Poison Claude: O Golpe de IA que Explora sua Confiança

No submundo digital, a ganância e a pressa são as melhores amigas dos criminosos. A mais recente prova disso é o serviço apelidado de Poison Claude, que promete acesso ao modelo de IA Claude, da Anthropic, por uma fração do preço oficial. Parece um sonho para desenvolvedores e entusiastas, mas a realidade é um pesadelo de fraude e exploração. Como revelado no episódio 480 do podcast Smashing Security, a oferta é uma armadilha que já atraiu cerca de 900 vítimas. E o pior? O golpe não se limita a desviar alguns trocados: ele pode comprometer sua infraestrutura, seus dados e sua identidade digital.

O que é o Poison Claude e como ele funciona?

O Poison Claude se apresenta como um serviço que oferece acesso ao Claude por apenas 5% a 15% do custo normal. Para usar, o cliente paga em criptomoedas e redireciona suas ferramentas para um servidor controlado pelos golpistas. A mágica por trás do preço baixo? Eles exploram os créditos gratuitos da Amazon Web Services (AWS). A AWS oferece até US$ 200 em créditos para novos clientes do Amazon Bedrock, plataforma que hospeda os modelos da Anthropic. Os fraudadores criam centenas de contas falsas na AWS, acumulam os créditos e os utilizam para processar as solicitações de seus clientes pagantes.

É uma fraude em camadas: os golpistas roubam da Amazon, enganam seus clientes e ainda expõem todos a riscos legais e de segurança. Quem utiliza o Poison Claude está, conscientemente ou não, participando de um esquema criminoso. E as consequências podem ir muito além de uma conta suspensa: seus prompts, dados e chaves de API podem ser interceptados, registrados e vendidos no mercado negro.

O novo phishing que dispensa senha e site falso

Enquanto o Poison Claude explora a ganância, outra ameaça revelada no mesmo episódio ataca a confiança. A plataforma de phishing-as-a-service chamada Greatness desenvolveu um ataque que não precisa de site falso, URL suspeita ou até mesmo da sua senha. O golpe usa a própria página de login da Microsoft, legítima, e um momento de distração para roubar acesso total à sua conta.

O ataque funciona assim: a vítima recebe um e-mail ou mensagem convincente, que a leva a um fluxo de autenticação real da Microsoft. Mas, em algum ponto, o criminoso solicita permissões de aplicativo — como acesso a e-mails, arquivos e contatos — disfarçadas de uma necessidade legítima. Se a vítima clica em "Aceitar" sem ler, o atacante ganha um token de acesso permanente, sem nunca precisar da senha. É o chamado consent phishing, uma evolução silenciosa e devastadora.

O pior? Esse tipo de ataque é oferecido como um serviço, com painel de controle, modelos prontos e suporte técnico. Qualquer criminoso com poucos recursos pode lançar campanhas em massa. E a responsabilidade, como sempre, recai sobre o usuário — que é culpado por "não ter lido as permissões". Mas será que as empresas estão fazendo sua parte?

Celular roubado: a porta de entrada esquecida

Se você acha que esses golpes são distantes, pense no seu bolso. O celular roubado ou furtado é um vetor de ataque que muitos ignoram até ser tarde demais. Com um smartphone desbloqueado, um criminoso pode acessar seus aplicativos, e-mails e, pior, seus aplicativos de autenticação. E é aí que o Poison Claude e o phishing sem senha se encontram: ambos dependem de credenciais ou tokens que podem ser obtidos a partir de um dispositivo comprometido.

Imagine a cena: você tem seu celular furtado em um bar. O ladrão, antes de você bloquear o aparelho, consegue abrir seu aplicativo de e-mail. Lá, encontra mensagens de serviços de IA, notificações de login e, talvez, até um e-mail do "Poison Claude" com instruções de configuração. Em minutos, ele pode acessar suas contas, redefinir senhas e assumir o controle da sua identidade digital. O prejuízo financeiro é só o começo: a exposição de dados pessoais e profissionais pode ser irreversível.

