Anthropic、インフォスティーラーが有料Claudeアカウントの利用枠を食い潰していると警告

Anthropicは、Claudeの有料契約者に対して警告メールの送信を始めた。利用者自身のパソコンで動いていたインフォスティーラー型マルウェアが有効なClaudeのログインセッションを抜き取り、攻撃者がパスワードにも二要素認証にも一切触れないままサインインして、有料の利用枠を使い切っていたという。同社は該当ユーザーを強制的にサインアウトさせ、認可を無効化し、保存済みの支払い方法を削除したうえで、不正と判断した請求を返金している。

要点

• AnthropicはClaudeのセッションを収集したマルウェアとして、Windows上のVidar、LummaC2、StealC、RedLine、Acreedに加え、少数のMacで確認されたAtomic Stealerを挙げた。
• 盗まれたセッションクッキーは認証済みの状態そのものであり、攻撃者は多要素認証を完全に迂回する。
• Claudeのアカウント機能は合計利用量しか把握できず、項目別の内訳を出せないため、盗用が何週間も見つからないまま続きうる。

あるコンサルタントが流出に気づくまで

8月4日、英イーストサセックスで活動する独立系AIコンサルタントのGrant De Swardt氏は、仕事をしていない日にClaude Max 20xの利用枠が増えていることに気づいた。翌日はアカウントに接続されたものをすべて切り離すことに費やしたが、予約実行もクラウド実行も自身のローカルセッションもない状態で、消費が45%から55%へ上がるのを見ていたとTechCrunchに語った。

項目別の内訳を求めたところ、Anthropicは提示できなかったものの、何かがおかしいという認識では一致した。同社は月額200ドルの同氏のアカウントを停止し、すべてのセッションとサーバー側のClaude Code認証情報を無効化したうえで、未使用期間分の44.49ポンドを返金した。その後Anthropicは、盗まれたセッションキーが不正なClaude CodeのOAuthトークン発行に使われており、特定できない外部サービスを通じて他者の処理をこのアカウントが担っていた形跡があると同氏に伝えた。

停止措置で同氏は2週間分の仕事を失った。De Swardt氏は中小企業向けのエージェントワークフローを構築している。たとえばメールから発注データを取り出して会計ソフトへ流し込むといった仕組みだ。自身の事務作業やデザイン、コーディングも同じツールでこなす。契約者のトークンが何に消えているのかをAnthropicが一切見せない以上、自衛のしようがないとして、同氏はClaudeを解約し、複数モデルを選べるCursorへ乗り換えた。

Anthropicが利用者に伝えた内容

受信者がRedditで共有した警告メールによると、同社は攻撃者が一般的なインフォスティーラーで利用者のパソコンからClaudeのログインセッションを盗み、それを使ってアカウントの利用量を消費していることを把握したという。Anthropicは決定的な兆候も明示した。契約者がClaudeを使っていないのに、上限が回復してはまた減っていく現象である。

感染経路が自社製品とは無関係である点を、同社は強い調子で説明している。このマルウェアがClaudeに関係している、Claude経由で入った、あるいは利用者がClaudeで行った操作とつながっていると考える理由はない、という立場だ。インフォスティーラーは通常、違法ダウンロードや悪意あるアプリを通じて侵入し、ブラウザのパスワードやクッキー、無関係なサービスの認証情報まで、ローカルに保存されたものを片端から吸い上げる。メールを受け取ったRedditの利用者の一人は、海賊版ゲームを入れていたと認めた。BleepingComputerの報道によれば、Anthropicは強制サインアウトが盗まれたセッションを断つだけでマルウェアそのものは残るため、次のログインも同じ危険にさらされると警告した。

契約者が盗用に気づきにくい理由

アカウントのサポート機能がリクエスト単位ではなく合計消費量しか追えないため、契約者は自分のエージェント実行と他人の実行を見分けられない。この空白が、ありふれた認証情報の窃取を課金の問題へと変えた。RedditやGitHubには、プロンプトを数回投げただけで12分のうちに利用枠が0%から49%へ跳ね上がった、三日間触っていないのにトークンが上限まで燃えた、頼んでもいない自動アップグレードがカードに請求された、といった報告が並ぶ。

De Swardt氏はAnthropicの警告メールを受け取っておらず、自分の端末が侵害された証拠も見つからなかったという。少なくともこの一件では、侵入口が説明されないままだ。Anthropicは、利用者が不正利用をどう見分ければよいかという問いへの回答を拒んだ。

今後の見通し

現実的な防御策は地味だ。マルウェアを駆除し、認証情報を入れ替え、ほかのセッションをすべて失効させ、ブラウザのクッキーを便利機能ではなく生きた鍵として扱う。より大きな問題は、サブスクリプション型AIではセッショントークンが実際の金銭的価値を持つようになったのに、事業者側が他の従量課金サービスなら当然備えている利用状況の追跡機能を用意してこなかったことにある。ClaudeとCoworkをつなぐ共有メモリ層のように、Anthropicがアカウント機能の統合を進めるほど、乗っ取られたセッションが届く範囲の重みも増していく。

FAQ

Claude自体がハッキングされたのか

いいえ。Anthropicは、ローカルに保存されたクッキーや認証情報を収集する汎用のインフォスティーラーによって、利用者自身のパソコン上で窃取が起きたと説明している。同社は、このマルウェアがClaudeに関係している、あるいはClaude経由で導入されたと考える理由はないとしている。

自分のClaudeセッションが盗まれたかどうかは、どう判断するのか

最もはっきりした兆候は、作業していないのに利用枠が回復してはまた減っていくことだ。Anthropicも警告メールでこのパターンを名指しした。アカウント画面は項目別ではなく合計利用量しか示さないため、使っていない日の説明のつかない消費が、現状ほぼ唯一の手がかりになる。

多要素認証でこの攻撃は防げるのか

防げない。盗まれたセッションクッキーはログインを終えたアカウントの状態そのものであり、攻撃者はパスワードやMFAの入力画面に一度も行き当たらない。有効な対応は有効なセッションをすべて失効させ、マルウェアを駆除することであって、MFAを有効にするだけでは足りない。