Conta da Claude sofre grande vazamento e fraude em escala massiva! Vítimas em Taiwan e no Canadá perdem mais de dezenas de milhares, três passos para se proteger imediatamente

Recentemente, vários usuários do Claude AI fizeram alertas em comunidades do Facebook e no Reddit, dizendo que seus cartões de crédito vinculados às contas da Anthropic estariam sendo fraudadas com frequência. Os atacantes realizam grandes consumos por meio da função “Assinatura de presente (Gift)” da plataforma. Vítimas de Taiwan, do Canadá e dos Estados Unidos relataram perdas que chegam a dezenas de milhares de dólares taiwaneses (NT$), chamando a atenção do público.

Extensão maliciosa de Google espreita há três anos, contornando silenciosamente senha e verificação em duas etapas

O senhor Hong, uma vítima de Taiwan, publicou no grupo do Facebook do Claude Taiwan revelando que a causa principal do caso veio do fato de que, durante o processo de download de um software em abril de 2023, ele instalou sem saber, junto com outro programa, uma extensão maliciosa do Chrome chamada “Start New Tab Search”. O programa pertence à família Adware.NewTab e permanece ativo por até três anos.

Essa extensão tem permissão para interceptar solicitações HTTP, furtando continuamente os cookies do usuário e os tokens de sessão em segundo plano. Assim que o atacante obtém um token de sessão válido, não é necessário nem a senha da conta nem passar pela verificação em duas etapas (2FA); ele consegue realizar compras diretamente pela conta do usuário. É por isso que as medidas tomadas depois do ataque — suspender o cartão, trocar a senha e ativar o 2FA — acabaram falhando.

Quatro débitos em três dias; trocar de cartão não ajudou; falha na interface da Anthropic é exposta

O senhor Hong disse que, na madrugada de 16 de abril, ele percebeu que sua conta estava sendo debitada automaticamente para comprar o plano “Gift Max 5X”. Mesmo que ele tomasse imediatamente todas as medidas padrão de segurança: suspender o cartão, alterar a senha, ativar a verificação em duas etapas, sair de todos os dispositivos, revogar as chaves de API (API Keys) e trocar por um novo método de pagamento, as fraudes continuaram ocorrendo até 20 de abril.

No fim, o senhor Hong teve sucesso em quatro cobranças de transações, com prejuízo total de 400 dólares. Durante o período, o celular dele continuou a receber mensagens de verificação 3D da Mastercard e códigos de verificação da Stripe, indicando que o atacante tentava continuamente debitar de novo usando um novo cartão.

Ele teme que a interface de cobrança da Anthropic não tenha a opção de “remover cartão de crédito”, apenas “atualizar método de pagamento (Update)”, o que impede que os usuários desfaçam o vínculo do cartão com a conta.

Vítimas no exterior e no país se manifestam; o Reddit também traz casos de fraude

Vale notar que um outro usuário do Canadá também publicou no Reddit, no subreddit r/ClaudeAI, dizendo que sua conta teria sido usada para comprar uma assinatura de presente “Gift Max 20x” com cartão de crédito, com prejuízo de cerca de 950 CAD (aproximadamente 700 dólares). Da mesma forma, várias cobranças continuaram ocorrendo.

Ele também apontou que no site de avaliações de compras Trustpilot há vários usuários da Holanda, do Reino Unido e dos Estados Unidos relatando casos semelhantes.

O atendimento ao cliente da Anthropic é praticamente inexistente; contatar a administradora do cartão vira o caminho mais rápido de auto-resgate

As duas vítimas enfrentaram o mesmo dilema: o suporte geral da Anthropic support@anthropic.com quase não consegue ajudar em tempo real. Depois que o senhor Hong comunicou o caso em 18 de abril, ele ainda enviou quatro cartas explicativas em seguida, mas, dentro de 72 horas, não houve nenhuma resposta de um humano, apenas respostas automatizadas do Fin AI Agent. O usuário do Canadá também afirmou que o suporte do Fin AI é extremamente ruim.

No momento, os dois já recorreram à administradora do cartão para solicitar contestação do débito (chargeback), o que virou a forma mais rápida de parar o prejuízo até agora. O senhor Hong também sugeriu que, se alguém quiser entrar em contato com a equipe da Anthropic, pode enviar e-mails para usersafety@anthropic.com e disclosure@anthropic.com ao mesmo tempo; talvez haja mais chance de obter uma resposta mais direta.

Como se proteger? Três passos para verificar imediatamente sua conta do Claude

Diante do avanço contínuo desse ataque, as vítimas pedem que todos os usuários do Claude tomem imediatamente as seguintes medidas de proteção.

Primeiro, entre imediatamente em claude.ai, vá para “Settings → Billing → Invoices” e verifique se há algum registro de cobranças relacionadas a “Gift Max” não autorizado. Assim que identificar, contate imediatamente o banco emissor do cartão para solicitar a contestação do débito; não espere a resposta do suporte da Anthropic.

Em seguida, abra a página de gerenciamento de extensões do Chrome (chrome://extensions/), verifique cuidadosamente todas as extensões instaladas e remova qualquer item que você não conheça, que desperte dúvidas sobre o desenvolvedor, ou que você não se lembre de ter instalado ativamente. Esses programas maliciosos muitas vezes se disfarçam com nomes como “melhorar ou embelezar a interface”.

Por fim, envie uma solicitação formal de suporte à Anthropic e, ao mesmo tempo, mande e-mails para usersafety@anthropic.com e disclosure@anthropic.com, para aumentar a chance de ser atendido por um humano.

As vítimas também desejam que a Anthropic reforce o mais rápido possível os mecanismos de proteção da plataforma, incluindo permitir que os usuários removam de fato o método de pagamento, adicionar verificação em duas etapas para transações Gift em curto período e, após um usuário denunciar um golpe, congelar automaticamente a conta.

Este artigo: a conta do Claude tem um grande volume de fraudes em larga escala! Vítimas de Taiwan e do Canadá perdem dezenas de milhares, três passos para se proteger imediatamente. Apareceu pela primeira vez em 鏈新聞 ABMedia.