Como se proteger de golpes de IA e phishing sem senha

Não existe solução mágica, mas a prevenção começa com desconfiança e boas práticas:

• Desconfie de ofertas boas demais: 90% de desconto em um serviço de IA legítimo? Isso é um sinal vermelho gritante. Serviços oficiais não vendem acesso por terceiros com preços tão baixos.
• Revise permissões de aplicativos: Antes de clicar em "Aceitar" em qualquer tela de login, leia atentamente o que o aplicativo está solicitando. Se pedir acesso a e-mails ou arquivos sem necessidade, negue.
• Use autenticação multifator (MFA): Mas não confie apenas em SMS. Prefira aplicativos autenticadores ou chaves de segurança físicas. Eles dificultam o acesso mesmo se a senha for comprometida.
• Proteja seu celular: Ative o bloqueio de tela com senha forte ou biometria, configure o "Encontrar meu dispositivo" e faça backups regulares. Em caso de roubo, bloqueie o IMEI imediatamente.
• Monitore seus dados: Use serviços de monitoramento de vazamentos para saber se suas credenciais já circulam na dark web. Quanto antes você souber, mais rápido pode agir.

A responsabilidade é de quem?

É fácil culpar o usuário por cair em golpes, mas a verdade é que as empresas de tecnologia têm falhado em proteger seus clientes. A Amazon, por exemplo, poderia detectar padrões de criação de contas fraudulentas com mais rigor. A Microsoft poderia tornar as telas de consentimento de aplicativos mais claras e assustadoras o suficiente para que ninguém clique sem pensar. E a Anthropic, por sua vez, poderia alertar sobre serviços não oficiais que usam seu nome.

Enquanto isso não acontece, a vítima fica sozinha. E é aí que a Kzarka entra. Nossa plataforma monitora vazamentos de dados e roubo de identidade digital, alertando você quando suas informações aparecem em lugares indevidos. Não podemos impedir que criminosos criem golpes como o Poison Claude, mas podemos garantir que você não seja pego de surpresa.

FAQ: Perguntas frequentes sobre Poison Claude e phishing sem senha

O que é exatamente o Poison Claude?

É um serviço fraudulento que oferece acesso ao modelo de IA Claude por até 90% de desconto, usando créditos roubados da AWS. Ele é operado por criminosos e representa riscos legais e de segurança para quem o utiliza.

Como o phishing sem senha funciona?

O ataque usa a página de login legítima da Microsoft para induzir a vítima a conceder permissões de aplicativo. Uma vez aceitas, o criminoso ganha um token de acesso permanente, sem precisar da senha.

Quais são os riscos de usar o Poison Claude?

Além de participar de uma fraude, você expõe seus prompts, dados e chaves de API. Os operadores podem registrar tudo e vender essas informações, ou até mesmo usar sua infraestrutura para atividades ilegais.

Como posso saber se fui vítima de consent phishing?

Revise regularmente os aplicativos e permissões conectados à sua conta Microsoft. Se encontrar algo suspeito, revogue o acesso imediatamente e altere sua senha.

O que fazer se meu celular for roubado?

Bloqueie o IMEI com sua operadora, use o "Encontrar meu dispositivo" para localizar ou apagar o aparelho remotamente, e altere as senhas de todas as contas importantes. Considere também ativar o monitoramento de identidade na Kzarka.

A Kzarka pode me proteger contra esses golpes?

A Kzarka monitora vazamentos de dados e roubo de identidade, alertando se suas informações aparecerem em locais indevidos. Isso ajuda a mitigar os danos de golpes como o Poison Claude, mas a prevenção primária depende de boas práticas de segurança.

Não seja a próxima vítima. Verifique agora se seus dados vazaram na Kzarka e assuma o controle da sua identidade digital.