macOSでClaude Codeの導入方法を検索していたユーザーを偽の案内ページに誘導し、暗号資産ウォレットの情報を盗み取る手口が確認された。Google検索広告とAnthropicの共有リンク機能を組み合わせ、正規サイトに見えるページからターミナルにコマンドを貼り付けさせるのが特徴だ。

9日（現地時間）にTechRadarが報じた。被害者はGoogle検索後、検索結果の最上部に表示された広告をクリックし、claude.aiドメイン上の共有ページへ誘導されたという。

そのページは、Claudeの共有URLを使ったインストール手順の案内で、見た目は正規文書に近い構成だった。表示名には「Apple Support」が使われ、ユーザーはターミナルを開いて1行のコマンドを貼り付けるよう促されていた。

セキュリティ企業Huntressはこの攻撃を解析し、macOS上で動作する6段階のマルウェア感染チェーン「MacSync」を確認したと明らかにした。

感染チェーンには、情報窃取型マルウェアやRAT（リモートアクセス型トロイの木馬）、さらに特定のシステム権限を得るため署名された補助プログラムが含まれていたという。

最終段階では、被害者が利用していた暗号資産ウォレットアプリを不正な改変版に差し替え、リカバリーフレーズを抜き取る設計だったとされる。

Huntressの研究チームは、被害端末がオフラインに切り替えられたため、ディスク上に残ったマルウェア本体を直接回収することはできなかったと説明した。一方で、攻撃者が使用した配信サーバから各段階のファイルを再取得し、全体像を分析したという。

同社は今回の攻撃について、正規のサービスに見せかけるための偽装が最小限で済む、巧妙なキャンペーンだったと評価した。偽ドメインや証明書の警告を使わずに、利用者の信頼を得ていた点が特徴だとしている。

背景には、Anthropicの共有リンク機能がある。Claudeでは会話内容を公開URLとして共有できるが、攻撃者はこの仕組みをそのまま悪用した。

誘導先のページは、Anthropicの正規証明書が適用されたclaude.aiドメイン上でHTTPS配信されていた。このため、アドレスバーを見るだけでは不審な点に気付きにくい構造だった。

さらに攻撃者は、表示名を「Apple Support」に設定していた。ページ上部のバナーには「ClaudeとApple Supportの会話のコピーを見ている」といった文言が表示され、共有ページの体裁そのものが信頼感を補強していた。

掲載されていた案内文も、ベンダーの公式ドキュメントを思わせる内容だった。インストールによって個人ファイルへ影響はなく、承認なしにシステムレベルの変更も行わないと説明していたという。

この問題は、共有リンクの公開構造とも関係する。Anthropicの共有リンクは通常の公開Webページと同様に検索エンジンにインデックスされる。

過去には、非公開のつもりで共有されたClaudeの会話がGoogleやBingの検索結果に表示された例もあった。今回のように攻撃者が偽の導入手順を埋め込むケースも、誤って会話を公開してしまうケースも、「公開され、検索対象となり、Anthropicの証明書の下で配信される」という共通の性質に起因するとみられる。

Huntressによると、同様の手口は今回が初めてではない。ChatGPTやGrokの会話内容を汚染してAMOSを拡散した事例のほか、偽のClaudeデスクトップ広告を使って別のRATを配布した事例、GitHub上に公開された別のAIツールの偽インストーラー事例も確認しているという。

今回のケースは、AIツールの導入方法を検索する行為自体が攻撃対象になり得ることを示した。Huntressは、検索広告で上位に表示されていても安易に信用せず、リンクの出所やコマンドの目的を必ず確認するよう呼びかけている。

特に、ターミナルにコマンドを直接貼り付けさせるタイプの導入手順については、正規サービスのURL上に見えても追加の検証が必要だとしている。