Anthropic、Claudeセッションクッキー盗難で企業Gmailへの不正アクセスを報告

Infostealer（情報窃取型マルウェア）は、ログインページや 2FA（多要素認証）のガードを一切迂回せず、盗まれた Claude のセッションクッキーを再使用して有料アカウントに不正アクセスしました。

Anthropic が特定した対象アカウントは、クレジットカード決済によるセルフサービス型のアカウントです。これらは企業の ID プロバイダーが管理する範囲外であり、管理者コンソールからログアウトすることもできません。セッションクッキーの再利用は、SSO（シングルサインオン）も 2FA も完全に回避できる手法です。ここで SSO が果たす役割は、防止ではなく「失効処理」と「可視化」にあります。

Anthropic はこのキャンペーンを、影響を受けたユーザー宛ての通知メールで公表しました。6 つのマルウェアファミリー名を明かし、該当アカウントを強制的にログアウトさせ、保存された決済情報を削除し、不正利用が確認された分については返金処理を行いました。

使用量の無駄遣いは小さな損失です。問題なのは、これらのセッションを通じてアクセス可能な範囲における情報漏洩リスクであり、そのすべてが企業の管理下にある ID によって保護されていたわけではありませんでした。

Anthropic は、影響を受けたユーザーに対し、悪意のあるアクターが一般的な Infostealer マルウェアを使用して Claude のログインセッションをコンピューターから窃取し、それを再使用してアカウントの使用量を枯渇させていたと通知しました。これは、ある影響を受けたユーザーが Reddit に投稿した通知内容に基づき、BleepingComputer が 8 月 30 日に報じたものです。

同社が特定したマルウェアは、Windows では Vidar、LummaC2、StealC、RedLine、Acreed、そして少数の Mac では Atomic Stealer です。これらはブラウザに保存されたログインクッキーやパスワードをコピーする汎用マルウェアとして説明されています。

通知メールには「あなたの Claude のセッションは、収集された多数の情報の中の一つだった可能性が高い」と記載されていました。

セッションクッキーとは、すでにログインが完了したことを証明するものです。

攻撃の連鎖は一方通行で、感染したマシンから盗まれたクッキーを経由し、決して発動しないチェックポイントをすり抜けて、そのアカウントがアクセスできるすべてのリソースへと到達します。

アカウントからのログアウトが機能したのは、再生されたクッキーがコピー元のセッションと共に無効化されるからです。

2 要素認証（2FA）はログインページを保護しますが、サイト側はブラウザにクッキーを渡してユーザーのログイン状態を維持させます。そのため、そのクッキーを複製して再生する攻撃者は、サーバー側にはすでにチェックを通過した本人のように見えます。Help Net Security は 8 月 31 日、この仕組みについて「セッション盗難が新たな認証情報盗難となっている」と解説しました。

Anthropic は利用状況のメーターでこの盗難を検知しました。同社は、「所有者が Claude から離れている間に、利用枠が補充されかつ枯渇していた」と記述しています。

BleepingComputer によると、通知を受け取ったある Redditor は、感染源を海賊版ゲームに特定しました。これは一台の端末の話であり、Anthropic が他の端末で何を実行していたかは明言していません。

Anthropic の通知には件数の記載はありませんでした。本稿公開時点では、VentureBeat からの「影響を受けたアカウント数」「SSO 背後にある Team や Enterprise の利用権が含まれていたか」「再生されたセッションが単なる利用状況だけでなく会話履歴や連携アプリにも到達したか」という質問に対し、同社からの回答は得られていません。

保存されたカードの削除や、直接請求される自己管理型アカウントへの返金処理は、Anthropic 独自のログインシステムを経由して認証され、企業の ID プロバイダーを利用していないアカウントを指します。これには個人向けのサブスクリプションも含まれます。チーム向けや企業向けの自己管理型組織でもカード決済が可能なため、この区別は明確にすべきです。

Bugcrowd の CEO、Dave Gerry 氏は 8 月初旬の Axios への取材で、同社が従業員に対し「OpenClaw エージェントを企業のネットワークで使用してはならない」というメールを約 12 通送ったと明かしました。しかし、従業員たちはそれでもダウンロードを試み続けていたのです。管理されたラップトップ上で個人向けの Claude サブスクリプションを利用する行為も、これと同じ心理によるもので、カード情報が登録されている点に注意が必要です。

