Anthropic은 컴퓨터에 설치된 정보 탈취 악성코드가 활성 로그인 세션을 훔친 뒤, 계정에 접근하고 소유자 모르게 사용량 한도를 소진하는 데 사용될 수 있다고 일부 Claude 사용자들에게 경고했다. 회사는 영향을 받은 사용자들에게 알림을 보내 침해된 계정에서 로그아웃시키고 저장된 결제 수단을 삭제하며 승인되지 않은 것으로 판단한 요금을 환불한다고 설명했다.
Anthropic은 조사가 여전히 진행 중이라고 밝혔지만, 해당 사례를 일반적인 정보 탈취 악성코드와 연관 지었다. 이러한 악성코드는 보통 악성 다운로드나 애플리케이션을 통해 기기를 감염시킨다. 회사가 확인한 악성코드에는 Windows에서 사용되는 Vidar, LummaC2, StealC, RedLine, Acreed와 일부 Mac 기기에서 발견된 Atomic Stealer(AMOS로도 알려짐)가 포함된다.
탈취된 세션은 어떻게 사용됐나?
정보 탈취 악성코드는 브라우저에 저장된 비밀번호, 로그인 쿠키, 기타 애플리케이션의 인증 정보 등 로컬에 저장된 데이터를 복사할 수 있다. Anthropic은 Claude 세션도 악성코드가 수집한 데이터 중 하나였을 가능성이 높으며, 이후 공격자가 이러한 세션을 추출해 사용하기 시작했다고 설명했다.
탈취된 세션은 이미 인증된 상태이므로 공격자는 비밀번호를 입력하거나 2단계 인증을 다시 통과할 필요가 없을 수 있다. 회사가 제시한 징후 중 하나는 사용자가 Claude를 사용하지 않던 시간에 사용량 한도가 갱신된 것처럼 보인 뒤 빠르게 소진되는 현상이다.
Anthropic은 영향을 받은 사용자들을 위해 무엇을 하고 있나?
회사는 침해된 세션을 취소하면 탈취된 세션의 사용을 중단시킬 수 있으며, 승인되지 않은 구매를 줄이기 위해 저장된 결제 수단도 삭제한다고 밝혔다. 그러나 로그아웃만으로는 기기에서 악성코드가 제거되지 않는다고 강조했다. 악성코드가 계속 활성화되어 있다면 다음 로그인 세션도 같은 방식으로 탈취될 수 있다.
Anthropic은 영향을 받은 사용자들에게 인증 정보를 변경하고, 다른 세션을 취소하며, 다시 로그인하기 전에 컴퓨터에서 악성코드를 제거하라고 권고한다. 회사의 메시지를 Reddit에 공유한 사례에서 해당 사용자는 불법 복제 게임을 다운로드했다고 밝혔으며, 이는 기기 감염의 잠재적 원인을 설명해 줄 수 있다.
이 소식이 중요한 이유
이번 사건은 인증된 브라우저 세션을 탈취하는 악성코드에 기기 자체가 감염되어 있다면 계정 보호가 비밀번호와 2단계 인증만으로 끝나지 않는다는 점을 보여준다. 여기서 실제 변화는 Claude의 취약점이 발견된 것이 아니다. Anthropic은 해당 악성코드가 서비스와 관련되어 있거나 서비스를 통해 설치된 것이 아니라고 확인했다. 대신 탈취된 세션 데이터를 사용해 계정의 리소스를 소진하고 저장된 결제 수단을 악용할 가능성이 제기된 것이다.
사건의 범위, 영향을 받은 계정 수, 사용된 세션을 식별한 방식과 관련된 질문은 여전히 남아 있다. 또한 Anthropic의 조치는 계정에 대한 접근을 처리하지만, 새로운 세션을 생성하기 전에 감염된 기기를 검사하고 악성코드를 제거하는 일을 대신할 수는 없다.