המייל שהפחיד משתמשים – נוזקה גנבה פרטי התחברות פעילים לקלוד

אם מכסת השימוש שלכם בקלוד התאפסה ולאחר מכן נוצלה במהירות, אף שלא השתמשתם בשירות, ייתכן שלא מדובר בבאג. בסוף אוגוסט 2026 החלה אנתרופיק (Anthropic) לשלוח הודעות למשתמשים שבמחשביהם התגלתה נוזקה. הנוזקה גנבה פרטי התחברות פעילים לקלוד ואפשרה לתוקפים להשתמש בחשבונות ולנצל את מכסות השימוש. הסיסמה לא נגנבה, וגם האימות הדו-שלבי לא מנע את החדירה. במדריך הזה נראה לכם איך לבדוק בתוך שתי דקות אם המחשב שלכם נגוע או שהחשבון נפרץ, איך לנתק סשנים חשודים, מה לכתוב לתמיכה של אנתרופיק אם נגרם לכם נזק כספי ואילו הגדרות עשויות לצמצם את הסיכון מראש. נספר גם על מקרה שאירע לנו באוגוסט, שבו נצרכו ביום אחד כשני שלישים מכלל הצריכה החודשית שלנו.

מה בעצם קרה

ב-30 באוגוסט 2026 דיווח אתר BleepingComputer שאנתרופיק שולחת התראות למשתמשי קלוד שהמחשב שלהם נדבק בנוזקת infostealer, כלומר תוכנה זדונית שתפקידה לגנוב מידע בשקט ולשלוח אותו לתוקף. הנוזקה לא פורצת לשרתים של אנתרופיק ולא מנחשת סיסמאות. היא פשוט מעתיקה את מה ששמור אצלכם מקומית: סיסמאות בדפדפן, עוגיות התחברות ופרטי גישה של אפליקציות אחרות.

אנתרופיק ציינה שש משפחות של נוזקות שזוהו בקמפיין: Vidar, ‏Lumma (המוכרת גם כ-LummaC2), ‏StealC, ‏RedLine ו-Acreed בווינדוס, ו-Atomic Stealer (המוכרת כ-AMOS) במספר קטן של מחשבי מק. אף אחת מהן אינה חדשה או ייחודית. אלה כלים מסחריים שנמכרים ומושכרים בשוק השחור כבר שנים.

החברה הדגישה נקודה שחשוב לחזור עליה: הנוזקה אינה קשורה לקלוד, לא הותקנה דרכו ולא נובעת מפעולה שביצעתם בשירות. היא מגיעה בדרך כלל עם הורדה לא רשמית או אפליקציה זדונית ואוספת מידע רב מהמחשב. הסשן של קלוד היה רק אחד מפרטי המידע שנגנבו. השינוי הפעם הוא שהתוקפים החלו לאתר בין הפרטים האלה דווקא סשנים פעילים של קלוד ולהשתמש בהם.

בתגובה, אנתרופיק ניתקה סשנים שזוהו כפרוצים, הסירה כרטיסי אשראי שנשמרו בחשבונות שנפגעו והחזירה חיובים שזוהו כלא מורשים. עם זאת, החברה הבהירה שניתוק הסשן הגנוב אינו מסיר את הנוזקה מהמחשב. אם הנוזקה עדיין קיימת במחשב, היא עלולה לגנוב גם את פרטי הסשן הבא שייווצר.

למה אימות דו-שלבי לא עזר כאן

זו נקודה שרבים מפספסים, ולכן כדאי להתעכב עליה לרגע.

חשבו על סיסמה כמו על תעודת זהות שמציגים בכניסה לאירוע. הבודק מסתכל, משווה ומחליט אם להכניס אתכם. אימות דו-שלבי מוסיף בדיקה נוספת באותו רגע: מלבד התעודה, צריך להציג גם קוד מהטלפון. לאחר שנכנסתם כבר לא מבקשים מכם להזדהות שוב, ובמקום זאת אתם מקבלים צמיד כניסה. כל עוד הצמיד ברשותכם, אתם יכולים להיכנס ולצאת.