Akamai の企業向け AI リスクレポートにある LayerX のデータによると、企業の AI 会話の 47% が個人の ID を通じて行われており、Claude の利用においては 61% に達しています。

海賊版ゲームは攻撃の一つのベクトルに過ぎません。7 月には、攻撃者が claude.ai ドメイン自体のパブリックアーティファクトを通じて偽の Claude ダウンロードページを開設し、スポンサー付きの Bing 広告で「Claude Desktop app」と検索する従業員をそのサイトへ誘導しました。Huntress はこのキャンペーンを「FakeAgent」と命名し、SectopRAT が 29 の組織の従業員を 2 日間で乗っ取った後に報告しました。このアーティファクトは Anthropic による削除前に約 7,100 回のダウンロードを集めました。また、Malwarebytes によると、今年前半には別のキャンペーンで偽の Claude インストーラーが偽装されたダウンロードサイトを通じて配布されていました。

問題の本質は海賊版ではありません。企業機器上で公式アプリを検索する従業員自身が攻撃の経路となっているのです。

返金でカバーできるのは利用料だけで、接続自体は守れません

セッションを再生すれば、本来の正規セッションが到達できたすべてのリソースにアクセスできてしまいます。Anthropic はこうしたケースでの影響範囲について明言していません。Claude のアカウントにおいて、これは会話履歴やプロジェクト内にアップロードされたファイル、所有者が許可したすべてのコネクタ（接続機能）が含まれます。

Anthropic のヘルプセンターによると、コネクタを使用すると Claude は連携先のサービス内でデータを取得したり操作を行ったりできます。また、各ユーザーの権限は連携先サービスから継承されます。読み取りや検索操作は承認なしで実行可能です。一方、「送信」「返信」「転送」「共有」「移動」「ゴミ箱へ」などの書き込みアクションは、デフォルトでは承認ゲートによって保護されています。

問題となるのは、この「書き込み」ではなく「読み取り」の経路が開放されている点です。Google Workspace 用コネクタは個人向けの Claude アカウントでも利用可能であり、個人プラン（Pro）の契約者であっても、Gmail インボックスや Drive フォルダへの生認証状態を保持している可能性があります。

もしそのインボックスが業務用のものだった場合、再生されたクッキーを所持する攻撃者は、企業の ID プロバイダーが一度だけ評価した読み取り経路にアクセスできます。評価が行われたのは、従業員が「許可」ボタンをクリックした瞬間だけで、その後はほとんど再評価されません。個人プランの場合、この権限付与（グラント）は従業員自身が所有しています。Claude のテナント管理者はこのアカウントを強制的にログアウトさせることはできず、基盤となるグラントを取り消せる可能性のある Workspace 管理者や Entra 管理者ですら、その存在自体を知らないケースがほとんどです。

CrowdStrike の対敵オペレーション担当シニアバイスプレジデント、アダム・マイヤーズ氏は 8 月 6 日の Axios 取材で市場の実態を数字で示しました。2022 年末に ChatGPT が爆発的に普及して以来、犯罪組織は情報窃取型マルウェアによって得た ChatGPT、Claude、Gemini の認証情報を買い漁り、転売し続けています。CrowdStrike の「2026 脅威ハンティングレポート」には、侵害されたクラウドアカウントの AI モデルアクセス権を悪用して、わずか 2 分間で約 20 万回の API リクエストを実行させた LLMjacking（大規模言語モデル乗っ取り）キャンペーンの事例も記録されています。

マイヤーズ氏はこのレポートに関する 7 月のブリーフィングで、LLMjacking の定義を明確にしました。彼によれば、認証情報の窃取が「LLMjacking」そのものであり、購入者が次に実行するのはコストの搾取です。これは被害者の所有する AI リソースを操作し、「業務遂行を行い、その副産物として巨額の請求書を発生させる」行為だと彼は説明しています。「つまり、これは LLM を利用したコインマイニングと捉えてください」と。

