Anthropicは、犯罪者が情報窃取型マルウェア(インフォスティーラー)を使って一部のClaudeユーザーのアカウントを乗っ取っていると警告しました。
攻撃者はパスワードを推測したり二要素認証(2FA)コードを傍受したりする代わりに、ユーザーがすでにログイン済みであることを証明するブラウザセッションそのものを盗み出しています。
被害を受けたユーザーが公開した警告メールによると、攻撃者は一般的なインフォスティーラー型マルウェアを使い、被害者のパソコンからClaudeのログインセッションをコピーしていました。そのうえで、盗んだセッションを使ってアカウントにアクセスし、利用枠を消費していたということです。
「私たちは最近、お客様をClaudeからサインアウトさせ、アカウントに保存されていたお支払い方法を削除しました。そのため、改めてログインし、カード情報を再登録していただく必要があります。ご不便をおかけして申し訳ございません。以下に、何が起きたのか、そして私たちがどのような対応を行ったのかをご説明します。
何が起きたのか
私たちは最近、一般的なインフォスティーラー型マルウェアを使ってユーザーのパソコンからClaudeのログインセッションを盗み出し、そのログインセッションを使ってClaudeアカウントにアクセスし利用枠を消費している悪意ある人物の存在を把握しました。私たちのシステムはお客様のアカウントでこの活動を検知したため、登録済みのカード情報を削除し、関連するセッションをサインアウトさせることで、さらなる不正アクセスの阻止に努めました。
もしお客様がClaudeを利用していない間に利用枠が回復してはまた減っていくように見えていたとしたら、これがその原因である可能性が高いです」
このメッセージはさらに、マルウェアが「Claudeに関連するもの、Claudeを通じてインストールされたもの、あるいはお客様がClaudeで行った何らかの操作に関連するもの」だと考える理由はないとAnthropicは述べています。
ここまでの内容をまとめると、次のとおりです。
- サイバー犯罪者はインフォスティーラーを拡散させている。どのような手口で拡散しているのか、また業務でClaudeを利用する可能性が高い層を狙っているのかどうかは不明
- インフォスティーラーは、アクティブなブラウザセッションやセッションクッキーを盗み出すことで、通常の認証情報や多要素認証(MFA)を迂回できる
- Claudeアカウントの乗っ取りに成功すると、犯人は被害者の利用枠を消費し、追加料金が発生する可能性もある
- Anthropicは被害を受けたユーザーをClaudeからサインアウトさせ、保存済みの支払い方法を削除したうえで、不正なものと判断した請求については返金対応を行っている
この仕組みを理解するために知っておくべきなのは、Claudeの有料プランには追加の「使用量クレジット」が用意されているという点です。加入者がプランのセッション上限に達すると、Claudeは標準的なAPI料金に基づく従量課金制で利用を継続できるようにする場合があります。このためユーザーは、あらかじめこの機能を有効にし、月間の利用上限額を設定するか、あるいは無制限利用を選択したうえで、クレジットを事前購入しておく必要があります。
ユーザーは自動リロード機能を有効にすることもでき、これを設定すると残高が一定のしきい値を下回った際に、事前購入クレジットが自動的に追加購入されます。つまり、セッションが乗っ取られるシナリオでは、窃取者はアカウントに含まれる利用枠や利用可能な使用量クレジットを使い果たしてしまう可能性があります。自動リロードが有効になっていれば、さらなる追加購入を引き起こすことすらあり得ます。
犯罪者の目的として考えられるのは、有料のClaude利用枠をただ乗りすることです。加えて、アカウントや流出したデータそのものが、詐欺やソーシャルエンジニアリング、さらなる攻撃への悪用に利用される可能性もあります。
窃取されたClaudeの利用枠は、フィッシングや詐欺のコンテンツの作成・改良、攻撃キャンペーン用インフラの構築、マルウェアの開発・改変・難読化、配布手法の改良、盗んだ情報の分析などに使われる可能性があります。Claudeには不正利用への対策や監視の仕組みが備わっており、Anthropicも述べているとおり悪意ある活動に使われたアカウントを実際に停止させていますが、サイバー犯罪者はAIを攻撃の複数の工程で悪用し得るのが実情です。
対処法
Anthropicは、インフォスティーラー感染の疑いがある場合の対処法についてアドバイスを示しています。マルウェアを除去した後は、新たな感染から身を守るため、最新の状態に保たれたリアルタイム型のアンチマルウェアソリューションを導入することを推奨します。
インフォスティーラー型マルウェアの感染後の後始末としては、次のような手順が有効です。
- Claudeを利用しているすべてのパソコンをマルウェアスキャンし、ログインし直したりパスワードを変更したりする前に、検出されたマルウェアを除去する
- マルウェアを除去したら、Claudeで使用しているメールアカウントのパスワードを変更し、他の端末からサインアウトさせたうえで、二要素認証(2FA)を有効にすることで、そのアカウントを保護する
- 感染したブラウザに保存されていた重要なパスワードを変更する。銀行口座、勤務先、クラウドサービスなどのアカウントも対象に含める。ブラウザに支払い情報を保存していた場合は、カードの利用明細も確認する
- これらの手順をすべて完了した後に限り、プランの更新を継続したい場合はClaudeに支払い方法を再登録する
これらの手順を完了した後も、Claudeを使っていないのに利用量が変化し続けている場合や、身に覚えのない請求に気付いた場合は、[email protected]までご連絡ください。
脅威を報告するだけでなく、取り除くところまで。
サイバーセキュリティの脅威が見出しの中だけにとどまるとは限りません。 今すぐMalwarebytesをダウンロードして、お使いの端末を脅威から守りましょう。