עוגיית סשן ממלאת תפקיד דומה לצמיד הזה: היא מוכיחה שכבר עברתם את תהליך ההזדהות. כאשר נוזקה מעתיקה אותה מהדפדפן ושולחת אותה לתוקף, הוא עשוי להיכנס לחשבון בלי להזין את הסיסמה או את הקוד מהטלפון. לכן אימות דו-שלבי לבדו אינו מגן מפני גניבה של סשן פעיל. הפעולות החשובות במקרה כזה הן ניתוק הסשן ומחיקת העוגייה, ולא רק החלפת הסיסמה.

קלוד, קלוד קוד והקונסולה הם שלושה מקומות שונים

לפני שנעבור לצעדים עצמם, חשוב להבהיר בלבול שגורם למשתמשים רבים לחפש במקום הלא נכון. השם "קלוד" מתייחס לכמה מוצרים נפרדים, ולכל אחד מהם ממשק, מודל תמחור ומסכים שונים.

קלוד (Claude) הוא הצ'אט המוכר, הזמין ב-claude.ai או באפליקציית המחשב. שם מנוהלים החשבון, הסשנים הפעילים ומכסת המנוי. רוב הפעולות המתוארות במדריך הזה מתבצעות בממשק זה.

קלוד קוד (Claude Code) הוא כלי שורת פקודה למפתחים. הוא פועל בטרמינל ולא בדפדפן, מחובר לאותו חשבון ומשתמש באותה מכסת שימוש. הפקודה /usage מציגה את אותו מידע שמופיע במסך הצריכה בממשק, אך מאפשרת להגיע אליו מהר יותר. בהקשר של המדריך הזה, קלוד קוד משמש דרך מהירה לזהות חריגה ולא המקום שבו מנתקים סשנים.

הפקודה usage/ בקלוד קוד פותחת את מסך הצריכה בלי לצאת מהטרמינל

Claude Console הוא ממשק נפרד לחלוטין, הזמין בכתובת platform.claude.com ומיועד למשתמשי ה-API. שם מנהלים מפתחות, צופים בצריכת טוקנים מפולחת ומשלמים לפי שימוש. חשוב להבין שמנוי Pro או Max אינו מכסה את השימוש בקונסולה. מדובר בשני מסלולי חיוב נפרדים, ולכן צריך לבצע שתי בדיקות שונות. שימוש בעוגיית סשן גנובה יתבטא בקלוד, ואילו שימוש במפתח API גנוב יופיע בקונסולה.

המדריכים תמיד חינמיים, אבל אם בא לכם להתמקצע - יש גם קורס מטמיעי AI

לפרטים נוספים לחצו כאן >>

לפני שמתחילים

המדריך הזה מתייחס לחשבון קלוד, אבל בדיקה דומה רלוונטית לכל שירות AI בתשלום שבו אתם משתמשים. הנוזקה אינה מבחינה בין קלוד, ChatGPT ושירותים כמו Gemini, ועלולה לאסוף עוגיות התחברות שונות מהדפדפן. אם מצאתם פעילות חריגה בקלוד, מומלץ לבדוק גם את השירותים האחרים.

לצורך הבדיקה תזדקקו לגישה לחשבון קלוד ב-claude.ai או באפליקציית המחשב. אם אתם עובדים גם עם ה-API, תזדקקו לגישה לקונסולה. הבדיקה הבסיסית נמשכת כשתי דקות. הטיפול המלא אורך זמן רב יותר, בעיקר בגלל סריקת המחשב.

שישה צעדים לבדיקה ולניקוי

1. בודקים את נתוני השימוש: נכנסים להגדרות ובוחרים ב-Usage. שם אפשר לראות את המכסה של הסשן הנוכחי, את המגבלות השבועיות ואת הפילוח לפי מודל. המטרה אינה לזהות בהכרח צריכה גבוהה, אלא צריכה שאינה תואמת את דפוס השימוש הרגיל שלכם: מכסה שנוצלה בשעות שבהן לא השתמשתם במחשב, או מכסה שבועית שנגמרה מוקדם ללא סיבה ברורה.

