Anthropicは8月30日以降、一部のClaudeユーザーに通知を送り、何者かが情報窃取マルウェアを使ってユーザーのコンピューターからClaudeのログインセッションCookieを盗み、それを利用して2FAを回避し、アカウントに不正アクセスしたうえで利用枠を消費していると説明しました。Anthropicは、Claudeプラットフォーム自体が侵害されたのではなく、Claudeアカウントが不正利用の踏み台にされたにすぎないと明らかにしました。
Anthropicの通知：異常なセッションをログアウト
Anthropicは通知メールで、異常を検知した後、以下の措置を講じたと説明しました。異常が検知されたすべてのログインセッションからユーザーをログアウトさせ、アカウントに保存されていた支払い方法を削除し、特定された不正な請求を返金したとのことです。Anthropicは影響を受けたユーザーに対し、ログアウトによって無効化できるのは今回盗まれたセッションだけであり、コンピューター内のマルウェアが削除されるわけではないと注意喚起しています。マルウェアを駆除しなければ、今後再び情報を盗まれる可能性があります。
Anthropicが推奨する手順には、アカウントのパスワード変更、他のデバイス上のログインセッションの失効、コンピューター内のマルウェアのスキャンと駆除が含まれます。
攻撃の仕組み：情報窃取マルウェアがセッションCookieを盗む
2FAは、「ログインした瞬間」に本人確認を行う仕組みです。アカウント情報、パスワード、そして2段階目の認証コードによって、本人がログイン操作を行ったことを確認します。しかし今回の攻撃で盗まれたのはログイン認証情報ではなく、ログイン後にブラウザーへ保存されたセッションCookie（ブラウザーが認証済みの状態を記憶するための識別情報）でした。攻撃者がセッションCookieを入手すると、2FAを通過する必要なく、アカウントへ直接アクセスできてしまいます。
Redditでは、通知メールを受け取ったユーザーがその内容を投稿し、次のように説明しています。GoogleアカウントでClaudeにログインし、2FAも有効にしていたにもかかわらず、攻撃者はChromeブラウザー内のアカウント情報、Cookie、セッションIDを一度に盗み、2FAを完全に回避したとのことです。追跡の結果、感染源は、以前自分でダウンロードした海賊版ソフトウェアである可能性が高いことが判明しました。
情報窃取マルウェアのファミリーを名指し
Anthropicの通知で名指しされた情報窃取マルウェアのファミリーは、以下のとおりです。
Windows版（5種）：
· Vidar
· LummaC2
· StealC
· RedLine
· Acreed
macOS版（1種）：
· Atomic Stealer（AMOS）
いずれも地下市場で長年流通している商用の情報窃取マルウェアで、購入や操作のハードルが低く、大規模なばらまき型攻撃に利用できます。これが近年、この種の攻撃が蔓延している理由の一つです。
NordVPNの調査：2025年上半期に580万台超の感染デバイス
NordVPNの研究者は、2025年6月から2026年6月までの期間に、ダークウェブのフォーラムやTelegramのマーケットで流通している情報窃取マルウェアのログを分析し、ブラウザーCookieの数が524億件を超えていることを発見しました。2025年上半期に焦点を当てると、情報窃取マルウェアは約580万台の感染デバイスから約18億組のログイン認証情報を盗んでいました。そのうち約117万件の記録には、アカウント情報と、なお有効なセッションCookieが同時に含まれていました。これは、2FAを回避してアカウントへ直接ログインできることを意味します。この統計は、この種の攻撃がすでに工業化された規模に達していることを示しています。
よくある質問
Anthropicはいつ、影響を受けたClaudeユーザーへの通知を開始しましたか？
Anthropicは2026年8月30日以降、一部のClaudeユーザーに「A recent issue affected your Claude account」という件名の通知を送り、アカウントのセッションCookieが盗まれ、利用枠の消費に悪用されたことを説明しました。
なぜ2FAでは今回の攻撃を防げなかったのですか？
2FAは「ログイン時点」でのみ本人確認を行い、アカウント情報とパスワードによるログイン手続きを保護する仕組みです。情報窃取マルウェアが盗むのは、ログイン後にブラウザーへ保存されたセッションCookie（認証済み状態を示す情報）です。このCookieを持つ攻撃者は、2FAを通過せずにアカウントへ直接アクセスできます。
Anthropicは今回の事案に対してどのような措置を講じましたか？
Anthropicの通知によると、実施した措置には、異常が検知されたログインセッションからのログアウト、アカウントに保存されていた支払い方法の削除、特定された不正な請求の返金が含まれます。また、影響を受けたユーザーに対し、パスワードの変更、他のデバイス上のログインセッションの失効、コンピューター内のマルウェアの駆除を推奨しています。
今回関与した情報窃取マルウェアは何ですか？
Anthropicが名指しした情報窃取マルウェアには、Windows版のVidar、LummaC2、StealC、RedLine、Acreed、およびmacOS版のAtomic Stealer（AMOS）が含まれます。いずれも地下市場で流通している商用の情報窃取マルウェアです。
