HALBo
📑 目次
Anthropicは、情報窃取マルウェアに感染したパソコンから盗まれた「ログイン済みの合言葉」を使って、Claudeアカウントに不正ログインされた利用者に通知メールを送った。2026年8月30日にBleepingComputerが報じ、9月2日にVentureBeatが詳細を伝えた。問題はClaude単体の被害にとどまらない。ClaudeにGoogle Workspaceのメールやドライブへのアクセス権限を与えていた利用者は、その権限までまとめて攻撃者に渡ってしまう。しかも会社の情報システム担当者には、その権限を後から取り消す手段がない。
盗まれたのはパスワードではなく「ログイン済みの証明」
今回盗まれたのは、Vidar、LummaC2、StealC、RedLine、Windows向けAcreed、Mac向けAtomic Stealerといった、AI専用ではない一般的な情報窃取マルウェアだ。これらは感染したパソコンのブラウザから「セッションCookie」を丸ごとコピーする。セッションCookieとは、一度ログインが済んだことをブラウザに記録しておく一時的な合言葉のようなもので、これを持っていれば毎回IDとパスワードを入力しなくてもサイトに入れる。攻撃者はこの合言葉を別のパソコンにそのまま移して使い回す「リプレイ」という手口で、パスワードもログイン時の2段階認証(2FA)も一切入力せずにClaudeへ入り込んだ。Anthropicは通知文で「あなたのClaudeセッションは、マルウェアが集めた多くのものの一つだった可能性が高い」と伝えている。
Claudeが権限を「引き継ぐ」ため、Gmailの受信箱まで開いてしまう
被害がClaudeの中だけで収まらない理由は、コネクタと呼ばれる連携機能にある。ClaudeにGoogle Workspaceを接続すると、Claudeは接続した本人が持っているのと同じ権限をそのまま引き継ぐ。VentureBeatが確認した通り、Claudeは接続先サービスから各人の権限をそのまま引き継ぐため、アカウントを乗っ取った攻撃者は本人のGmail受信箱やGoogleドライブのフォルダを読んだり検索したりできてしまう。メールの送信・転送・共有・削除といった書き込み操作には承認画面が挟まる設計になっているが、読み取りと検索は承認なしで実行される。会話履歴やプロジェクトにアップロードしたファイルも、同様にアクセスされうる範囲に含まれる。
会社のIT管理者が権限を取り消せないという欠陥
今回の件で最も深刻なのは、企業のID管理システムの設計そのものにある欠陥だ。従業員が「許可」ボタンを押した瞬間、その権限は一度だけ評価される。しかしその後は原則として再評価されない。つまり、従業員が個人契約のClaudeでGoogle Workspaceとの連携を許可してしまうと、会社のSSO(シングルサインオン、複数サービスに1回のログインでまとめて入れる仕組み)管理者であっても、その権限を後から取り消すことができない。感染したパソコンも従業員個人の所有物であることが多く、会社側では制御できない。
個人アカウントでのAI利用が実は多数派という実態
この構造的な問題は、Claudeに限った話ではない。LayerXとAkamaiの調査によれば、企業のAI利用に関する会話のうち47%が、会社アカウントではなく個人のアカウント経由で行われている。Claudeに限ると、この割合は61%まで上がるという。VentureBeat Pulse Researchが116社を対象に行った調査でも、63%の企業が「AIエージェントのどこかで認証情報の使い回しがある」と回答した一方、Okta AI Agentsのような専用のID管理を導入済みの企業はわずか3%にとどまった。CrowdStrike副社長のAdam Meyersは、乗っ取ったクラウドアカウントのAI利用権限を悪用して大量の処理を行わせ、被害者に高額な請求を発生させる手口を「コスト収穫」と呼び、「LLMのコインマイニングのようなものと考えてほしい」と説明する。実際にCrowdStrikeが確認したある事例では、乗っ取られたクラウドアカウントから2分間で約20万件のAPIリクエストが送信された。