מסך Usage מציג כמה מהמכסה נצרכה ומתי היא מתאפסת

2. פותחים את רשימת הסשנים הפעילים: בהגדרות בוחרים ב-Account ולא ב-Privacy. זו טעות נפוצה, משום שמסך Privacy נראה כמו המקום המתאים לנושאי אבטחה, אך למעשה הוא מרכז את הגדרות הנתונים: מה נשמר, מה מיוצא ומה עשוי לשמש לאימון. ניהול הסשנים נמצא תחת Account. במסך זה מופיעים שני חלקים: בחלק העליון Trusted devices, המציג את המכשירים שיכולים לשלוט במחשב שלכם באמצעות סשנים מרוחקים; ומתחתיו Active sessions, שבו נתמקד.

מסך Privacy מרכז את הגדרות הנתונים, אבל ניהול הסשנים נמצא דווקא תחת Account

3. מזהים פעילות חריגה: הטבלה מציגה לכל סשן את סוג המכשיר, את המיקום, את מועד היצירה ואת מועד העדכון האחרון. הסשן שבו אתם משתמשים כעת מסומן בתגית Current. עברו על הרשימה וחפשו שלושה דברים. ראשית, מיקום שאינכם מכירים. אם כל הרשומות שלכם מצביעות על ערים בישראל ופתאום מופיעה שורה ממדינה אחרת, זו נורת אזהרה. שנית, חפשו מכשיר או דפדפן שאינם שלכם. שלישית, חפשו סשנים ישנים שקל לשכוח מקיומם: מחשב שהחלפתם, דפדפן שבו השתמשתם באופן חד-פעמי או מכשיר שכבר אינו בשימוש. כל אחד מהמכשירים האלה עשוי להחזיק סשן פעיל באמצעות עוגיית התחברות שעדיין תקפה, וזה בדיוק סוג המידע שעלול להיגנב.

רשימת הסשנים הפעילים מציגה מכשיר, מיקום ותאריכים לכל התחברות

4. מנתקים סשנים חשודים: לוחצים על שלוש הנקודות בקצה השורה ובוחרים Terminate. נפתחת תיבת אישור שמסבירה כי המכשיר יאבד את הגישה לחשבון, ולוחצים שוב על Terminate. אם אינכם בטוחים לגבי שורה מסוימת, מומלץ לנתק אותה. לכל היותר תצטרכו להתחבר מחדש מאותו מכשיר, וזו אי-נוחות קטנה ביחס לסיכון.

מתפריט שלוש הנקודות בכל שורה אפשר לנתק סשן

קלוד מבקש אישור לפני ניתוק סשן

5. מוחקים את העוגיות בדפדפן: ניתוק הסשן בצד של קלוד חשוב, אך אם עוגיית ההתחברות עדיין שמורה בדפדפן, כדאי למחוק גם אותה. בכרום לוחצים על האייקון שמשמאל לכתובת האתר ונכנסים לקובצי Cookie ונתונים מאתרים.

מהאייקון שמשמאל לכתובת האתר נכנסים לקובצי ה-Cookie של הדומיין

משם עוברים לניהול נתונים מאתרים במכשיר. במסך זה מופיעים כל הדומיינים ששמרו מידע במכשיר, ואפשר למחוק כל אחד מהם בנפרד בלי להשפיע על האחרים.

חלונית קובצי Cookie ונתונים מאתרים בכרום עם קישור לניהול נתונים מאתרים במכשיר

מוחקים את הרשומות של claude.ai ושל a.claude.ai ולוחצים על בוצע. בעקבות המחיקה תתנתקו מהחשבון, ולאחר מכן תוכלו להתחבר מחדש וליצור סשן נקי.

