何が起きたか
Anthropicは先週、影響を受けた利用者にメールを送り、アカウントの強制ログアウト、登録済みクレジットカードの削除、不正利用に伴う追加課金の返金を行ったと通知しました。このメールがRedditで公開され、SecurityWeekが報じたことで広く知られるようになっています。メールでは「利用枠が回復したように見えた直後、自分がClaudeを使っていない間に減っていたなら、これが原因の可能性が高い」と説明されています。
同社は原因をAnthropic側の侵害ではなく、利用者自身のPCに置いています。マルウェアがブラウザに残るClaudeのログイン済みセッションを抜き取り、攻撃者がそれを使って利用枠を使い切り、不正な課金まで発生させたという構図です。確認されたマルウェアは6ファミリー。Windows側がVidar、Lumma、StealC、RedLine、Acreed、macOS側がAtomic Stealer（AMOS）で、Macは「少数」とされています。WindowsとmacOSの双方に被害が及んでいます。
なぜ「パスワードも2要素認証も効かない」のか
重要なのは、盗まれたのがパスワードではなくセッションcookieだという点です。cookieはログイン後にブラウザが保持する引換券のようなもので、ページを開くたびにパスワードを求められないようにするために存在します。攻撃者がこれを再生すると、認証済みの状態でセッションの途中に入り込む形になり、パスワード入力も2要素認証も発動しません。多くの企業が「2FAを入れたから大丈夫」と考えている前提が、この経路では成立しないということです。
しかも、これらのスティーラーはClaudeを狙って作られたものではありません。不正なダウンロードに同梱されて広まる汎用型で、保存済みパスワードとブラウザcookieを手当たり次第に回収します。つまりClaudeのcookieは「たまたま一緒に持っていかれた資産」であり、同じ端末にあるSaaSのセッションも同様に流出していると考えるのが自然です。
攻撃者の経済合理性
この手口が成立するのは、AIアカウントに換金性があるからです。CrowdStrikeでcounter adversary operations担当シニアバイスプレジデントを務めるAdam Meyersは8月、Axiosに対し、乗っ取られたAIアカウントの取引が成立しつつあり、Claude、ChatGPT、Geminiの認証情報が売買されていると語っています。Palo Alto NetworksのUnit 42は、乗っ取られたアカウントが「transfer stations」と呼ばれるプロキシサービスに集約され、盗んだ認証情報をプールして正規価格を大きく下回る値段でAIサービスへのアクセスを再販していることを突き止めました。
AnthropicはClaudeの利用上限の正確な数値を公開していませんが、プロンプト1件ごとに計算コストが発生し、盗まれたセッションがプロンプトを投げている間、そのコストは同社が被ります。5月に有料ユーザー向けのClaude Codeレート上限を倍増させたのも、需要が供給能力を上回り続けていたためでした。逼迫した計算資源が第三者に無償で流れる構図は、事業者にとって看過できません。
加えて、乗っ取ったセッションと登録済みカードが揃えば、攻撃者は被害者のアカウントで追加利用枠を購入できます。Anthropicがセッション終了だけでなくカード情報の削除まで踏み込んだのは、この購買経路を断つためです。
復旧手順の順序に意味がある
Anthropicは、今回の措置でマルウェアが消えるわけではないと明言しています。推奨される対処は、(1) Claudeに再ログインする前にマルウェアを駆除する、(2) アカウントに紐づくメールアドレスを新しいパスワードと2要素認証で保護する、(3) その後に支払い方法を再登録する——という順序です。順序が守られない限り、次のログインで生成された新しいcookieを同じ攻撃者が再び回収するだけで、堂々巡りになります。なお、Engadgetはコメントを求めてAnthropicに接触しましたが、回答は得られていません。
💼 事業会社視点：これは自社にどう効くか
日本企業にとっての実務的な論点は「AIの安全性」ではなく「端末管理の穴がAI利用料に直結し始めた」ことです。とくに受託開発・SIerでは、開発者の私物PCや持ち出し端末でClaude Codeを使う運用が広がっています。5月にClaude Codeのレート上限が倍増したことで1アカウントの価値も上がり、乗っ取り時の損失はそのまま納期遅延に跳ね返ります。まず確認すべきは、法人アカウントの支払い方法が個人カードや部門カードに紐づいていないか、そして誰がどの端末からログインしているかの棚卸しです。
SaaS・EC事業者は、自社側にも同じリスクがあると読み替えるべきです。Vidar系のスティーラーはClaude専用ではなく、同じブラウザから管理画面や決済ダッシュボードのcookieも回収します。2要素認証を導入済みでも、セッション再生型の侵入には無力です。対策の焦点は認証の強化ではな��、セッション有効期限の短縮、デバイス紐付け、異常な利用量の検知に移ります。
経営者・事業責任者が今週動くべきことは3つ。AI関連SaaSの請求額を月次でなく週次で監視する担当を決めること、業務端末へのEDR配備状況を確認すること、そしてAI利用に使う支払い方法を上限付きの法人カードに一本化することです。利用枠の不自然な減少は、いまや最も早く現れる侵害の兆候になり得ます。
