Anthropicは、生成AIサービス「Claude」において、ログインセッションを乗っ取られたアカウントから「Claude Code」のトークンが不正に消費される事例があることを明らかにしました。TechCrunchが9月8日（現地時間）に報じた内容によると、問題は利用者の訴えを受けて判明しました。

Anthropicによると、異常なアクティビティーが確認された一部のアカウントに対して、セッションの強制終了やサーバー側での認証トークン無効化を実施しました。また、一部の利用者に対しては返金にも応じたとしています。

不正アクセスの原因について同社は、奪取されたセッション情報を使用して、未承認のClaude Code向けOAuthトークンが発行されていたことを挙げています。また、共通して確認された原因として、PCからログインセッションを盗み出す「インフォスティーラー」型のマルウェアによるものとの説明もなされています。ただし、同社はこのマルウェアがClaudeの利用自体によって感染するものではないとしています。

利用者の間では、同意のないプラン変更や、短時間でのトークン使用量の急増を報告する事例が相次いでいます。一方で、利用者が確認できるのはトークンの総使用量に限られており、詳細な内訳が把握しにくいことが、不正利用の早期発見を困難にする要因として指摘されています。

出典: