Anthropicは、インフォスティーラー型マルウェアによってログインセッションが侵害されたユーザーについて、Claudeアカウントからのロックアウトを開始しています。
「今回のキャンペーンで確認されているマルウェアには、Windows上ではVidar、Lumma（LummaC2）、StealC、RedLine、Acreed、そして一部のMac上ではAtomic Stealer（AMOS）が含まれます」と、同社は先週影響を受けたユーザーに送付したメールで述べています。
「これは汎用型のマルウェアで、通常は非公式のダウンロードや悪意あるアプリを通じて侵入し、保存されたパスワード、ブラウザのログインCookie、ローカルで動作する他アプリの認証情報を密かにコピーします。皆様のClaudeセッションも、収集された数多くの情報の一つであった可能性が高いです」
被害者が取るべき対応
セッション窃取は、いわば新たな認証情報窃取の形態であり、攻撃者が二要素認証（2FA）を回避することを可能にします。
2FAはログイン自体を保護しますが、一度ユーザーがログインすると、サイトはブラウザにセッションCookieを発行し、クリックのたびに再認証する必要がないようログイン状態を維持します。インフォスティーラーはこのCookieをコピーし、攻撃者がそれを「リプレイ」すると、すでにログイン済みのユーザーとして扱われてしまいます。
Anthropicはこのアカウント乗っ取りへの対応として、ユーザーをアカウントからサインアウトさせ（侵害されたClaudeログインセッションを無効化するため）、保存済みの支払い方法を削除し、不正なClaude利用料金を返金しました。
影響を受けたユーザーの中には、AnthropicからのアカウントSuspensionメールのスクリーンショットをSNSに投稿する人もいました。そこにはClaudeアカウントへのアクセスを回復するための手順や、まだ活動中のマルウェア感染によって復旧措置が無効化されないようにする方法も記載されていました。
「Claudeからサインアウトさせることで盗まれたセッションは無効になりますが、マルウェア自体は除去されません」とAnthropicは述べ、被害者に対してはまず何よりもマルウェアのスキャンと除去を行うよう助言しています。
その上で、次の対応を取るべきだとしています。
- Claudeで使用しているメールアカウントの新しいパスワードを設定し、2FAを有効化する
- 使用しているブラウザに保存されているパスワードを更新し、ブラウザに支払い情報を保存している場合はカードの利用明細を確認する
- 継続してClaudeを利用する場合は、アカウントに支払い方法を再登録する
マルウェアの駆除後、ユーザーは他のオンラインサービスについてもアクティブなセッションを削除し、一度サインアウトしてから再度ログインすることで、それまで有効だったセッションを無効化するべきです。
ユーザーへの警告
Anthropicは今回の攻撃キャンペーンを、マルウェアでコンピューターを標的にした「悪意ある行為者」に結び付けています。
「このマルウェアがClaudeに関連するもの、Claudeを通じてインストールされたもの、あるいは皆様がClaudeで行った何らかの操作に関連するものであると考える根拠はありません」と同社は述べ、さらに「スマートフォンやタブレットが関与した形跡は見当たりません」と付け加えました。
Redditで Anthropicからのメールを共有した被害者ユーザーは、自身のインフォスティーラー感染の原因を、ロシアのアンダーグラウンドフォーラムからダウンロードした海賊版ゲームにまでたどり着いたと述べています。
Claudeユーザーは、今回のキャンペーンを口実にしたAnthropicになりすます偽メールにも、引き続き注意を払う必要があるでしょう。
関連記事：攻撃者がclaude.aiドメイン上に偽のClaudeダウンロードページを設置していた経緯
翻訳元: https://www.helpnetsecurity.com/2026/08/31/claude-accounts-compromised-through-infostealer/
