Anthropicが一部のClaude利用者に、感染端末から盗まれたログインセッションを第三者が使い、本人の利用枠を消費していたと通知した。BleepingComputerが8月30日、被害者に届いたメールを基に報じた。Anthropicは影響を受けた利用者をサインアウトさせ、保存済みの支払い方法を削除し、不正と判断した請求を返金しているという。
会社が指摘したのはClaude固有のマルウェアではない。端末内のパスワードやブラウザ情報を広く集めるインフォスティーラーが、すでに認証を終えたClaudeのセッションまで持ち出したという説明だ。利用者が操作していないのに使用量が減る現象は、その悪用で起こり得る。ただし、Anthropicは被害人数、発生期間、検知方法を公表していない。
狙われたのは「認証後」のセッション
Webサービスはログインに成功すると、その利用者が本人確認を通過したことを示すセッションを発行する。ブラウザはCookieやトークンとしてその情報を保持し、ページを開くたびにパスワードや多要素認証をやり直さずに済む。便利さと引き換えに、認証済みセッション自体が価値の高い資格情報になる。
第三者が有効なセッションを複製し、サービス側が受け入れる環境から再送すれば、ログイン画面を通らず本人として振る舞える場合がある。Microsoftは2026年4月に公開した別の攻撃分析で、盗まれた認証トークンが資格情報や多要素認証の再入力なしに使われ、アクティブなセッションが失効するまでアクセスが続いた事例を報告している。多要素認証が破られたのではなく、その確認を通過した後の証明が再利用された。
今回のメールについてBleepingComputerは、AnthropicがWindowsでVidarやLummaC2、StealCなどを確認し、少数のMacではAtomic Stealer（AMOS）を特定したと伝えた。いずれもClaude専用ではなく、ブラウザのログインCookieから他のアプリの資格情報まで集める汎用型だという。Anthropicも、マルウェアがClaudeに関連していたり、Claude経由で導入されたりしたと考える理由はないと説明している。
具体的に何が盗まれたかは、まだ分からない。Anthropicは「Claudeのログインセッション」と表現しているが、対象ファイル、トークン形式、有効期間を公開していない。チャット履歴や接続先が実際に閲覧されたとの発表もないため、利用枠の不正消費から情報流出までを一続きの被害として扱うことはできない。
利用枠とAPI請求は同じ財布ではない
不正利用が「枠の枯渇」として見えるのは、Claudeのサブスクリプションが複数の画面で同じ利用上限を共有するためだ。Anthropicのヘルプによれば、claude.ai、Claude Code、Claude Desktopで使った量は同じ上限に加算される。第三者が盗んだセッションでClaudeを動かせば、正規利用者の残量も減る。
この仕組みは、Claude APIの従量課金とは分けて考える必要がある。個人向けなどのサブスクリプションはOAuthを含む方法でClaudeのWeb、アプリ、Claude Codeへ認証する。一方、開発者が製品や外部ツールからAPIへ接続するときは、Consoleで作るAPIキーが基本になる。セッションを盗まれた事案から、APIキーも漏れたとは判断できない。
Anthropicの管理画面も両者を分けている。Web、モバイル、DesktopのセッションはSettingsのAccountからまとめてログアウトできるが、Claude Codeの認可トークンはSettingsのClaude Codeで別に削除する。ConsoleのAPIキーに不審な利用があれば、対象キーをConsoleで失効する。ブラウザのサインアウト一つで、すべての認証材料が無効になるわけではない。
Webセッションの長さも被害時間を考える材料になる。Anthropicの現行ヘルプは、claude.aiのセッションを28日間とし、利用者が操作すると毎時、その時点から28日後まで更新すると説明している。有効期間が長いほど毎回のログインは減るが、盗まれたセッションを明示的に終了する意味は大きくなる。
Claudeを装う二つの配布経路
今回の感染経路は公表されていない。それでも2026年には、Claudeを探す利用者の信頼をマルウェア配布へ変える攻撃が相次いで観測された。
Huntressが7月に調査したMacSyncでは、利用者がGoogleでClaude Codeの導入方法を検索し、広告から正規のclaude.aiにある共有会話へ誘導された。ページは公式の導入案内を装い、Terminalへコマンドを貼り付けるよう求めた。実行すると、情報窃取機能を展開する6段階の攻撃が始まった。
