パスワードと多要素認証は、サインインの手順を守ります。しかし、サインイン完了後の認証済みブラウザセッションまで必ず守るとは限りません。ライブセッションには、有料モデルの利用量、会話、アップロードした資料、接続済みワークフロー、その他そのアカウントに許可された機能へのアクセスが含まれ得るため、この区別は AI アカウントで重要になっています。
Anthropic は最近、一部の Claude ユーザーに対し、一般的な情報窃取型マルウェアが感染したコンピューターからアクティブなログインセッションをコピーしたと警告しました。BleepingComputer の報道によれば、攻撃者はそのセッションを再利用してアカウントに入り、利用可能な使用量を消費しました。Anthropic は影響を受けたセッションを失効させ、ユーザーをサインアウトし、保存済みの支払い方法を削除し、不正と判断した請求を返金しました。同社は、そのマルウェアが Claude に由来した、またはサービス利用の結果だったと考える理由はないと述べています。
これは、攻撃者がパスワードを破ったり MFA チャレンジを突破したりした事案として説明されてはいません。ユーザーが正常に認証されると、ブラウザは通常 Cookie またはトークンを受け取ります。ブラウザは後続のリクエストでそのアーティファクトを提示するため、ユーザーは各ページでパスワード入力と MFA 完了を繰り返す必要がありません。マルウェアがそのアーティファクトを抽出し、サービスが別環境からのものを受け入れれば、攻撃者はすでに認証された状態を引き継げます。
MITRE ATT&CK はこの挙動を、盗まれた Web セッション Cookie の使用に分類しています。その説明では、敵対者は盗んだ Cookie を管理下のブラウザにインポートし、セッションが有効な間、被害者としてアプリケーションを使えるとしています。基礎となるセッションはすでに認証を通過しているため、この手法は一部の MFA プロトコルを回避できます。Microsoft は同等のパターンを「pass-the-cookie」と表現しています。マルウェアがブラウザ Cookie を抽出し、攻撃者がそれを別のブラウザに挿入して、新規ログイン時に適用されるチェックポイントを通り抜けるものです。
したがって、セッション窃取は新たなパスワード入力と MFA チャレンジの必要性を回避できる、と言う方が正確です。これは、パスワードが復元されたこと、第二要素が暗号学的に破られたこと、または MFA に価値がないことを示すものではありません。MFA は、盗まれた認証情報だけに基づく多くの攻撃を依然として阻止します。問題は、再利用可能なセッションアーティファクトがそれらの保護の下流にあり、一時的に独立した認証情報として機能し得ることです。
最初の対応は、別の信頼できるデバイスからの封じ込めであるべきです。AI サービスのセッション管理機能を開き、見覚えのないセッションを終了します。範囲が不明な場合にサービスが全体サインアウトを提供していれば、それを使います。Anthropic のアクティブセッションページでは、Claude ユーザーがログイン済みのデバイスとブラウザを確認し、認識できないセッションをリモートで終了できます。この操作は盗まれた認証状態を直接対象にします。パスワード変更だけでは、すべてのサービスの既存セッションが直ちに無効になるとは限りません。
次に、復旧経路を保護します。主メールアカウント、そのアクティブセッション、回復用メールアドレス、回復用電話番号、認証方法を確認します。メールは他サービスのパスワードリセットを管理することが多いため、そこへのアクセスを維持する攻撃者は後の復旧作業を覆せます。必要に応じて保存された支払いアクセスを削除し、説明のつかない購入や消費を調べ、不正な活動はプロバイダーの公式サポート手順で報告します。
その後、そのコンピューターで代替セッションを作成する前に、影響を受けた端末を調査します。Anthropic の警告は、ユーザーをサインアウトすれば盗まれたセッションは止まるが、マルウェアは除去されないことを強調しました。情報窃取型マルウェアが活動中のままなら、再ログインはコピーすべき新しいセッションを与えるだけです。信頼できるエンドポイントセキュリティツールを使い、端末所有者または組織のインシデント対応手順に従ってください。除去に確信が持てない場合、信頼できるソースから端末を再構築する方が、何度もサインインし直してスキャンするより明確な復旧境界を得られることがあります。
