Recentemente, vários utilizadores do Claude AI alertaram em grupos do Facebook e no Reddit que os dados dos seus cartões de crédito, associados às contas da Anthropic, estão a ser frequentemente alvo de fraudes. Os atacantes fazem grandes consumos através da funcionalidade “Subscrição de oferta (Gift)” da plataforma. Várias vítimas provenientes de Taiwan, do Canadá e dos Estados Unidos referiram perdas superiores a dezenas de milhares de dólares taiwaneses, suscitando a atenção do público.
Uma extensão maliciosa do Google esteve escondida durante três anos, contornando secretamente palavras-passe e autenticação em duas etapas
O Sr. Hong, vítima em Taiwan, divulgou no grupo do Facebook “Claude Taiwan” que a causa principal do incidente se deve ao facto de, durante o processo de descarregar um software em abril de 2023, ter instalado inadvertidamente em conjunto uma extensão maliciosa do Chrome chamada “Start New Tab Search”. O programa pertence à família Adware.NewTab e, até hoje, esteve ativa durante nada menos do que três anos.
Esta extensão tem permissões para intercetar pedidos HTTP, roubando continuamente cookies e tokens de sessão do utilizador em segundo plano. Assim que um atacante obtém um token de sessão válido, não precisa de qualquer palavra-passe da conta nem de passar pela autenticação em duas etapas (2FA): pode fazer compras diretamente através da conta do utilizador. É também por isso que as medidas tomadas posteriormente pelas vítimas — bloquear o cartão, alterar a palavra-passe e ativar a 2FA — falharam na sua totalidade.
Quatro cobranças em três dias; trocar de cartão também não ajudou. Exposto um defeito na interface da Anthropic
O Sr. Hong afirmou que, na madrugada de 16 de abril, descobriu que a sua conta tinha sido debitada automaticamente para comprar o plano “Gift Max 5X”. Mesmo que tenha adotado imediatamente todas as medidas de segurança padrão — bloquear o cartão, alterar a palavra-passe, ativar a autenticação em duas etapas, terminar sessão em todos os dispositivos, revogar as chaves de API Keys e trocar por uma nova forma de pagamento —, a fraude continuou a ocorrer até 20 de abril.
No fim, o Sr. Hong conseguiu ser cobrado com quatro transações, totalizando um prejuízo de 400 dólares. Durante esse período, o seu telemóvel recebeu continuamente mensagens de verificação Mastercard 3D e códigos de verificação da Stripe, indicando que o atacante estava a tentar novamente debitar utilizando um novo cartão.
Ele teme que a interface de faturação da Anthropic não tenha uma opção para “remover cartão de crédito”, existindo apenas “atualizar forma de pagamento (Update)”, o que impede os utilizadores de desligar o cartão e a conta.
Vítimas no país e no estrangeiro levantam simultaneamente a voz; o Reddit também partilha casos de fraude
Importa notar que, de forma semelhante, um outro utilizador do Canadá publicou no subreddit r/ClaudeAI do Reddit, afirmando que a sua conta foi usada para comprar uma subscrição de oferta “Gift Max 20x” com cartão de crédito, com um prejuízo de cerca de 950 CAD (aprox. 700 dólares). De igual modo, ocorreram várias cobranças que continuaram.
Ele apontou que, no site de avaliações de consumo Trustpilot, vários utilizadores dos Países Baixos, do Reino Unido e dos Estados Unidos também referiram casos semelhantes.
O apoio ao cliente da Anthropic é praticamente inútil; contactar a empresa do cartão é o caminho mais rápido para o utilizador se salvar
As duas vítimas enfrentaram o mesmo dilema: o apoio ao cliente geral da Anthropic support@anthropic.com quase não consegue fornecer assistência imediata. Depois de o Sr. Hong ter reportado o caso a 18 de abril, posteriormente enviou ainda quatro cartas explicativas, mas, no prazo de 72 horas, nunca houve qualquer resposta de uma pessoa real; houve apenas respostas automáticas do Fin AI Agent. O utilizador do Canadá também foi direto ao dizer que o apoio do Fin AI tem um efeito extremamente fraco.
Neste momento, ambos já recorreram à empresa do cartão de crédito para pedir contestação de cobranças (chargeback), o que se tornou a forma mais rápida de as vítimas limitarem os prejuízos. Além disso, o Sr. Hong sugeriu que, se quiser contactar a equipa da Anthropic, se envie também um email para usersafety@anthropic.com e disclosure@anthropic.com em simultâneo, podendo assim obter uma resposta mais direta.
Como proteger-se? Três passos para verificar imediatamente a tua conta do Claude
Face a esta vaga de ataques que continua a espalhar-se, as vítimas apelam a que todos os utilizadores do Claude adotem imediatamente as seguintes medidas de proteção.
Em primeiro lugar, inicia sessão imediatamente em claude.ai e vai a “Settings → Billing → Invoices”, para verificar se aparecem quaisquer registos de cobranças relacionadas com “Gift Max” não autorizadas; ao detetar qualquer ocorrência, deve contactar de imediato o banco emissor do cartão para pedir uma contestação de cobrança, sem esperar pela resposta do apoio ao cliente da Anthropic.
Em seguida, abre a página de gestão das extensões do Chrome (chrome://extensions/), verifica cuidadosamente todas as extensões instaladas e remove quaisquer extensões que não conheças, que gerem suspeitas no seu programador, ou que não te lembres de ter instalado propositadamente. Estes programas maliciosos frequentemente disfarçam-se com nomes como “melhorar ou embelezar a interface”.
Por fim, submete um pedido de apoio formal à Anthropic e envia, em simultâneo, emails para usersafety@anthropic.com e disclosure@anthropic.com, para aumentar as hipóteses de ser tratado por uma pessoa real.
As vítimas também esperam que a Anthropic reforce rapidamente os mecanismos de proteção da plataforma, incluindo permitir que os utilizadores removam efetivamente a forma de pagamento, adicionar autenticação em duas etapas a transações múltiplas de Gift num curto espaço de tempo e congelar automaticamente a conta depois de o utilizador comunicar uma fraude.
Este artigo: a conta do Claude está a ser atacada com uma escala enorme de fraudes! Vítimas de Taiwan e do Canadá perdem dezenas de milhares; três passos para se proteger imediatamente Aconteceu pela primeira vez em Cadeia de Notícias ABMedia.