あるアーキテクトは、自社の製品に同様の脆弱性を組み込むことを拒否しました

Common Room の共同創業者兼チーフアーキテクトであるトム・クレインペッター氏は、VentureBeat への書面回答で、2025 年夏まで自社 AI エージェントの統合を延期した理由を説明しています。

「私たちは当初からローカル MCP サーバーの採用を完全に拒否しました。このアプローチでは、誰かの端末に長期有効な API キーやトークンを保存する必要が生じます。その認証情報を盗まれた場合、ユーザーになりすましてデータを抜き出したり、トークンが許可するあらゆる行為を無期限で実行されたりします。発見されて手動で失効されるまで止まらないのです。私たちはそのような製品をリリースすることはできませんでした。」

Common Room は 2025 年 10 月、初のエージェント統合をリリースしました。認証には Okta の Auth0 を採用し、読み取りと書き込みの権限を分離、デフォルトでは書き込み権限を無効化する設計となっています（Kleinpeter 氏談）。

Common Room 自身のシステム開発を担当していた AI コーディングエージェントが、認証呼び出しの頻度を減らすため、Redis にアクセストークンを平文でキャッシュする提案を行いました。この案は機能しましたが、もし人間によるレビューが入っていなければ、本番環境の認証情報を共有インフラ上に保存してしまう危険な状態でした。

2024 年までは許容されていたが、今ではリスクとなるものは何かと問われ、Kleinpeter 氏はこう答えました。「長期有効で権限範囲が広い API キーです。これは人間が一人の信頼できるシステムを操作し、常に監視下にあった時代には理にかなっていました。しかし現在、エージェントはラップトップや複数のクライアント間で動作しており、リアルタイムで人間が監視していないケースも珍しくありません。」

Okta は同日、Claude ユーザーのクッキー流出が発生する中、エージェントに対して管理されたアイデンティティを提供しました。

Okta は 8 月 24 日、「Agent SSO」を一般提供開始しました。これにより AI エージェントはユニバーサルディレクトリ上で正式なアイデンティティとして登録され、保存された認証情報の代わりに、短期間で有効期限が切れるアイデンティティ管理トークンが発行されます。同社の発表では、Claude がセキュリティチームがネイティブに管理できるエージェントの代表例として挙げられています。

それからわずか 6 日後、Anthropic はユーザーを強制的にログアウトさせる事態となりました。6 つのマルウェアファミリー（stealer families）が人間の Claude クッキーを盗み出していたためです。エージェントには管理されたアイデンティティが与えられていましたが、個人端末で Claude を利用する人間にはその保護が届いていませんでした。

VentureBeat が 7 月に実施したエージェントセキュリティに関する調査（Pulse Research）によると、116 社中 63% の企業が AI エージェント間で認証情報の共有が行われていると回答し、さらに 3% の企業が AI エージェント向けに Okta を導入していることが明らかになりました。

この 3% という数字には明確な理由があります。間もなく刊行される『Cyber Risk is a Myth』の著者であり、IEEE シニアメンバーでもあるケイン・マクグラスリー氏は、7 月のインタビューで VentureBeat にこう語りました。「必要なリソースを十分に備え、貧困ラインを超えた企業だけが、すべての前提条件を満たしているのです」。

彼が挙げた前提条件とは、多くの企業がまだ戦略的な投資ではなく単なる衛生管理と捉えている対策と同じものです。

「攻撃対象領域の管理やブラスト半径の封じ込め、基本的な多要素認証（MFA）といった防御体制が整っていない場合、それは有用な機能とは言えず、意味のある投資にもなりません」

アンソロピック社の立場も十分に考慮されるべきです。同社はユーザーに対し、マルウェアは Claude とは無関係であり、Claude を通じてインストールされたものでもなく、Claude での行動とも一切関連ないと説明しています。また、ログアウトすれば盗まれたセッションは停止するものの、マルウェア自体は残ったままとなり、次のログイン情報を盗み続ける恐れがあるとも警告しました。

この二つの事実はどちらも正しいものであり、プロバイダーがこれ以上できることはもうありません。なぜなら、感染した端末の所有権はあくまで顧客側にあるからです。業務用ラップトップであれば企業所有となりますが、Vidar や LummaC2 といったマルウェアがクッキーデータを盗み出す前に検知・阻止するのは、エンドポイント検出機能です。これは今回の事例においてセキュリティチームがすでに運用している制御手段です。