アカウント復旧を信頼できる環境へ移し、端末に対処した後でのみ、ユーザーは露出した認証情報をリセットし、新しいセッションを確立すべきです。ブラウザに保存された、またはマルウェアが活動していた間に入力したパスワードは、AI アカウント以外も見直す必要があります。汎用情報窃取型マルウェアは、ローカルで利用可能な複数種類の情報を集めるよう作られているため、Claude の警告はモデル利用に関する孤立した問題ではなく、より広範な端末侵害の証拠として扱うべきです。
チームは、影響を受けた人が何にアクセスできたかに応じてレビューを広げるべきです。開発者の環境には、リポジトリ認証情報、クラウドアクセス、パッケージレジストリトークン、API キー、職場のセッションが含まれる可能性があります。報告された Claude 事案はブラウザログインセッションに関するものであり、Anthropic API キー、開発者コンソール、エンタープライズ ID プロバイダー、または感染端末上の他のすべての認証情報の侵害を確立したものではありません。これらの資産を確認することは、汎用の情報窃取型マルウェアの性質により正当化される予防措置であり、各資産が盗まれた証明ではありません。
封じ込め後は、利用可能なシステムが提供する証拠を保持し、調べます。役立つ記録には、セッション履歴、セキュリティ通知、利用量の変化、購入、エンドポイント検出、ID プロバイダーイベント、管理監査ログがあります。Microsoft は、トークン窃取後に侵害されたアカウントについて、永続化と不審な変更を調査するよう勧めています。正確な確認項目はアプリケーションに依存しますが、原則は変わりません。アーティファクトの失効は一つのアクセス経路を止め、調査は攻撃者が別の経路を作ったかを判断します。
公開された Claude の報告は、限定的な結論を裏付けます。一部ユーザーのコンピューターは一般的な情報窃取型マルウェアに感染し、アクティブな Claude セッションは収集・悪用され、Anthropic はアカウントと支払いの是正を実施しました。報告は複数の Windows マルウェアファミリーと、少数の Mac の事例を特定しました。また、予期しない使用量の枯渇を、一部の影響ユーザーが観察できる症状として説明しています。
報告は、影響ユーザーの総数、完全な悪用期間、不正使用量の総計、調査の検知方法を開示していません。Anthropic の中核システム、モデル、アカウントデータベースが侵害されたことも立証していません。攻撃者が会話履歴を読んだ、アップロードファイルを開いた、コネクターを使用した、またはアカウント設定を変えたことも証明していません。有効なセッションはそのユーザーに利用可能な機能を提供し得ますが、可能なアクセスと実証された攻撃者活動は同じ主張ではありません。
この慎重さはセキュリティ判断に重要です。事案を単なるパスワード再利用と過小評価すれば、誤った復旧順序になります。プラットフォーム侵害と過大評価すれば、報告された侵入口を誤認します。擁護可能な解釈は、端末マルウェアが認証済みブラウザ状態が表す信頼を損ない、その結果の悪用が AI サービス内で可視化された、というものです。
購入者と管理者にとって、セッションの可視性は最初に評価すべき製品コントロールです。ユーザーはアクティブなデバイスとブラウザ、おおよその位置、最近の活動を見られるでしょうか。一つのセッションを、すべてのデバイスを妨げずに終了できるでしょうか。不確実なインシデント向けに、信頼できる全体サインアウトもあるでしょうか。管理者はセッションを一元的に失効させられ、その効果は Web、デスクトップ、モバイル、接続済み体験にわたり即時でしょうか。
失効の意味論は特に精査に値します。Microsoft は、リフレッシュトークンを失効させても、すでに発行されたアクセストークンが必ずしも直ちに無効になるわけではないと指摘しています。プラットフォームがより速い強制を支援しない限り、アクセスはそのトークンが期限切れになるまで続きます。AI ベンダーは Microsoft のアーキテクチャを使う必要はありませんが、同じ評価課題に直面します。ユーザーまたは管理者が「サインアウト」を押した後、どの認証アーティファクトが、どの画面で、どれほど速く機能しなくなるのでしょうか。
