Anthropicの生成AIサービス「Claude」で、ログインセッションを乗っ取られた利用者アカウントから「Claude Code」のトークンが不正に消費される事例が確認された。Anthropicは異常なアクティビティーを検知した一部アカウントについて、セッションの強制終了やサーバー側での認証トークン無効化を実施し、一部利用者には返金にも応じた。

米TechCrunchが9月8日（現地時間）に報じた。問題は、英イーストサセックス在住の独立系AIコンサルタント、グラント・ド・スワート氏の訴えをきっかけに明らかになった。

ド・スワート氏によると、先月4日、月額200ドル（約3万円）の「Claude Max 20X」アカウントで、心当たりがないままトークン使用量が増え続けていることに気付いた。翌日にはClaudeに接続していた機能をすべて無効化し、別の作業も行わなかったが、使用量は再び増加したという。

同氏は当時、予約済みだったClaudeの作業は中断または終了しており、クラウド実行機能もオフ、ローカルで動作するClaude Codeの処理も走っていなかったと説明した。それでも、利用を極力絞った状態で使用量が45％から55％まで増えたとしている。

同氏はAnthropicに対し、トークン消費の詳細な内訳開示を求めたが、項目別データは提供されなかった。一方でAnthropicは異常な動きを確認し、有料アカウントを一時停止した。

その後、Anthropicは全ログインセッションを終了し、サーバー側でClaude Codeのトークンを無効化した。残りの購読期間分として、44.49ポンドを一部返金したという。

Anthropicが調査結果として同氏に伝えた原因は、奪取されたClaudeのセッション情報だった。このセッション情報を使って、未承認のClaude Code向けOAuthトークンが発行されていたとしている。

ド・スワート氏は、自身の有料アカウントが他の利用者の処理を実行する無許可の第三者サービスに使われた可能性があるとみている。ただ、どの経路でアカウントへのアクセス権が外部に渡ったのかは確認できていないという。

Anthropicも、利用者が気付かないうちに認証情報やセッションデータを奪われた、あるいはアカウントが外部サービスに接続された可能性を示す痕跡と一致すると説明した。

問題を見つけにくい点も浮き彫りになった。ド・スワート氏は、利用者側で確認できるのがトークン総使用量に限られ、具体的な内訳が把握できないため、アカウント乗っ取りが数カ月見過ごされる恐れがあると指摘した。

同氏は中小企業向けに自動化エージェントの構築を支援しており、事務作業からWebサイト設計、コーディングまでAIへの依存度が高いという。アカウントが正常に使えなくなれば、業務への影響は大きいとしている。

同様の被害を訴える利用者も出ている。ド・スワート氏が体験談をRedditに投稿した後、複数の利用者が類似事例を報告した。

ある利用者は、同意なく上位プランに変更され、クレジットカードに請求が発生したうえ、未使用にもかかわらずトークン使用量が0％から100％まで急増したと主張した。別の利用者も、簡単なプロンプト入力とWeb検索だけの利用で、約12分の間に使用量が0％から49％に増えたと投稿した。

GitHubでも、アカウントが3日連続で最大トークンを使い切ったとの報告が上がるなど、類似ケースが相次いだ。

Anthropicは一部利用者に警告メールも送付した。同社によると、共通して確認されたのはインフォスティーラー型マルウェアで、利用者のPCからClaudeのログインセッションを奪取し、その情報を使ってアカウントにアクセスし、トークンを消費する事例が確認されたという。

インフォスティーラーは、PCに保存されたパスワードやセッションデータ、ログイン情報などを盗み出すマルウェアだ。Anthropicは、不審なアクティビティーを確認した利用者について、強制ログアウトや既存認証の無効化を実施したほか、一部の被害者には返金とあわせてマルウェア感染の可能性を通知したと明らかにした。

ただAnthropicは、このマルウェアはClaudeの利用自体によって感染するものではないと説明している。感染したソフトウェアのダウンロードや悪質な広告のクリックなど、複数のオンライン経路から端末に侵入し得るとしている。

一方、ド・スワート氏は、こうした警告メールは自身には届いておらず、PCがマルウェアに感染した証拠も見つからなかったと話している。ハッカーがどの経路でアカウントにアクセスしたのかも、なお特定できていないという。

同氏のアカウントは約2週間後に復旧したが、発生直後は十分な支援を受けにくく、トークンがどこで使われたのかを確認する手段も不足していたとして不満を示した。最終的に同氏はClaudeの契約を解約し、複数のAIモデルを利用できる「Cursor」へ移行した。

同氏は、他のAIモデルでも業務上はClaudeと同程度に活用でき、より安価なオープンソースモデルという選択肢もあると指摘する。Anthropicが問題を解消しない限り、Claudeに戻る考えはないとしている。

今回の事例は、AIサービスが単なる対話ツールにとどまらず、コーディングや業務自動化など実務を担う段階に入る中で、アカウント認証と利用状況の可視化が重要な課題になっていることを示した。とりわけ、トークン消費の詳細を追跡する機能が不足すると、利用者がアカウント乗っ取りや不正利用にすぐ気付きにくい。

Anthropicが今後、不正利用の検知体制をどう強化し、より具体的な利用内訳や対処手段を利用者に提示できるかが問われそうだ。