ClaudeのセッションCookie盗難で不正利用、2FA迂回の手口をAnthropicが通知

何が起きたか

Anthropicは、情報窃取型マルウェアを使う攻撃者がClaudeのログインセッションをPCから盗み出し、それを利用して有料アカウントを使い倒したと、影響を受けた利用者への通知で明らかにした。通知はある利用者がRedditに投稿し、BleepingComputerが2026年8月30日に報じている。

通知で名前が挙がったのは、Windows向けのVidar、LummaC2、StealC、RedLine、Acreedと、少数のMacで確認されたAtomic Stealer。これらはブラウザのログインCookieや保存済みパスワードを収集する汎用型の窃取ツールで、通知文には「あなたのClaudeセッションは、マルウェアが収集した多くの情報の1つだった可能性が高い」と記された。

2FAを迂回する手口

ログインが済んだことを証明するのがセッションCookieだ。サイトは認証に成功したブラウザへCookieを渡し、利用者がログイン状態を保てるようにする。攻撃者はこのCookieをコピーして別の環境からリプレイ（再送）することで、2FAを通過済みの本人としてサーバーに認識される。

ログイン画面の2FAは認証時には機能するが、発行済みCookieが悪用された場合はチェックが働かない。今回の件でSSOに期待できるのは、防止ではなく失効と可視化に限られる。マルウェア感染でCookieを盗まれた時点で、SSOを導入していてもそれを止める手段にはならないというのが、記事の整理だ。

企業の盲点になる理由

Anthropicが不正利用を確認したのは、企業のIDプロバイダが管理しないカード直接請求のセルフサービスアカウントだ。この層は管理者コンソールから強制的にサインアウトさせることができない。つまり、個人契約のClaudeを企業が管理するPCで使っている場合、攻撃者がセッションを乗っ取っても管理者が失効させられない。

セキュリティ企業Akamaiのリポートに掲載されたLayerXのデータでは、企業内のAI会話の47％が個人ID経由であり、Claudeでは61％に上る。自社の管理対象端末で個人契約のAIサービスにカードを登録する行為は、珍しくない状況にあると言える。

まだ分かっていないこと

感染経路の実例も報告されている。Reddit上の利用者の1人は海賊版ゲームから感染したと説明した。他にも、攻撃者がclaude.aiドメイン内の公開Artifactを使って偽のClaudeダウンロードページを公開し、Bingのスポンサー広告で従業員を誘導する事例があった。HuntressがFakeAgentと名付けたキャンペーンでは、SectopRATと呼ばれるマルウェアにより2日間で29組織が侵害され、不正Artifactは削除までに約7,100ダウンロードを集めた。

ただし、これらはAI製品を狙う攻撃の背景にある脅威の例であり、今回のCookie窃取キャンペーンと同一かどうかは記事からは判断できない。Anthropicは影響を受けたアカウント数や、SSOで保護されたTeam／Enterpriseアカウントへの波及、会話履歴や接続アプリへの到達有無を公表していない。カード情報の削除と返金を行ったことから、対象は個人契約を含むセルフサービス層に絞られるとみられるが、断定はされていない。