מוחקים את הרשומות של claude.ai ושל a.claude.ai ולוחצים על בוצע

6. מבצעים סריקה מלאה של המחשב: זהו אחד הצעדים החשובים ביותר, גם אם הוא דורש זמן. בווינדוס פותחים את אבטחת Windows, נכנסים להגנה מפני וירוסים ואיומים, לוחצים על אפשרויות סריקה תחת איומים נוכחיים, בוחרים סריקה מלאה ומפעילים אותה. שימו לב: סריקה מהירה אינה מספיקה במקרה הזה. היא בודקת את המקומות שבהם נוזקות מסתתרות בדרך כלל ומסתיימת בתוך דקות, ואילו סריקה מלאה עוברת על כלל הקבצים והתהליכים ולכן נמשכת זמן רב יותר. באותו מסך קיימת גם אפשרות לסריקת Microsoft Defender במצב לא מקוון, שפועלת לפני שווינדוס נטען ודורשת הפעלה מחדש. היא אינה תחליף לסריקה מלאה אלא פעולה משלימה, ומומלץ להריץ אותה אם הסריקה המלאה מצאה ממצא חשוד.

אבטחת Windows בזמן סריקה. לבדיקה אחרי חשד לנוזקה צריך סריקה מלאה ולא מהירה

מי שעובד עם מפתחות API צריך צעד נוסף

אם יש לכם מפתחות API, החלפת הסיסמה לחשבון אינה מבטלת אותם. מפתח API הוא מחרוזת שמאפשרת למערכת להזדהות מול השרת, וכל מי שמחזיק בו עשוי לשלוח בקשות על חשבונכם בלי להזין סיסמה או לעבור אימות דו-שלבי. המפתח גם אינו פג תוקף מעצמו, אלא אם הוגדר לו מועד תפוגה.

הפעולה הנדרשת היא החלפה יזומה של המפתח, המכונה גם רוטציית מפתחות. התהליך פשוט: יוצרים מפתח חדש, מטמיעים אותו בכל מקום שבו נעשה שימוש במפתח הישן, מוודאים שהכול פועל ורק לאחר מכן מוחקים את המפתח הישן. הסדר הזה חשוב, משום שמחיקה מוקדמת עלולה להשבית אוטומציות ומערכות שמשתמשות במפתח. בממשק הקונסולה נכנסים ל-API keys, לוחצים על שלוש הנקודות ליד המפתח ובוחרים Disable API key כדי לנטרל אותו זמנית, או Delete API key כדי למחוק אותו לצמיתות. זו גם ההנחיה שמופיעה במסמך התמיכה הרשמי של אנתרופיק בנושא.

מתפריט שלוש הנקודות אפשר לנטרל מפתח או למחוק אותו לצמיתות

מומלץ לבדוק גם את עמודת Expires ברשימת המפתחות. אם היא ריקה בכל השורות, כפי שהיה אצלנו, המשמעות היא שכל מפתח שנוצר בעבר עדיין תקף. מפתח שנוצר לפני שנה והוטמע בפרויקט שנזנח עשוי להמשיך לפעול גם לאחר שנשכח. עברו על הרשימה ומחקו כל מפתח שאינכם מזהים בוודאות. כאשר אתם יוצרים מפתח חדש, שמרו אותו במערכת לניהול סודות ולא בתוך הקוד או במאגר גרסאות.

איך פונים לאנתרופיק ומה כותבים להם

אין טופס ייעודי לדיווח על שימוש לא מורשה. הפנייה נעשית באמצעות מערכת ההודעות של התמיכה, והדרך להגיע אליה תלויה בסוג הבעיה.

• לבעיה בחשבון קלוד עצמו: נכנסים ל-claude.ai, לוחצים על השם או ראשי התיבות בפינה השמאלית התחתונה, ובוחרים Get help.
• לבעיה במפתחות API או בקונסולה: נכנסים ל-platform.claude.com ופועלים באותו אופן. חלון התמיכה ייפתח בפינה הימנית התחתונה.

בשני המקרים השיחה מתחילה מול Fin, בוט התמיכה של החברה. לוחצים על Send us a message, מאשרים, ובוחרים את סוג הבעיה מהרשימה. אם הנושא דורש בדיקה אנושית, Fin מעביר את הפנייה לצוות התמיכה, והתשובה מגיעה באותו שרשור וגם למייל שרשום בחשבון.

