Pencurian token Claude: checklist keamanan untuk pengguna asisten AI

Ringkasan utama: akun AI kini menjadi kredensial penting

Laporan baru dari TechCrunch mengatakan bahwa peretas mencuri sesi login pelanggan Claude dan memakai sesi tersebut untuk menghabiskan kuota berbayar. Kasus itu mencakup pemakaian token tak terduga, penangguhan akun, pembatalan sesi, sebagian refund, dan keluhan karena pengguna sulit melihat apa yang sebenarnya menghabiskan kuota. Laporan terkait juga muncul di issue Claude Code di GitHub, tempat pengguna lain menceritakan pola serupa.

Pelajarannya tidak hanya berlaku untuk satu vendor. Asisten AI, agen coding, kopilot browser, dan bot workflow sudah menjadi alat operasional. Mereka dapat menyimpan izin OAuth, konteks proyek, prompt privat, file, sesi browser, aksi cloud, atau batas pemakaian berbayar. Jika penyerang mencuri cookie sesi atau kredensial lokal, dampaknya bisa berupa penyalahgunaan tagihan hari ini dan kebocoran data esok hari.

Pengguna yang membandingkan alat produktivitas, browser, PDF, otomatisasi, atau developer perlu memasukkan keamanan akun ke dalam keputusan. Direktori software BTTC dapat membantu membuat daftar awal, tetapi pilihan paling aman adalah alat dengan izin jelas, log pemakaian terlihat, download resmi, dan pencabutan sesi cepat.

Mengapa penting sekarang

Banyak orang tidak lagi memakai AI hanya untuk chat santai. Developer memakai agen di editor dan terminal. Bisnis kecil menghubungkan asisten ke email, akuntansi, dukungan pelanggan, dan dokumen. Penulis serta pelajar menyimpan riset di produk yang sama. Akun AI akhirnya menghubungkan identitas pribadi, komputasi berbayar, data kerja, dan integrasi pihak ketiga.

Menurut TechCrunch, Anthropic memberi tahu sebagian pengguna bahwa pelaku jahat memakai malware infostealer umum untuk mencuri sesi login Claude, lalu memakai sesi itu untuk mengonsumsi kuota. Malware seperti ini berbahaya karena setelah komputer terinfeksi, penyerang tidak perlu menebak kata sandi. Mereka dapat mengambil data sesi browser, password tersimpan, token, cookie, dan rahasia lokal. Autentikasi multifaktor membantu saat login, tetapi sesi aktif yang sudah dicuri bisa melewati titik tersebut.

Tanda yang perlu diperiksa minggu ini

Mulailah dari dashboard pemakaian. Cari penurunan kuota tiba-tiba, rentang aktivitas panjang, permintaan saat komputer tidak dipakai, atau trafik dari alat yang sudah tidak digunakan. Jika vendor menyediakan halaman perangkat, sesi, OAuth, API key, atau aplikasi terhubung, periksa semuanya. Cabut sesi lama, hapus integrasi yang tidak dipakai, dan rotasi key yang pernah tersimpan di perangkat tidak sepenuhnya tepercaya.

Lalu periksa risiko lokal. Infostealer sering masuk lewat software bajakan, installer palsu, iklan berbahaya, hasil pencarian yang diracuni, ekstensi browser, atau perintah shell yang disalin. Jika langganan AI terlihat aneh, jangan hanya mengganti password. Perbarui sistem operasi dan browser, hapus ekstensi asing, jalankan pemindaian tepercaya, cek item startup, dan cari token terbuka di folder developer.

Pengaturan yang lebih aman

Pisahkan browsing pribadi dari kerja agentic. Pakai profil browser khusus untuk asisten AI dan profil lain untuk web sehari-hari. Jangan memasang ekstensi acak di profil yang menyimpan sesi AI. Untuk alat coding, pilih installer resmi, marketplace terverifikasi, dan izin OAuth terbatas. Jangan menempel token jangka panjang ke prompt, issue, dokumen bersama, atau skrip sementara.

Untuk tim, prinsipnya adalah hak akses minimum. Beri alat AI akses hanya ke repositori, folder, kalender, atau dokumen yang diperlukan. Gunakan akun yang dikelola organisasi jika bisa, bukan langganan pribadi untuk otomatisasi penting. Minta persetujuan manusia sebelum agen menerbitkan paket, deploy infrastruktur, mengirim email pelanggan, atau mengubah data produksi.

Keamanan download tetap penting

Banyak kompromi akun dimulai sebelum login. Klien desktop palsu, aplikasi bajakan, ekstensi berbahaya, atau helper coding tidak resmi dapat menangkap sesi dari layanan yang sah. Unduh software dari toko resmi atau halaman vendor, baca izin sebelum menyetujui, dan curigai akses disk penuh, clipboard, browser, atau terminal tanpa alasan jelas.

Panduan praktis lain tersedia di blog BTTC. Semakin dekat alat AI dengan konteks sensitif, semakin penting sumber download, riwayat update, penjelasan izin, dan kanal dukungan.

Pertanyaan umum

Apakah autentikasi multifaktor menghentikan sesi AI curian?

MFA membantu saat login, tetapi tidak cukup jika malware mencuri sesi browser yang sudah terautentikasi. Anda tetap perlu mencabut sesi, membersihkan perangkat, dan mengelola ekstensi.

Haruskah saya berhenti berlangganan jika ada pemakaian aneh?

Simpan bukti, cabut sesi, rotasi kredensial, periksa perangkat, dan hubungi dukungan terlebih dahulu. Jika vendor tidak memberi visibilitas, pindahkan workflow sensitif.

Apakah agen coding lebih berisiko daripada chatbot biasa?

Bisa ya, karena agen dapat mengakses file, repositori, terminal, package manager, dan izin OAuth. Batasi cakupan dan wajibkan persetujuan manusia untuk aksi berisiko.

Kesimpulan

Laporan pencurian token Claude mengingatkan bahwa akun asisten AI adalah kredensial operasional. Lindungi dengan perangkat bersih, download resmi, izin terbatas, log terlihat, dan pencabutan cepat sebelum menghubungkannya ke pekerjaan penting.