記事

Claudeのトークンが何者かに盗まれる被害が拡大——セッション乗っ取りの手口とAnthropicの対応

Claudeのサブスクリプション利用者の間で、自分が操作していないのにトークン消費が急増する被害が相次いでいます。TechCrunchの報道をもとに、被害の実態とAnthropicが特定した原因、利用明細の不透明さという課題を紹介します。

AnthropicのClaudeを利用するサブスクリプション契約者の間で、自分では何も操作していないのにトークン消費量が勝手に増えていくという被害が相次いでいることが、TechCrunchの報道で明らかになりました。被害者の一人はセッション情報を乗っ取られ、第三者に利用枠を消費されていたとみられ、Anthropicも一部ユーザーに対して「インフォスティーラー」と呼ばれるマルウェアの被害を警告するメールを送っていたことが分かっています。利用明細の内訳を確認できない仕組みが、被害の発覚を遅らせている実態も浮かび上がりました。

何も操作していないのにトークン消費が増加した

英国イーストサセックスで独立系AIコンサルタントとして働くGrant De Swardt氏は、8月4日、自分のClaude Max 20xアカウントの様子がおかしいことに気づきました。その日は仕事をしていなかったにもかかわらず、トークンの使用量が上昇していたのです。翌日、De Swardt氏はClaudeに接続していたすべての連携を無効化し、作業を一切行いませんでした。それでもトークン消費は増え続け、本人いわく「最も条件をコントロールできた時間帯で、使用率が45%から55%に上昇した。作業は一切行っておらず、Cowork上のスケジュールタスクは一時停止または完了済み、Dispatch経由のクラウド実行も無効化しており、対応するローカルのClaude Codeタスクも存在しなかった」といいます。何が自分の利用枠を消費しているのか見当がつかず、De Swardt氏はAnthropicに連絡し、利用内容の内訳を求めました。

Anthropicが特定した原因は「セッション乗っ取り」

Anthropicは内訳自体は提供しなかったものの、何らかの異常が起きていたことは認め、De Swardt氏の有料アカウントを停止したうえで、すべてのセッションとサーバー側のClaude Code用トークンを無効化し、月額200ドルの契約の残り期間分として44.49ポンドを一部返金しました。De Swardt氏は中小企業向けにAIエージェントを構築する仕事をしており、いわば「外部委託型のフォワード・デプロイド・エンジニア」として、メールから受発注データを会計ソフトへ自動入力するような業務を請け負っています。個人事業主として自身の業務でも日常的な事務作業からWebデザイン、コーディングまでエージェントに頼っているといいます。調査の結果、Anthropicが突き止めた原因は、侵害されたClaudeのセッションキーが悪用され、不正なClaude Code用OAuthトークンが発行されていたというものでした。Anthropicによれば、アカウントは「第三者のサービスによって、他の利用者の活動を処理するために使われていたように見えるが、どのように侵入されたかは特定できなかった」とのことです。

青い背景でスマートフォンの画面にAnthropicのロゴが表示されている

画像引用元: TechCrunch

Reddit上で被害報告が相次ぐ

De Swardt氏はこの経験をRedditに投稿し、80件を超えるコメントを通じて自分だけが被害者ではないことを知りました。ある投稿者は「同意なくアカウントが自動アップグレードされ、クレジットカードに課金され、自分では一切操作していないのに使用率が0%から100%まで跳ね上がった」と証言しています。別の利用者は、数回のプロンプトとウェブ検索しか行っていないのに、12分で使用率が0%から49%まで上昇したと報告しました。さらに別の利用者は、3日間にわたって一切操作していないのに毎日上限までトークンを消費されており、この件についてGitHub上に報告を作成しています。被害者の一部は、Anthropicから「一般的なインフォスティーラー型マルウェアを使ってClaudeのログインセッションを盗み出し、それを使ってアカウントに侵入して利用枠を消費している攻撃者の存在を把握した」という警告メールを受け取っていました。インフォスティーラーとは、感染したパソコンから保存済みのパスワードやセッション情報、ログイン認証情報を盗み出すタイプのマルウェアで、Anthropicはこのマルウェア自体はClaudeの利用に起因するものではなく、感染したソフトウェアのダウンロードや不正な広告のクリックなど、さまざまな経路で侵入しうると説明しています。不審な挙動を検知した際、Anthropicは該当ユーザーをサインアウトさせ、既存の認可をすべて無効化し、一部には返金を行ったうえで、マルウェア感染の可能性を警告したとしています。

被害発覚のきっかけ: 操作していないのにトークン消費が増加
Anthropicが特定した原因: 侵害されたセッションキーによる不正なOAuthトークンの発行
対応: アカウント停止、セッション無効化、一部返金
被害の広がり: Reddit上で同様の被害報告が複数確認される
課題: 利用明細の内訳が確認できず、被害の特定に時間がかかる

利用明細の不透明さが不信感を招く

De Swardt氏のアカウントは約2週間後に復旧しましたが、対応の遅さと利用明細の内訳を確認できない仕組みへの不満から、同氏はClaudeへの信頼を失い、契約を解約して複数のモデルを切り替えて使えるCursorに乗り換えました。同氏によれば、オープンソース系を含む他のモデルでも実用上大きな差はなく、「Claudeとそれほど変わらない」といい、Anthropicが「この問題を実際に解決しない限り」Claudeに戻ることは考えていないとしています。同氏はまた、Anthropicには何がトークンを消費しているのかを利用者自身が確認できる仕組みが欠けていると指摘し、「利用者がこの種の被害から自分の身を守る手立てはないと思う」と述べています。TechCrunchが不正利用を見分ける方法についてAnthropicに問い合わせたところ、同社はコメントを控えたということです。エージェント経由での作業が当たり前になりつつある今、セッション情報の管理やアカウントの異常検知は、AIサービスを日常的に使う個人や小規模事業者にとっても他人事ではなくなっています。