別のFakeAgent調査では、7月21〜22日の間に少なくとも29組織で、不正なClaude Desktopインストーラーが実行された。入口はやはり正規のclaude.ai上に公開された悪意あるArtifactで、最終的にSectopRATを導入したとHuntressは報告している。
二つの調査が示したのは、偽ドメインを見抜くだけでは防げない配布経路である。攻撃者は正規ドメイン上のユーザー生成コンテンツを広告で上位に出し、公式の導入ページに見せかけた。Claude Codeの公式ドキュメントと、誰かが公開した共有会話やArtifactは、同じドメインに見えても信頼の根拠が違う。
ただし、これらの攻撃と今回Anthropicが検知したセッション悪用を結ぶ証拠はない。Anthropicのメールはむしろ、一般的なダウンロードや悪意あるアプリで端末が感染し、Claudeセッションは大量に集められた情報の一部だった可能性を示している。過去の配布事例は入口の実例であって、今回の原因の特定ではない。
パスワード変更より先に止めるもの
セッションを盗まれた場合、端末の除染、セッションの失効、資格情報の更新は別々の処置になる。Anthropicが被害者へ送ったメールは、サインアウトすれば盗まれたセッションを止められるが、マルウェアは消えないと警告した。感染した端末で再びログインすれば、新しいセッションも同じように持ち出され得る。
| 攻撃が残る場所 | 直ちに行う処置 | 処置の境界 |
|---|---|---|
| 感染が疑われる端末 | ネットワークから切り離し、組織の手順や信頼できる保護製品で調査・除染する | Claudeからログアウトしてもマルウェアは残る |
| ClaudeのWeb・モバイル・Desktop | 安全な端末からSettings > Accountを開き、全端末をログアウトする | パスワード変更とは別に既存セッションを失効する |
| Claude Code | Settings > Claude Codeで不要・不審な認可トークンを削除する | Web側の全ログアウトとは管理箇所が異なる |
| メールやGoogleなどのログイン元 | アクティブセッションを終了し、資格情報と復旧設定を確認する | インフォスティーラーはClaude以外も収集する |
| ConsoleのAPIキー | 不審なAPI利用がある場合にキーを削除し、安全な環境で作り直す | 今回の全被害者でAPIキー窃取が確認されたわけではない |
順序が逆になると、新しい秘密情報を感染端末へ戻してしまう。まず端末を隔離し、安全な別端末からセッションを止める。その後にメールやGoogleを含むログイン元を守り、必要な資格情報を更新する。企業では端末の再構築、侵害範囲の調査、監査ログの保全を自社の対応手順に従って進める必要がある。
ClaudeのAccount画面では、端末とブラウザ、概算位置、最後の更新時刻をセッションごとに確認できる。身に覚えのない項目は個別に終了できるが、表示が正常だから感染していないとは限らない。今回のように会社側が異常な利用を検知した場合や、使用量が本人の操作と合わない場合は、セッション一覧と利用履歴を合わせて見るべきだ。
被害規模より先に、公表が必要な検知条件
Anthropicの対応は、盗まれたセッションが使われた後に被害を狭めるところまで進んでいる。サインアウト、支払い方法の削除、不正請求の返金は具体的だ。その一方で、何人が影響を受け、いつから悪用され、どの挙動を根拠に本人と攻撃者を見分けたのかは明らかにしていない。
利用者側にも観測の空白がある。Claudeの複数製品は同じ利用枠を使うため、残量の急減だけでは、別端末の正規利用、Claude Codeの長い処理、盗まれたセッションの悪用を区別できない。セッションごとのアクセス時刻と製品、利用量を突き合わせられなければ、Account画面に知らない端末が見つからないケースで原因を追いにくい。
組織向けには、検知後の通知速度と一括失効の範囲も問われる。インフォスティーラーは一つのサービスを狙って終わるマルウェアではなく、ブラウザに残る認証情報をまとめて持ち出す。Claudeで異常を見つけた時点では、メール、クラウド、開発環境にも同じ対応が必要になる可能性がある。
次の判断材料は、Anthropicが公開する被害の期間と対象範囲である。異常を見分けたシグナルと、再発をどう防ぐかという説明も欠かせない。利用者が製品別・セッション別の消費を監査でき、異常なセッションを再認証へ戻せる仕組みまで整えば、利用枠の急減を請求後の問い合わせではなく侵害の早期警報として使えるようになる。