כדי לחסוך סבב שאלות מיותר, כדאי לכלול כבר בהודעה הראשונה את התאריכים והשעות המדויקים של הפעילות החריגה, צילום מסך של גרף הצריכה או של רשימת הסשנים, ארבעת התווים האחרונים של המפתח החשוד או את שם המכשיר, וכן פירוט של הפעולות שכבר ביצעתם. הנה נוסח באנגלית שאפשר להתאים:

Subject: Unauthorized API usage on my account
I identified unauthorized usage on my account on [DATE]. My Console usage graph shows [NUMBER] tokens consumed in a single day, which is far outside my normal pattern. I did not generate this traffic. The key involved ends in [LAST 4 CHARACTERS]. I have already deleted the compromised key, created a new one, and scanned my machine. I am requesting a review of the charges from that period and a refund of any usage identified as unauthorized. Screenshots of the usage graph are attached.

יש שלושה דברים שכדאי לדעת על התהליך. ראשית, התמיכה פועלת באופן אסינכרוני, ולכן אפשר לסגור את החלון בלי להחמיץ את התשובה. שנית, מומלץ שלא לפתוח פנייה נוספת באותו נושא, משום שהכפילות עלולה לעכב את הטיפול. אם לא קיבלתם מענה, השיבו בתוך השרשור הקיים. שלישית, הגישה לתמיכה אנושית שמורה למנויי Pro ו-Max, לבעלי תוכניות Team ו-Enterprise ולאדמינים בקונסולה. משתמשים אחרים מקבלים מענה מהבוט בלבד, ואם נדרשת הסלמה, בעל החשבון יצטרך לפנות בשמם.

באשר להחזר, כדאי לשמור על ציפיות מציאותיות. תנאי השימוש של אנתרופיק קובעים שתשלומים אינם ניתנים להחזר, למעט מקרים שמוגדרים במפורש בתנאים או כאשר החוק מחייב אחרת. בסופו של יום, ההחזר ניתן לפי שיקול דעתה של אנתרופיק ואינו זכות המובטחת בתנאי השירות. אם החיוב בוצע בכרטיס אשראי והפנייה לאנתרופיק לא הובילה לפתרון, אפשר לשקול גם פנייה לחברת האשראי לביטול החיוב. עם זאת, מומלץ לשמור אפשרות זו לשלב האחרון ולא להתחיל בה.

ארבע הגדרות שמקטינות את הנזק מראש

הצעדים שלמעלה נועדו לטיפול לאחר האירוע. ההגדרות הבאות נועדו למניעה, וכל אחת מהן דורשת פחות מדקה.

תקרת הוצאה חודשית: בהגדרות, תחת Usage, מופיעה האפשרות Adjust limit, שפותחת מסך בשם Set monthly spend limit. במסך הזה מגדירים את סכום ההוצאה החודשי המרבי על קרדיטים, וההגדרה נכנסת לתוקף מיד. קיימת גם האפשרות Set to unlimited, אך מומלץ להימנע ממנה. תקרה נמוכה עשויה להיות ההבדל בין הפסד של עשרות דולרים להפסד של מאות.

תקרת ההוצאה החודשית נכנסת לתוקף מיד אחרי השמירה

טעינה אוטומטית: זהו המנגנון שעלול להפוך ניצול של מכסת השימוש לחיוב כספי ממשי. במסך Adjust auto-reload מגדירים סף ("כשהקרדיטים יורדים ל") וסכום טעינה ("טען עד"). אם הטעינה האוטומטית פעילה וסשן גנוב מרוקן את היתרה, המערכת רוכשת אוטומטית קרדיטים נוספים. התהליך עלול להימשך עד להגעה לתקרה החודשית. אם אינכם זקוקים לטעינה האוטומטית, אפשר לכבות אותה באמצעות הכפתור Turn off.

הטעינה האוטומטית קונה קרדיטים לבד כשהיתרה יורדת מתחת לסף שהגדרתם

שתי ההגדרות האלה מרוכזות באותו פאנל, ומומלץ לבחון אותו כמכלול: התקרה החודשית, היתרה הנוכחית והטעינה האוטומטית. השילוב ביניהן קובע מהו הסכום המרבי שעלול להיגבות לפני שתבחינו בפעילות החריגה.

