Nous avons rassemblé cette semaine les actualités les plus importantes du monde de la cybersécurité.
- Les pirates ont épuisé les limites d'abonnement de Claude Max.
- Les pirates ont utilisé des caractères Unicode invisibles pour contourner les filtres de phishing.
- Un réseau de 119 000 fausses boutiques en ligne a été utilisé pour voler des cartes bancaires.
- Une porte dérobée pour l'interception audio a été découverte dans les écouteurs Skullcandy Dime 3.
Les pirates ont épuisé les limites d'abonnement de Claude Max
Les utilisateurs des comptes premium Claude ont été confrontés à des débits non autorisés des limites de jetons, qui se produisent même en l'absence totale d'activité de la part du propriétaire. TechCrunch le rapporte.
Le 4 août, Grant De Swardt, consultant indépendant en IA basé au Royaume-Uni, a remarqué une fuite de jetons sur le compte de Claude Max, même s'il n'avait pas interagi avec celui-ci. Le lendemain, même après avoir fermé tous les logiciels liés à Claude, la consommation de jetons a continué de croître.
« Au cours de la période de référence la plus visible, le taux est passé de 45 % à 55 %, même si je n'effectuais aucun travail, que les tâches Cowork planifiées étaient suspendues ou terminées, que l'exécution de Dispatch Cloud était désactivée et qu'il n'y avait aucune tâche Claude Code locale active. »De Swardt a déclaré dans un commentaire à TechCrunch.
Anthropic n'a pas fourni de rapport, mais a suspendu le compte, annulé les sessions et les jetons de serveur et émis un remboursement partiel de 44,49 £ pour la durée restante de l'abonnement Max.
Selon les médias, après avoir mené une enquête, Anthropic a déclaré à De Swardt qu'elle avait trouvé la raison : la clé de session Claude compromise avait été utilisée pour émettre des jetons OAuth non autorisés. La société a suggéré qu'un service tiers interagissait avec le compte pour traiter les demandes d'autres utilisateurs. L'équipe n'a pas été en mesure de déterminer comment il avait obtenu l'accès.
Étant donné que l'équipe d'assistance ne suit que l'utilisation totale et ne la détaille pas même sur demande, le vol pourrait passer inaperçu pendant des mois.
Dans un commentaire sur le post Reddit de De Swardt, un lecteur s'est plaint que son compte « était automatiquement mis à jour sans consentement, que l'argent était débité de sa carte bancaire et que sa consommation de jetons passait automatiquement de 0% à 100% sans même qu'il y touche ». Un autre a remarqué une augmentation de la consommation de 0 à 49 % en 12 minutes, bien qu'il n'ait envoyé que quelques demandes et effectué une recherche sur le Web.
Un autre client d'Anthropic a déclaré que son compte avait complètement utilisé sa limite maximale de jetons en trois jours sans aucune utilisation.
Deux commentateurs ont posté des lettres d'Anthropic :
« Nous avons récemment pris connaissance d'un attaquant qui utilise des logiciels malveillants courants tels que infostealer pour voler les sessions des utilisateurs Claude sur les ordinateurs, puis les utilise pour accéder aux comptes Claude et vider leur limite. »
De Swardt n'a trouvé aucune preuve que son ordinateur avait été piraté. Son compte a été restauré environ deux semaines plus tard. L'entreprise a également précisé que « l'infection » n'était pas due à l'utilisation de Claude lui-même.
De Swardt a annulé son abonnement :
« Je ne pense pas que les gens aient un moyen de se protéger. »
Anthropic n'a pas répondu à une demande de TechCrunch sur la manière dont les utilisateurs peuvent identifier une utilisation non autorisée.
Les pirates ont utilisé des caractères Unicode invisibles pour contourner les filtres de phishing
Les experts de Microsoft ont documenté une vaste campagne de phishing au cours de laquelle les attaquants ont eu recours à des techniques de « contrebande ASCII ». Auparavant, la même technique était activement utilisée pour des injections d’invites cachées dans les systèmes d’IA.
Les pirates ont inséré des caractères invisibles du bloc de balises Unicode (U+E0000 – U+E007F) directement dans le texte.
En conséquence, par exemple, le mot financement a été divisé en plaisir[невидимый символ]ding. Visuellement, le texte restait intact et lisible pour la victime, mais les filtres lexicaux ne le reconnaissaient plus comme spam.
La cible principale de la campagne était le secteur financier : prêts, investissements, prêts.
À son apogée en février 2026, jusqu'à 2,37 millions d'e-mails étaient envoyés par jour. L'attaque a été menée à partir de 148 domaines en utilisant la puissance du service de marketing par courrier électronique ActiveCampaign. À la mi-mai, les volumes avaient diminué, mais l'opération était toujours active.
Selon les experts, l'antivirus Microsoft Defender a bloqué plus de 99 % des messages. Le système s'appuyait sur des mesures alternatives : une analyse complète de la réputation du domaine, des adresses IP et de l'historique de l'expéditeur.
