Hacker Curi Jatah Token Pengguna Claude Max, Akun Tetap Terkuras Meski Tak Dipakai

KEBONCINTA.COM – Rabu, 9 September 2026 – Pengguna layanan kecerdasan buatan Claude mulai mendapatkan peringatan keamanan setelah ditemukan kasus pencurian sesi login yang membuat jatah penggunaan atau token pelanggan terkuras tanpa sepengetahuan pemilik akun.

Kasus tersebut terungkap setelah Grant De Swardt, seorang konsultan AI independen di Inggris, melihat penggunaan akun Claude Max 20x miliknya terus meningkat meskipun ia sedang tidak menggunakan layanan tersebut.

De Swardt mengatakan keanehan pertama terlihat pada 4 Agustus 2026.

Pada saat itu dirinya tidak bekerja menggunakan Claude, tetapi indikator konsumsi token pada akun tetap bertambah.

Ia kemudian mencoba melakukan pengujian sederhana.

Seluruh layanan yang terhubung dengan Claude dinonaktifkan, tugas cloud dihentikan dan Claude Code lokal juga tidak dijalankan.

Meski demikian, konsumsi kuota tetap naik.

Dalam salah satu periode pengujian, penggunaan akun disebut meningkat dari sekitar 45 persen menjadi 55 persen tanpa aktivitas yang dilakukan pemilik akun.

Kondisi tersebut mendorong De Swardt menghubungi Anthropic untuk meminta penjelasan lebih lengkap mengenai aktivitas yang menghabiskan kuotanya.

Anthropic kemudian mengakui terdapat aktivitas tidak normal.

Akun berbayar tersebut sempat ditangguhkan, seluruh sesi dan token Claude Code dari sisi server dibatalkan serta sebagian biaya langganan dikembalikan.

Setelah melakukan penyelidikan, Anthropic menemukan sebuah Claude session key yang telah dikompromikan digunakan untuk membuat OAuth token Claude Code tanpa izin.

Dengan token tersebut, pihak lain dapat mengakses akun dan menggunakan jatah komputasi pengguna.

Anthropic mengatakan aktivitas tersebut terlihat seperti akun korban digunakan oleh layanan pihak ketiga yang tidak sah untuk menjalankan pekerjaan bagi pengguna lain.

Namun perusahaan tidak dapat memastikan secara tepat bagaimana session key pertama kali berhasil diperoleh.

Temuan ini penting karena pengguna Claude berbayar mempunyai batas penggunaan tertentu.

Pada paket berkapasitas tinggi seperti Claude Max, token tersebut mempunyai nilai ekonomi nyata karena pelanggan membayar biaya langganan untuk mendapatkan akses komputasi lebih besar.

Jika session key berhasil dicuri, pelaku tidak harus selalu mengetahui password pengguna.

Session atau token autentikasi dapat berfungsi seperti bukti bahwa pengguna sudah berhasil login.

Selama sesi masih dianggap valid oleh server, pihak yang memilikinya dapat menggunakan layanan tanpa harus memasukkan password kembali.

Metode seperti ini sebenarnya bukan hanya menjadi masalah pada layanan AI.

Cookie dan session token sudah lama menjadi target penjahat siber untuk mengambil alih akun email, media sosial maupun berbagai platform cloud.

Namun semakin mahalnya akses terhadap model AI membuat akun layanan seperti Claude mempunyai nilai baru bagi hacker.

Komputasi AI membutuhkan GPU yang mahal.

Pengguna yang mempunyai kuota besar secara tidak langsung mempunyai akses terhadap sumber daya komputasi yang dapat bernilai tinggi.

Dengan mencuri sesi pelanggan, pelaku dapat mencoba menggunakan komputasi tersebut tanpa membayar langganan sendiri.

Setelah De Swardt menceritakan pengalamannya secara online, sejumlah pengguna lain mengaku mengalami gejala serupa.

Ada pengguna yang mengatakan kuota akun meningkat sangat cepat meskipun mereka hampir tidak menggunakan Claude.

Pengguna lain mengklaim penggunaan melonjak dari nol hingga hampir separuh kapasitas hanya dalam beberapa menit.

Anthropic juga telah mengirimkan peringatan keamanan kepada beberapa pelanggan yang terdeteksi mengalami penyalahgunaan akun.

Dalam pemberitahuannya, perusahaan mengatakan menemukan pelaku jahat menggunakan infostealer malware untuk mencuri sesi login Claude dari komputer pengguna.

Infostealer merupakan jenis malware yang dirancang mengumpulkan informasi seperti password tersimpan, cookie browser, session token dan kredensial lainnya.

Malware tersebut dapat masuk ke komputer dari berbagai sumber.

Contohnya software bajakan, aplikasi yang sudah dimodifikasi, file tidak dikenal maupun iklan berbahaya.

Anthropic menekankan malware tersebut bukan berasal dari penggunaan Claude itu sendiri.

Masalahnya berada pada perangkat pengguna yang dapat terinfeksi melalui sumber lain.

Setelah mendeteksi aktivitas mencurigakan, Anthropic dapat mengeluarkan seluruh sesi yang aktif serta membatalkan token otorisasi sebelumnya.

Beberapa pengguna juga mendapatkan pengembalian biaya.

Namun kasus ini menyoroti kelemahan lain.

Pengguna belum mempunyai informasi terperinci mengenai aktivitas apa saja yang mengonsumsi kuota mereka.

De Swardt mengatakan ia ingin melihat rincian penggunaan agar dapat mengetahui perangkat atau aktivitas mana yang menggunakan token.

Saat ini indikator penggunaan lebih banyak memperlihatkan total konsumsi.

Hal tersebut dapat membuat pencurian dalam jumlah kecil lebih sulit diketahui.

Jika seorang hacker menghabiskan token perlahan selama beberapa minggu, pengguna mungkin mengira konsumsi tersebut berasal dari aktivitas normalnya sendiri.

Karena itu pemantauan aktivitas menjadi semakin penting pada layanan AI berbayar.

Pengguna dapat memperhatikan perubahan kuota yang tidak masuk akal.

Apabila penggunaan meningkat ketika akun tidak digunakan, sebaiknya segera keluar dari seluruh sesi, mengganti password dan memeriksa komputer terhadap malware.

Password akun email yang terhubung juga sebaiknya diamankan karena email sering menjadi jalur utama untuk melakukan reset password.

Autentikasi multifaktor dapat menambah lapisan perlindungan, tetapi pencurian session token tetap menjadi ancaman karena token dapat dibuat setelah proses login berhasil.

Itulah sebabnya menjaga perangkat dari infostealer sama pentingnya dengan mempunyai password kuat.

Pengguna juga sebaiknya berhati-hati menginstal aplikasi bajakan, crack, ekstensi browser tidak dikenal maupun software dari situs yang tidak terpercaya.

Program seperti infostealer sering dibuat agar tidak terlihat.

Komputer dapat tetap bekerja normal sementara data login diam-diam dikirim kepada penyerang.

Kasus pencurian token Claude memperlihatkan bagaimana pertumbuhan industri AI menciptakan sasaran baru bagi kejahatan digital.

Dahulu hacker terutama mencari password, kartu kredit atau cryptocurrency.

Kini akses terhadap GPU dan kuota penggunaan model AI juga mempunyai nilai ekonomi.

Semakin mahal layanan kecerdasan buatan, semakin menarik akun pelanggan premium bagi pelaku kejahatan.

Bagi pengguna Claude maupun layanan AI lainnya, memperhatikan konsumsi kuota yang tidak wajar dapat menjadi salah satu tanda awal bahwa akun mungkin sedang digunakan pihak lain.