Cookies robadas de Claude saltan SSO y 2FA para acceder a Gmail corporativo
Los infostealers secuestran sesiones activas de cuentas personales de pago. Como estos registros viven fuera del dominio corporativo, el administrador de TI no tiene visibilidad ni control para revocarlas.
Anthropic ha confirmado una campaña de suplantación que explota una brecha estructural en la gestión de identidades: las cookies de sesión de cuentas personales de Claude roban acceso a recursos corporativos, incluyendo Gmail, y ningún administrador de TI puede detenerlo.
El ataque no consiste en adivinar contraseñas ni saltar la autenticación multifactor (MFA) en el login. El mecanismo es más directo y antiguo: el malware tipo infostealer captura el cookie de sesión ya validado del navegador. Al reproducir ese token, el atacante se presenta ante el servidor como quien ya pasó la verificación. El MFA ni siquiera se activa porque, técnicamente, el usuario ya 'estaba' logueado.
La vulnerabilidad crítica no es la cookie en sí, sino dónde vive la cuenta afectada. Los casos reportados conciernen a subscripciones de pago individuales (self-serve) facturadas con tarjeta de crédito personal. Estas cuentas no residen en un IdP corporativo (como Entra ID o Okta), por lo que no están sujetas a políticas de MFA empresariales ni a la gestión de acceso de los administradores de sistemas.
Cuando un empleado autoriza un conector de Google Workspace desde su cuenta personal, otorga permisos de lectura y escritura a Claude. Si luego su máquina es infectada por troyanos como Vidar, LummaC2 o RedLine, los criminales obtienen el cookie de esa sesión. Tienen ahora un pase directo para leer el correo corporativo o los archivos de Drive vinculados, sin que el departamento de seguridad se entere.
Anthropic notificó a los usuarios afectados, cerró las sesiones y devolvió los cargos fraudulentos. Sin embargo, la acción es insuficiente ante el riesgo de fuga de datos. El admin de la empresa no puede 'cerrar sesión' desde la consola de Anthropic porque la cuenta no le pertenece. El admin de Google Workspace podría revocar la aplicación conectada, pero solo si sabe que dicha conexión existe fuera de su inventario de activos gestionados.
Este caso ilustra el problema del 'shadow AI': el uso de herramientas de inteligencia artificial fuera de los canales controlados. Según datos de LayerX citados en informes recientes, casi la mitad de las interacciones con IA en entornos empresariales ocurren mediante identidades personales. La piratería de juegos o enlaces de descarga falsos son solo vectores de entrada; el problema raíz es la autorización de servicios externos desde identidades no gobernadas.
