Claudeユーザーを狙うInfostealer、認証済みセッションを悪用してアカウントに不正アクセス
Infostealerによるセッションクッキー窃取でClaudeアカウントに不正アクセス
Claudeのユーザーを標的に、情報窃取マルウェア（Infostealer）を利用してセッションクッキーを窃取し、アカウントへ不正アクセスする攻撃が確認されている。攻撃者は窃取したセッション情報を利用してユーザーアカウントを乗っ取り、有料のClaudeサブスクリプションを不正利用していた。Anthropicはこれを受け、侵害されたセッションや決済手段を無効化し、影響を受けたユーザーへの返金対応を進めている。
攻撃では、Windowsを標的とするVidar、Lumma（LummaC2）、StealC、RedLine、Acreedなどの情報窃取マルウェアに加え、macOSを狙うAtomic Stealerが使用されている。これらのマルウェアはブラウザに保存されたセッションクッキーや認証情報を窃取し、攻撃者がパスワードを再入力することなく認証済みセッションを悪用できるようにする。有効なセッションクッキーが利用可能な場合、MFAによる再認証を経ずにアカウントへアクセスできる可能性があり、Claudeの有料サブスクリプションの不正利用につながる。
また、Claudeのデスクトップアプリを装った攻撃キャンペーンも確認されている。攻撃者は検索エンジンや不正なWebページを通じてユーザーを誘導し、7月21日から22日にかけて「ClaudeDesktop.exe」を装ったファイルからSectopRATをインストールする攻撃を展開した。正規サービスを装ったコンテンツや信頼性の高いインフラを利用することで、不正なファイルを実行するようユーザーを誘導する手法が用いられている。
さらに、「SKILL.md」のような一見無害なファイルについても、外部の悪意あるコードを呼び出す指示が含まれている場合、後続の不正な処理につながる可能性が指摘されている。組織では、不審なファイルやエンドポイント上のInfostealer感染を確認するとともに、侵害が確認された場合には既存セッションの無効化や認証情報の変更などを行うことが対策となる。MFAの有効化に加え、セッションクッキーや認証トークンの窃取を想定した監視も重要となる。
今回の攻撃では、Infostealerによるブラウザデータの窃取と、Claudeを装った不正なデスクトップアプリなど複数の手法が確認されている。特に、有効なセッションクッキーが窃取された場合にはMFAを設定していても認証済みセッションが悪用される可能性があるため、エンドポイント上のマルウェア検知とセッション管理を組み合わせた対策が求められる。