פאנל הקרדיטים מרכז את התקרה החודשית, היתרה והטעינה האוטומטית

ניקוי תקופתי של סשנים: פעם בחודש היכנסו ל-Active sessions ונתקו כל סשן שאינו בשימוש. סשן שלא עודכן במשך שבועות מגדיל את הסיכון ללא תועלת ממשית.

אמצעי תשלום שמור: תחת Billing אפשר לראות את הכרטיס השמור, את היתרה ואת החשבוניות. אנתרופיק הסירה אמצעי תשלום מחשבונות שנפגעו בקמפיין, והפעולה הזו ממחישה את הסיכון שבהשארת כרטיס פעיל. אם אינכם זקוקים לחיוב אוטומטי, שקלו שלא להשאיר כרטיס שמור בשירות שמאפשר צריכה אוטומטית של קרדיטים. מומלץ גם לעבור מדי פעם על רשימת החשבוניות, משום שחיוב חריג עשוי להופיע שם לפני שתבחינו בו בדף פירוט האשראי.

מסך Billing מציג את הכרטיס השמור, היתרה והחשבוניות

המדריכים תמיד חינמיים, אבל אם בא לכם להתמקצע - יש גם קורס אוטומציות עם AI ובניית בוטים וסוכנים

לפרטים נוספים לחצו כאן >>

שלוש אזהרות שחשוב להכיר

סריקה שלא מצאה איומים אינה מוכיחה שהמחשב נקי. חלק מנוזקות ה-infostealer מוחקות את עצמן לאחר שהעבירו את המידע שנאסף. לכן חשוב להחליף סיסמאות, לנתק סשנים ולהחליף מפתחות API, בין שהסריקה מצאה איום ובין שלא.

אם מותקנת במחשב תוכנת אנטי-וירוס אחרת, ‏Defender עשוי לפעול במצב פסיבי והמסכים עשויים להיראות אחרת מהמתואר במדריך. במקרה כזה הפעילו סריקה מלאה באמצעות תוכנת האבטחה המותקנת במחשב.

הנוזקה עלולה לגנוב מידע משירותים נוספים, ולא רק מקלוד. אם מצאתם עדות לחדירה, אל תסתפקו בבדיקה של שירות אחד. החליפו סיסמאות בכל שירות שאליו התחברתם מאותו מחשב, נתקו סשנים פעילים בכל שירות שמאפשר זאת ובדקו את השימוש בחשבונות AI אחרים שברשותכם. מומלץ להניח שכל מידע רגיש שנשמר בדפדפן עלול היה להיחשף.

בדיקה של שתי דקות שחשוב לא לדחות

אנחנו נוטים לחשוב על אבטחת כלי AI במונחים של המידע שהמודל יודע עלינו ושל הנתונים שהעלינו אליו. האירוע הזה מזכיר שהחוליה החלשה עשויה להימצא במקום פשוט הרבה יותר: מחשב שנדבק בנוזקה ועוגיית התחברות שנשמרה בדפדפן. תוקף אינו חייב לפרוץ לשרת כדי להשתלט על סשן פעיל ולנצל את מכסת השימוש.

מומלץ לבצע את הבדיקה כבר עכשיו. פתחו את ההגדרות, היכנסו ל-Account ועברו על רשימת הסשנים הפעילים. אם כל הרשומות מוכרות לכם, השלמתם את הבדיקה בתוך שתי דקות. אם מופיע סשן שאינכם מזהים, כעת אתם יודעים אילו פעולות לבצע.

רוצים להעמיק בצד האבטחתי של עבודה עם סוכני AI? קראו גם על החידוש שהפך לסכנת אבטחה שלא צפינו, על הכלי שמנסה להפוך בדיקת אבטחה לתיקון חולשות בעזרת AI, ועל מה שחשוב לדעת לפני שמורידים דפדפן AI.