McGladrey の見解では、専門家の間で問題となっているのはもはや管理機能の欠如ではありません。「技術的な解決策は、起こりうるほぼすべての事象に対して用意されています。しかし、それらを優先順位付けする方法が不足しているのです」と彼は指摘します。

エンドポイントチームはマシンを管理し、ID チームはアカウントが一度も触ったことのない SSO を担当しています。また、AI ガバナンスの責任者は、従業員がカード情報を登録した日にそのポリシーを迂回させたという事実があります。

それぞれの所有者は、異なるギャップを埋めるために報酬を得ています。「エンジニアリングチームは製品を迅速にリリースすることにコミットしており、内部監査チームはコンプライアンス目標達成のためにチェックボックスを埋めることにコミットしています。そしてセキュリティ担当者は、インシデントが起きないことを評価され、時には罰せられることもあります」と彼は論じます。「人々が間違ったことをしているわけではありません。彼らは日々の生活を支えるために、報酬につながる行動をしているだけです。」

セキュリティリーダーが次に取るべき措置

AI アカウントを情報窃取ツール（infostealer）への対応プレイブックに追加してください。エンドポイントの警報で特定の窃盗ツールのファミリー名が検出された場合、そのマシン上のすべての AI サービスセッションを侵害されたものとして扱います。エンタープライズテナントで取り消し可能なものはすべて即時取り消し、マシンが清掃されるまで従業員には個人アカウントからのログアウトを求めます。

ユーザーに対して、「通知自体」が新たなフィッシングのテンプレートになり得ることを警告してください。Help Net Security は、このキャンペーンを口実に Anthropic を装ったコピーフィッシング事例を検知しました。もしその通知がユーザーの受信トレイに届いた場合、次に届く「Anthropic からのメール」と思われるものが、実際には偽物である可能性が高いのです。

管理されたデバイス上の個人サブスクリプションを数え上げよう。ブラウザのテレメトリデータ、CASB（クラウドアクセスセキュリティブローカー）ログ、経費精算報告書から、セッション情報や支払い記録が明らかになります。

個人で利用する AI アカウントが、企業の Google Workspace や Microsoft 365 に対して OAuth の権限付与を保持しないように対策しましょう。両プラットフォームとも管理者がサードパーティ製アプリの認証を制限できる機能を提供しています。このゲートウェイを活用し、セキュリティチームが取り消せるテナントからのみ業務用メールボックスへの接続を許可するように設定してください。

Claude のセッション自体だけでなく、Claude が既に保持している OAuth 権限も即時取り消す必要があります。Claude からログアウトしても盗まれたセッションは無効化されますが、Claude が以前から利用を許可されていた Google や Microsoft 側の権限付与は解除されません。Google のサードパーティ製アプリの認証リストや、Microsoft のエンタープライズアプリケーションにおける同意情報を確認し、ログアウト後も残存している生きている権限を見つけてください。

頻繁に利用するユーザーを、組織が管理するテナントへ移行させましょう。Team および Enterprise プランでは、オーナーがコネクタの全体的な有効可否を決定できます。

セッションバインディングの導入を次の契約更新議題に加えましょう。Google は 4 月に Windows 版 Chrome 146 で「Device Bound Session Credentials（デバイスバインド型セッション認証）」を実装し、5 月には Google アカウントおよび Workspace Individual アカウントでデフォルト有効化しました。これにより各セッションがデバイスの TPM に保存された秘密鍵に紐付けられ、コピーされたクッキーを他の場所で更新できなくなります。ただし現状では Windows 版 Chrome のみ対応しており、今回の攻撃キャンペーンにおける Mac ユーザーは対象外です。Anthropic および OpenAI に対称的な機能の実装を求め、Google には次回の契約締結までにカバー範囲の拡大時期を確認しておくべきでしょう。

アンソロピーは、該当する個人に対して通知を送信しました。Cookie が流出したラップトップは、その端末を管理している個人の所有物です。Vidar や LummaC2 は、同じマシンでの次回ログイン時に再び現れるでしょう。