sigue buenas prácticas para proteger los datos que envías, y que esta protección es auditada regularmente por terceros.”, comenta Mario Micucci, Investigador de Seguridad Informática de ESET.

Las conversaciones con Claude se almacenan en los servidores de Anthropic, con dos propósitos inmediatos: permitir acceder al historial en diferentes dispositivos y mantener el contexto dentro de la misma conversación. Además, para los usuarios de las versiones gratuitas y de pago de Claude (Gratis, Pro, Max), Anthropic da la opción de permitir que las conversaciones se utilicen para entrenar y mejorar futuros modelos de IA. Si se lo permite, la empresa puede conservar los datos hasta durante cinco años. Si se rechaza, las conversaciones se eliminan automáticamente después de 30 días.

Para quienes usan a Claude en el trabajo, si la empresa paga por la API o usa el modo Enterprise, los datos nunca se usarían por defecto para entrenar ningún modelo. Esta es una de las razones por las que muchas empresas migran a cuentas de pago o a través de API. Los datos se procesan, pero no son absorbidos por el sistema de aprendizaje de IA. Por lo que un empleado que utilice Claude Free o Pro en su cuenta personal está sujeto a las políticas de consumo. Un desarrollador que utiliza la API empresarial está protegido por políticas empresariales.

Para quienes usan Claude en América Latina, existe una capa adicional de regulación. Aunque el nivel de exigencia varía significativamente entre países, en toda la región existen marcos legales que regulan cómo pueden recopilarse, almacenarse y procesarse los datos personales, independientemente de la herramienta utilizada.

“En la práctica, el uso de inteligencia artificial se considera una forma de tratamiento de datos personales en muchos de estos marcos normativos. Esto implica que, cuando se utiliza Claude para procesar datos de clientes, pacientes o cualquier información que permita identificar a una persona, pueden activarse obligaciones legales como contar con una base válida para el procesamiento, informar a los titulares y aplicar medidas adecuadas de protección de datos”, agrega Micucci.

Recomendaciones concretas

ESET comparte algunos puntos y recomendaciones de seguridad y privacidad clave, como activar la autenticación de dos pasos (2FA) en la cuenta y usar una contraseña fuerte y única. Se han encontrado más de 225.000 accesos a herramientas de IA a la venta en la Dark Web, a menudo robados por malware. También, mantener el sistema operativo y antivirus actualizados ayuda a prevenir estas amenazas. Explorar la configuración de privacidad de Claude. En la sección “Privacidad” o “Controles de datos”, se puede desactivar el historial de chat y negarse a entrenar modelos con los datos. Si se trabaja para una empresa, asegurarse de que haya una política clara sobre qué IA puede usarse y en qué contexto.

Resumiendo

“Claude es una herramienta poderosa y relativamente segura, pero ninguna IA es una caja fuerte. Usar bien significa saber cuándo usar, cuándo no. Antes de compartir algo con una IA, es importante preguntarse si es información que nos gustaría que se haga pública. Por ejemplo, los secretos comerciales, los datos de los clientes, las credenciales de acceso y la información sensible nunca deberían ir a ninguna herramienta de IA. Si realmente se necesita, debería utilizar una cuenta empresarial con contratos o herramientas específicas que funcionen localmente”, concluye Micucci de ESET.

ESET invita profundizar sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros datos útilies preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Con información e imagen referencial suministradas por ESET y Comstat Rowland

¡Sigue nuestras noticias en Google! Para obtener información actual, interesante y precisa. Haz clic aquí y conoce todos los contenidos de Puro Vinotinto. Encuéntranos también en X/Twitter e Instagram