Anthropicは、コンピューターにインストールされた情報窃取マルウェアがアクティブなログインセッションを盗み、それらを使って所有者に知られないままアカウントへアクセスし、使用枠を消費していた可能性があるとして、一部のClaudeユーザーに警告しました。同社は影響を受けたユーザーに通知を送り、侵害されたアカウントをログアウトさせ、保存された支払い方法を削除し、不正と判断した請求を返金していると説明しました。
Anthropicは調査がまだ続いているとしつつ、事例を、通常は悪意のあるダウンロードやアプリケーションを通じて端末に感染する一般的な情報窃取マルウェアと結び付けました。同社が特定したマルウェアには、Windows向けのVidar、LummaC2、StealC、RedLine、Acreedに加え、限られた数のMacで確認されたAtomic Stealer（AMOSとして知られる）があります。
盗まれたセッションはどのように使われたのか？
情報窃取マルウェアは、ブラウザーに保存されたパスワード、ログイン用Cookie、その他のアプリケーションの認証情報など、ローカルに保存されたデータをコピーできます。Anthropicは、Claudeのセッションもマルウェアが収集したデータの一つだった可能性が高く、その後、攻撃者がこれらのセッションを抽出して使用し始めたと説明しました。
盗まれたセッションはすでに認証済みであるため、攻撃者はパスワードを入力したり、二要素認証を再度通過したりする必要がない場合があります。同社が挙げた兆候の一つは、ユーザーがClaudeを使っていない時間帯に、使用上限が更新されたように見えた後、すぐに消費されることです。
Anthropicは影響を受けたユーザーに何をしているのか？
同社によると、侵害されたセッションを無効化することで、盗まれたセッションの使用を停止できます。また、不正な購入を抑えるため、保存された支払い方法も削除しています。ただし、ログアウトしても端末からマルウェアは削除されないと強調しました。マルウェアが活動中のままであれば、次回のログインセッションも同じ方法で盗まれる可能性があります。
Anthropicは、影響を受けたユーザーに対し、認証情報を変更し、他のセッションを無効化し、再度ログインする前にコンピューターからマルウェアを削除するよう推奨しています。会社のメッセージをRedditで共有した事例では、ユーザーが海賊版ゲームをダウンロードしたと述べており、端末が感染した可能性のある説明となっています。
なぜこのニュースが重要なのか？
これらの事例は、端末自体が認証済みのブラウザーセッションを盗むマルウェアに感染している場合、アカウントの保護はパスワードと二要素認証だけでは不十分であることを示しています。今回実際に起きた変化はClaudeの脆弱性が発見されたことではありません。Anthropicは、マルウェアが同サービスに関連しておらず、サービスを通じてインストールされたものでもないと確認しています。問題は、盗まれたセッションデータを使ってアカウントのリソースを消費し、保存された支払い方法を悪用する可能性があることです。
未解決の問題として、事例の範囲、影響を受けたアカウント数、使用されたセッションを特定した方法が残っています。また、Anthropicの措置はアカウントへのアクセスには対処しますが、新しいセッションを作成する前に感染した端末を検査し、マルウェアを削除する代わりにはなりません。