Token Claude Pengguna Dicuri Peretas, Begini Modus Operandi Pencuriannya

Sejumlah pengguna layanan AI Claude melaporkan kehilangan jatah token mereka secara misterius akibat tindakan peretas yang membobol akun berlangganan.

Grant De Swardt, seorang konsultan AI asal Inggris, menjadi salah satu korban pertama yang menyadari adanya kejanggalan pada akun Claude miliknya pada 4 Agustus lalu. Meskipun ia tidak sedang bekerja, penggunaan token pada akun tersebut terus melonjak tajam tanpa henti.

De Swardt mencoba mematikan seluruh integrasi yang terhubung dengan Claude miliknya untuk mencari penyebab pasti, namun konsumsi token justru terus meningkat secara signifikan. Dalam sebuah pengujian mandiri, ia mencatat penggunaan token naik dari 45 persen ke 55 persen saat ia tidak melakukan aktivitas apa pun di platform tersebut.

Pihak Anthropic, perusahaan pengembang Claude, kemudian mengakui adanya masalah setelah De Swardt mengajukan keluhan resmi terkait aktivitas mencurigakan pada akunnya. Perusahaan akhirnya menangguhkan akun tersebut dan membatalkan semua sesi akses untuk mencegah kerugian lebih lanjut bagi pengguna.

Anthropic menjelaskan bahwa modus peretasan ini melibatkan penggunaan kunci sesi Claude yang telah disusupi untuk menghasilkan token OAuth yang tidak sah. OAuth adalah mekanisme standar yang mengizinkan aplikasi pihak ketiga mengakses akun pengguna tanpa memberikan kata sandi secara langsung.

Peretasan ini diduga kuat dilakukan oleh pelaku melalui infostealer, yakni sejenis perangkat lunak berbahaya atau malware yang dirancang khusus untuk mencuri data sesi, kata sandi, dan kredensial login dari perangkat korban. Malware semacam ini sering kali masuk ke komputer pengguna melalui unduhan perangkat lunak tidak resmi atau iklan yang terinfeksi di internet.

Setelah insiden tersebut, diskusi di platform Reddit dan GitHub mengungkap bahwa kasus serupa dialami oleh banyak pengguna lainnya di berbagai belahan dunia. Beberapa pengguna melaporkan saldo token mereka habis dalam hitungan menit, sementara akun lain mengalami peningkatan paket langganan secara otomatis tanpa persetujuan pemiliknya.

Anthropic telah merespons dengan mengirimkan peringatan kepada para korban dan memaksa keluar semua sesi yang aktif untuk mengamankan akun. Namun, beberapa pengguna merasa frustrasi karena perusahaan dinilai tidak transparan dalam memberikan rincian penggunaan token secara mendetail kepada pelanggannya.

Keterbatasan fitur pemantauan penggunaan token ini menyulitkan pengguna untuk mendeteksi pencurian sejak dini. Bagi pelaku usaha yang bergantung pada agen AI, hilangnya akses ke token berarti berhentinya operasional bisnis harian yang krusial.

De Swardt sendiri akhirnya memutuskan untuk berhenti berlangganan Claude dan beralih ke platform lain setelah merasa bahwa langkah pengamanan dari pihak Anthropic masih belum cukup kuat. Hingga saat ini, Anthropic belum memberikan keterangan lebih lanjut mengenai langkah teknis untuk membantu pengguna memantau penyalahgunaan akun secara real-time.