セッション寿命も検討すべき別のトレードオフです。寿命の短いアーティファクトはコピーされたトークンが有用な期間を短くしますが、再認証を増やし、長時間の作業を中断することがあります。リスクベースの再認証は、機密操作、通常と異なる環境、権限昇格操作にチャレンジを要求することで、より選択的な境界を提供できます。顧客は、どのイベントが新たな認証確認を起動するか、保存済み支払い方法の変更やその他の重要な操作に追加保護があるかを尋ねるべきです。
検知と通知は、反応的コントロールをどれだけ早く機能させられるかを決めます。有用な機能には、見覚えのないセッション、異常な場所、異常な消費、セキュリティ設定変更へのアラートがあります。いずれも単独では決定的ではありません。正当なユーザーも旅行し、ネットワークを変え、ブラウザを切り替え、AI の利用を変化させます。製品はシグナルを組み合わせ、有用な監査履歴を保持し、通常の活動と失効すべきセッションを区別できるだけの文脈をユーザーに与えるべきです。
管理対象デバイスのポリシーは、組織アカウントの露出を減らせます。Microsoft は、ユーザーがどこで認証するかの可視性、重要アプリケーション向けデバイス準拠コントロール、管理対象外デバイス向けの補償的セッションコントロールを勧めています。AI サービスを評価するチームは、エンタープライズプランが既知デバイスへのアクセス制限、既存 ID コントロールとの統合、特権管理と通常利用の分離、そして各従業員の対応を待たない迅速な封じ込めを支援できるかを確認すべきです。
デバイスバインドセッションは、エクスポートされた Cookie のリプレイに対するより直接的な防御を提供します。Google の Device Bound Session Credentials 設計は、ハードウェア保護されたエクスポート不能な秘密鍵と短命の Cookie を使います。サーバーが新しいセッション Cookie を発行する前に、ブラウザは対応する鍵の所持を繰り返し証明しなければなりません。したがって、別のマシンにコピーされた Cookie は、デバイスが保持する鍵なしでは速やかに期限切れになるはずです。Google は Chrome 146 の Windows ユーザー向け一般提供を発表し、macOS 対応は後のリリースに続くと述べました。
この保護は自動でも絶対的でもありません。サービスは必要な登録・更新エンドポイントを実装しなければならず、ブラウザの対応だけでは特定の AI 製品が DBSC を使っているとは示しません。デバイスバインディングは、エクスポートされた Cookie のリモートリプレイを妨げるよう設計されていますが、感染端末を信頼できるものにはしません。端末上で動くマルウェアは、なお他の情報を盗んだり、侵害環境を通じて操作したりできます。復旧、複数デバイスの利用、非対応ハードウェア、フェデレーテッド ID も導入上の問いを生み、購入者はベンダーに説明を求めるべきです。
最も強い製品姿勢は、複数の層を組み合わせます。窃取を減らすエンドポイント保護、封じ込めのための可視かつ失効可能なセッション、有用性を制限する短期またはリスク感応型の認証ウィンドウ、悪用を特定する検知、エクスポート済みアーティファクトをリプレイしにくくするデバイスバインディングです。明確なサポート手順と請求是正は、コントロール失敗後の害を減らしますが、予防的設計の代わりではなく補完であるべきです。
AI ユーザーにとって実務上の原則は簡単です。パスワードと MFA の方法が変わっていないように見えても、予期しない利用量の急増やセッション警告は端末インシデントかもしれません。クリーンなデバイスからアクセスを失効させ、復旧アカウントを保護し、端末を調査し、露出した認証情報をローテーションしてから、新しい信頼できるセッションを作成してください。チームにとっての長期的な教訓はより広いものです。攻撃者がすでにそうしている以上、認証済みセッション状態をパスワード、API キー、その他の認証情報と同じ真剣さで評価してください。
一次情報、製品ドキュメント、実際の利用シーンをもとに、あなたのワークフローに合うツールかどうかを判断しやすくする記事を作成しています。