Hackers stelen tokens van Claude-abonnees via besmette computers

Grant De Swardt, een Britse AI-consultant, zag begin augustus zijn tokengebruik op Claude Max oplopen terwijl hij niet aan het werk was. Zelfs nadat hij alle gekoppelde diensten had uitgeschakeld, bleef het verbruik stijgen: van 45 naar 55 procent zonder dat hij ook maar iets deed. Toen hij Anthropic, de maker van Claude, om een gespecificeerd overzicht vroeg, kreeg hij dat niet. Wel schortte het bedrijf zijn account op, maakte het alle sessies ongeldig en betaalde het een deel van zijn abonnementsgeld terug.

Anthropic vond uiteindelijk de oorzaak: een gestolen toegangstoken was gebruikt om nieuwe, ongeautoriseerde tokens voor Claude Code aan te maken. Daarmee kon een onbekende partij op kosten van De Swardt AI-tokens verbruiken, de rekeneenheden waarmee gebruik van een taalmodel wordt afgerekend. Hoe de indringer precies binnenkwam, kon Anthropic niet vaststellen.

Niet het enige slachtoffer

Na een Reddit-post van De Swardt bleek hij niet alleen te staan. Andere gebruikers meldden dat hun account zonder toestemming werd geüpgraded, dat hun creditcard werd belast, of dat hun tokengebruik binnen minuten van nul naar honderd procent schoot. Sommigen kregen wél een waarschuwing van Anthropic. Daarin meldde het bedrijf een 'kwaadwillende actor' te hebben ontdekt die met veelvoorkomende infostealer-malware inlogsessies van Claude-gebruikers steelt. Dat soort malware installeert zich stiekem op een computer en buit opgeslagen wachtwoorden en sessiegegevens uit, bijvoorbeeld na het klikken op een besmette advertentie of het downloaden van geïnfecteerde software.

Grip op eigen tokens ontbreekt

Wie werkt met agentic AI, AI die zelfstandig taken uitvoert, merkt zulke sluipende diefstal minder snel op. De Swardt gebruikt Claude juist voor dat soort automatisering: hij zet voor klanten agents op die bijvoorbeeld facturen uit e-mails in boekhoudsoftware laden. Omdat Anthropic alleen totaalgebruik bijhoudt en geen overzicht per taak of sessie biedt, kan misbruik maandenlang onopgemerkt blijven.

Na ongeveer twee weken kreeg De Swardt zijn account terug, maar het vertrouwen was weg. Hij zegt geen bewijs te hebben gevonden dat zijn eigen computer besmet was en stapte over naar concurrent Cursor, dat werkt met meerdere, deels goedkopere AI-modellen. Volgens hem presteren die vergelijkbaar. Anthropic wilde tegenover TechCrunch niet toelichten hoe gebruikers misbruik van hun account kunnen herkennen of voorkomen.