侵入経路として見過ごせないのが、2026年7月に確認された「FakeAgent」キャンペーンだ。攻撃者はclaude.aiのドメイン自体に偽の公開ページを作り、Bingのスポンサー広告経由で「Claude Desktop app」を検索したユーザーを誘導し、SectopRATというマルウェアを配布した。セキュリティ企業Huntressの分析によれば、このページは削除されるまでの2日間で約7,100件ダウンロードされ、29の組織で従業員が感染したという。VentureBeatはこの点について「侵入経路は海賊版ではなく、企業の従業員が仕事用マシンで公式アプリを検索する行為そのものだ」と指摘している。Claude Codeを狙った別種の攻撃手法についても、AIエージェントが攻撃者の指示に従ってしまう事例が過去に報告されている(Claude Codeが10回中9回、攻撃者に従った)。また、Claudeの安全機構そのものが短時間で突破された例も別途報告されており(Claude透かし導入、4時間で回避コード拡散)、AIサービスを狙った攻撃の手口は多様化している。
Anthropicの対応と、それでも残る限界
Anthropicは影響を受けた利用者に対し、該当する6つのマルウェアファミリーを名指しした通知メールを送付し、対象アカウントを強制的にサインアウトさせた。保存されていた支払い方法は削除し、不正な請求は払い戻したという。ただしAnthropic自身が認めているとおり、サインアウトは盗まれたセッションを止めるだけで、マルウェア自体は端末に残ったままなので、次のログインもまた盗まれる。感染したパソコンがユーザー個人の所有物である以上、会社側にできることは限られている。なお、Claudeは非エンジニアの社員にも業務で広く使われはじめており(Claudeは非エンジニアも使っている)、利用者の裾野が広がるほど、こうした個人アカウント経由のリスクは組織全体に及びやすくなる。
先を行く企業の設計と今後の対策
この問題への対応として先を行くのが、顧客管理ツールを手がけるCommon Roomだ。共同創業者でチーフアーキテクトのTom Kleinpeterは、長期間有効なAPIキーを個人のパソコンに保存する方式について「盗まれれば、誰かが気づいて手動で取り消すまで無期限に悪用され続ける」として、2025年夏の時点でこの方式を採用しないと決めていたという。Common Roomは2025年10月からOktaの認証基盤Auth0を採用し、読み取り権限と書き込み権限を分離したうえで、書き込み操作をデフォルトで無効にしている。Kleinpeterは「長期間・広範囲の権限を持つAPIキーは、一人の人間が一つの信頼されたシステムを操作しリアルタイムで監視していた時代には理にかなっていたが、今やAIエージェントは複数の端末をまたいで動き、リアルタイムで人間が見ていないことが多い」と話す。Oktaも2026年8月24日、AIエージェントを企業のディレクトリに正式登録し、長期保存の認証情報の代わりに短時間だけ有効なトークンを発行する「Agent SSO」の提供を始めた。皮肉にも、この事件が明らかになったのはその6日後のことだった。
IEEE上級会員でセキュリティ書籍の著者でもあるKayne McGladreyは、Okta AI Agentsの導入企業がわずか3%にとどまる理由について、「前提条件をすべて満たせるのは、十分なリソースを持つ企業だけだ」と指摘する。その前提条件とは、攻撃対象領域の管理・被害範囲の封じ込め・基本的な多要素認証の整備だという。McGladreyはさらに、業界の根本課題として「起こりうる問題のほぼ全てに技術的解決策はあるが、それらに優先順位をつける方法がない」とも語る。VentureBeatは対策として、情報窃取マルウェアを検出した端末上の全AIサービスセッションを危殆化扱いにする手順の整備、管理下デバイス上の個人AI利用の棚卸し、Google WorkspaceやMicrosoft 365側での第三者アプリ認可の制限、そしてClaudeのサインアウトだけでなくGoogleやMicrosoft側のOAuth権限自体を取り消すことを挙げている。将来的には、GoogleがChromeに導入を進める「Device Bound Session Credentials」のように、セッションを端末のセキュリティチップに紐づけてコピーそのものを無効化する技術が普及すれば、根本的な解決に近づく可能性がある。ただし現状はWindows版Chromeが対象で、Macユーザーは保護の外にある。
まとめ
今回の通知は個人の利用者に送られたものだが、Cookieが盗まれた端末は会社のIT部門ではなく従業員個人が管理している。マルウェア自体が端末から取り除かれない限り、同じ端末での次のログインも再び盗まれる可能性が残る。ビジネスパーソンにとっての教訓は明快だ。Claudeやその他のAIサービスに社内のメールやドライブを接続する際は、利便性だけでなく、その権限が事実上取り消せなくなるという事実も理解したうえで判断する必要がある。
参考・出典
📰 関連ニュース
-
2026-09-30
-
2026-09-27
-
2026-09-26
