何が起きたか
8月4日、独立系AIコンサルタントのGrant de Swardt氏は、仕事をしていない日にClaude Max 20xアカウントのトークン使用量が上がっていることに気づきました。翌日、Claudeに紐づくものをすべて無効化して作業もしなかったにもかかわらず、消費は再び増加。氏はTechCrunchに対し「最も明確に統制できた区間では、作業をせず、Coworkの予約タスクは停止済みか完了済み、Dispatch/クラウド実行は無効、対応するローカルのClaude Codeタスクもない状態で、45%から55%に増えた」と述べています。
Anthropicに連絡し、トークン使用の明細を求めましたが、明細は提供されませんでした。ただし同社も異常を認め、有料アカウントを停止、全セッションとサーバー側のClaude Codeトークンを無効化し、残期間分として44.49ポンドを一部返金しています。調査後にAnthropicが氏に伝えたのは、侵害されたClaudeのセッションキーが使われ、Claude CodeのOAuthトークンが不正に発行されていたという内容でした。さらに、そのアカウントは「他人の処理を捌く、正規とは見えない第三者サービスに使われていたように見えるが、どうやってアクセスを得たかは特定できない」とされ、証拠は「認証情報やセッションデータが本人の知らないうちに持ち出された」ケースとも「アカウントが外部サービスに接続されていた」ケースとも整合するという曖昧な結論でした。
なぜ重要か
単発の事故ではありません。氏がRedditに体験を投稿すると80件のコメントが集まり、同種の報告が並びました。同意なくアップグレードされてクレジットカードに課金され、触ってもいないのに使用率が0%から100%になったという声、数回のプロンプトとWeb検索だけで12分間に0から49%まで跳ねたという声。3日間、使っていないのに毎日上限まで焼き切られ、GitHubに報告を作ったところ他のユーザーからも同様の報告が寄せられた例もあります。
決定的なのは、Anthropic自身が複数ユーザーに送った警告メールです。「一般的なインフォスティーラー型マルウェアを使い、利用者のPCからClaudeのログインセッションを盗み、そのセッションでClaudeアカウントにアクセスして使用量を消費する攻撃者を最近確認した」。同社は不審な挙動を検知した際、サインアウトさせ、既存の認可を無効化し、一部返金を行い、マルウェア感染の可能性を警告しました。マルウェアはClaudeの利用そのものが原因ではなく、感染ソフトのダウンロードや不正広告のクリックなど多様な経路で入り込むとしています。
論点は「認証」ではなく「明細がないこと」
インフォスティーラーによるセッション窃取自体は目新しい手口ではありません。この件で本質的なのは、盗まれたのが「パスワード」ではなく「ログイン済みセッション」である点と、被害の可視化手段がない点です。セッションを持ち出されればMFAは迂回されます。そしてAnthropicのアカウントサポートは合計使用量は追跡していても、リクエストしても項目別の使用明細は追えない。つまり、この種の窃取は数か月間気づかれないまま続きうるということです。
de Swardt氏にはAnthropicからの警告メールは届いておらず、自身のPCが侵害された証拠も見つからず、侵入経路は今も不明のままです。停止は約2週間続き、その間、彼のビジネスは止まりました。氏は中小企業向けに、メールから発注データを会計ソフトへ自動投入するといったエージェント構築を請け負う「雇われフォワードデプロイドエンジニア」的な働き方をしており、個人事業主として日常の事務、Webデザイン、コーディングまでエージェントに依存しています。「最近は何もかもAIを通している感じです」という言葉のとおりです。
復旧後、氏はサポートの遅さと明細データの欠如を理由に契約を解約し、複数モデル(より安価なオープンソース系を含む)を使えるCursorへ移行しました。「そこまで違わないし、優れてもいない」「向こうが問題を実際に解決しない限り、戻るとは思えない」。トークンを何が消費しているかをユーザーが見られるツールを、Anthropicは依然として提供していないというのが氏の主張です。TechCrunchが「利用者はどうやって不正利用を見つければよいか」と尋ねたところ、Anthropicはコメントを控えました。氏はこう締めています。「この人たちが自衛できる方法は、何もないと思います」
💼 事業会社視点：これは自社にどう効くか
日本企業の役員が真っ先に見直すべきは、AIサブスクの「経費区分」です。月200ドル級の個人契約を各自の裁量で持たせ、経費精算で回している会社は多いはずですが、この形態には損失の検知点が存在しません。カード明細に載るのは定額料金だ��で、上限まで使い切られても金額は変わらないからです。実害は請求書ではなく「必要なときに枠が空いていない」「アカウントが停止される」という形で現れます。とくに受託開発・制作会社では、de Swardt氏のように約2週間の停止が納期直撃の事業停止になり得ます。
打ち手は三つ。第一に、開発端末のセッションデータ窃取(インフォスティーラー)を前提にした端末側対策への予算配分です。盗まれるのがパスワードでなくログイン済みセッションである以上、MFA強化では止まりません。第二に、業務クリティカルなAIエージェントの単一ベンダー依存の解消です。氏がCursorへ移行して「大きな差はない」と評価した事実は、モデル切替可能な構成が可用性リスクの実質的な保険になることを示しています。第三に、SaaS選定基準に「項目別の使用明細を出せるか」「異常時に何時間で連絡が来るか」を明記すること。Anthropicですら明細を出せず、コメントも控えたことは、AIツールの調達がまだ監査可能性の未成熟な領域であることを意味します。ECやSaaS事業者が自社プロダクトにAI課金を載せる側なら、逆にここが差別化点になります。