Hackers difunden la filtración de Claude Code y esconden malware en los archivos

La filtración de datos de Claude Code se ha convertido en una herramienta para los ciberdelincuentes. Los hackers distribuyen de forma masiva archivos que supuestamente contienen material filtrado de Anthropic, pero las víctimas reciben con ellos malware oculto. El ataque va dirigido a usuarios que buscan acceso a contenido prohibido y están dispuestos a asumir riesgos para conseguirlo.

El esquema sigue el principio clásico del cebo digital. Los archivos llevan nombres que sugieren contenido exclusivo, como una filtración de Anthropic, datos internos de Claude Code o código fuente de productos de la compañía, y se difunden a través de foros, canales de Telegram, servidores de Discord y torrents. Además de archivos reales o fabricados, contienen un infostealer o un descargador de malware adicional.

Una vez ejecutado, el malware recopila datos de navegadores, monederos de criptomonedas y aplicaciones de mensajería: todo lo que pueda servir para robar cuentas o venderse en el mercado negro. El ataque explota tanto la curiosidad de los usuarios como su deseo de saltarse las restricciones. Quienes buscan datos filtrados de productos comerciales de IA a menudo descuidan las precauciones básicas: no verifican la fuente, no ejecutan los archivos en un entorno aislado y no analizan el contenido antes de abrirlo.

Eso los convierte en un público especialmente vulnerable. Los investigadores señalan que este tipo de esquemas se reactivan cada vez que sale a la luz una filtración sonada, sea real o ficticia. Pero los ataques de esta semana no se limitaron a Claude Code.

El FBI ha alertado de una grave amenaza para la seguridad nacional: unos atacantes han comprometido herramientas de interceptación legal de comunicaciones telefónicas, los llamados sistemas de wiretap. Los servicios de inteligencia y las fuerzas de seguridad de Estados Unidos los utilizan para llevar a cabo investigaciones autorizadas. Acceder a ellos permite tanto obtener información secreta sobre operaciones en curso como identificar fuentes confidenciales.

El FBI no ha revelado detalles de la intrusión, aunque ha subrayado que la amenaza es de carácter sistémico. Al mismo tiempo, se ha conocido una intrusión en Cisco dentro de una amplia campaña de ataques a la cadena de suministro. Los atacantes robaron fragmentos del código fuente de la compañía, un botín de gran valor: el código fuente permite buscar vulnerabilidades de día cero que después pueden explotarse en ataques dirigidos contra infraestructuras corporativas de todo el mundo.

Los ataques a la cadena de suministro siguen siendo una de las tendencias más peligrosas en ciberseguridad: un solo proveedor comprometido abre la puerta a miles de organizaciones que confían en sus productos. Los tres incidentes comparten un mismo patrón: los atacantes explotan la confianza, ya sea en las marcas, en las herramientas legítimas o en las cadenas de socios. Cuando un usuario descarga un archivo con una filtración, confía en su curiosidad.

Cuando un sistema de wiretap recibe una solicitud, confía en la autorización. Cuando una empresa usa el software de un proveedor, confía en la cadena de suministro. Los atacantes localizan y explotan metódicamente cada uno de estos eslabones.

Para el usuario medio, la conclusión es clara: cualquier archivo con contenido exclusivo o filtrado procedente de fuentes no oficiales debe considerarse potencialmente malicioso, por muy convincente que parezca la descripción. Los infostealers ocultos en estos archivos comprometen tanto el dispositivo infectado como todos los servicios cuyas contraseñas se guardan en el navegador. Si algo parece una exclusiva prohibida, lo más probable es que sea una trampa.