Microsoft a recommandé que toute présence de caractères du bloc de balises dans le corps d'un e-mail standard soit considérée comme une anomalie critique.
Un réseau de 119 000 fausses boutiques en ligne utilisé pour voler des cartes bancaires
La start-up allemande Nebty dévoilée le plus grand de l'histoire réseau frauduleux de boutiques en ligne DoppelCart avec plus de 119 000 domaines. Parmi eux, 105 000 sont encore actifs.
Selon les experts, la plupart des sites sont enregistrés dans la zone .shop. Environ 96 % des sites utilisent des fichiers de build identiques et sont liés à 27 serveurs.
Au cours de la campagne, les attaquants ont copié plus de 44 000 marques : duplication de catalogues, de designs et parfois téléchargement de ressources directement depuis les serveurs des sociétés d'origine. Les magasins les plus fréquemment contrefaits étaient SodaStream, Daniel Wellington et Dreame. Pour attirer les victimes, les escrocs proposaient des réductions allant jusqu'à 65 %.
Les pirates ont intercepté les données en temps réel. Un script a été intégré au code des pages de paiement, qui transmettait instantanément aux attaquants les numéros de carte, le CVV, les dates d'expiration, ainsi que les adresses physiques et les numéros de téléphone des acheteurs via le protocole WebSocket.
Le code malveillant est également capable de lire les mots de passe bancaires à usage unique que la victime saisit pour confirmer une transaction, permettant ainsi aux attaquants de contourner les mécanismes de sécurité.
À des fins de camouflage, les faux sites Web fournissent souvent de véritables adresses e-mail du support technique des marques. En conséquence, les acheteurs trompés se plaignent en masse des marchandises non livrées aux entreprises d'origine, nuisant ainsi à leur réputation.
Le principal hébergeur des fraudeurs ignore les demandes de blocage. Pour lutter contre cette menace, les chercheurs ont lancé une base de données ouverte dans laquelle les entreprises peuvent vérifier si leur marque est utilisée dans le cluster DoppelCart.
Porte dérobée d'interception sonore trouvée dans les écouteurs Skullcandy Dime 3
Un bug logiciel dans le casque Skullcandy Dime 3 permet aux attaquants à proximité de se connecter au casque sans accès physique, code PIN ou confirmation de l'utilisateur. La menace a été signalée par le centre de coordination de l'Université Carnegie Mellon.
Le problème réside dans le SDK Airoha Bluetooth Audio, qui est responsable de la communication sans fil dans la version 1.0.0.28 du firmware. Les écouteurs acceptent automatiquement les demandes de couplage de tout appareil non autorisé à portée Bluetooth.
L'appareil du pirate informatique est ensuite stocké en mémoire en tant qu'appareil « de confiance ».
Un attaquant peut mettre fin de force à la connexion du propriétaire, diffuser son propre audio et intercepter l'audio du microphone intégré. La victime n’entendra qu’une notification système standard concernant une nouvelle connexion, qui peut facilement être confondue avec une reconnexion régulière à un smartphone.
Skullcandy a corrigé la vulnérabilité dans le nouveau firmware 1.0.0.30 pour les nouveaux lots. Cependant, les modèles de casques précédents ne prennent pas en charge l’installation de mises à jour, que ce soit au niveau matériel ou logiciel.
La vulnérabilité de la plateforme Airoha est répandue et affecte une large gamme de périphériques audio de différents fournisseurs. Ainsi, Apple a réussi à corriger une faille similaire dans ses écouteurs Beats Studio Buds en juin.
Également sur ForkLog :
- Le Sénat américain étudiera les actions d'OpenAI après l'incident de Hugging Face.
- Une ferme crypto avec 300 mineurs connectés à une centrale hydroélectrique a été découverte au Mexique.
- Les pirates ont attaqué les clients de Trezor via un service de messagerie piraté.
- Les chercheurs ont identifié six clusters au sein du groupe Lazarus.
- Le jeton allBTC sur Osmosis a perdu 36% de sa garantie en raison d'une attaque contre Nomic.
- IonQ a nommé la puissance requise d'un ordinateur quantique pour attaquer Bitcoin.
- Ledger et Trezor ont appelé à ce que la divulgation coordonnée des vulnérabilités devienne une norme du secteur.
- Des gangs irlandais ont commencé à cacher des clés cryptographiques dans des coffres-forts loués.
- Hacken a trouvé un risque critique dans la gestion de 91 milliards USDT.
- Des inconnus ont retiré 320 millions de dollars de bitcoins de Liquid Network.
- OpenAI a reconnu un « incident wiki » avec des agents et a promis de nouvelles règles de divulgation.
Que lire ce week-end ?
Si récemment nous nous demandions si nos gadgets et nos applications nous surveillaient, aujourd’hui les soupçons se sont développés quant à « si les algorithmes lisent nos pensées ».
ForkLog a compris les mécanismes à l'origine de l'émergence de la « télépathie sur les réseaux sociaux » et a découvert que tout est beaucoup plus prosaïque, mais aussi pire qu'on pourrait le penser.
Voir l’article original en russe