Claudeのトークンが盗まれる被害とは｜セッション乗っ取りの手口・確認方法・今すぐやる対策【2026年9月】

2026年8月末から報じられている「Claudeのトークンが盗まれる」被害は、Claude側のシステムが破られたものではなく、利用者のPCがインフォスティーラー（情報窃取型マルウェア）に感染し、ログイン済みのセッション情報を丸ごと盗まれたことが原因とされています。盗まれたのはパスワードではなく「認証を通過済みであること」を示すセッション情報のため、パスワード変更や2段階認証だけでは止まりません。

対処の優先順位は、①Settings > Account のアクティブセッションを確認して失効させる → ②追加課金の設定を止める → ③端末のマルウェアを駆除してから再ログインする、の順です。この順番を崩すと、駆除前に再ログインして発行された新しいセッションがまた盗まれます。

Claude Pro / Max を契約している個人、Claude Codeを日常的に使う開発者、Team / Enterpriseの管理者に向けた内容です。記載している画面構成・料金は2026年9月10日時点で公式ヘルプおよび公式料金ページを確認したものです。

Claudeの脆弱性ではなく、利用者端末の感染が起点

出典: Anthropic 公式サイト

1. 原因はClaude側ではなく、利用者PCのマルウェア感染。 Anthropicは通知メールの中で「このマルウェアはClaudeに関係するものでも、Claude経由でインストールされたものでもない」と明示したと報じられています。海賊版ソフトや非公式ダウンロード、不正広告など、汎用的な感染経路から入っています。
2. 盗まれたのはログイン済みセッション（トークン）。 攻撃者がこれをそのまま再送すると、ID・パスワード入力も追加認証も経ずに「すでにログインしている利用者」として扱われます。したがってパスワード強化やMFAの有効化だけでは防げません。
3. 狙いは有料プランの利用枠そのもの。 情報を盗んで売るのではなく、Pro / Maxの利用枠（トークン）を勝手に消費し、AIサービスへのアクセス権として転売する動きが確認されています。

そして重要な注意点として、Anthropicはこの件についてプレスリリースや公式ブログでの声明を出していません。情報源は影響を受けた利用者への個別メールで、それを受け取った利用者がRedditに投稿したことで公になりました。EngadgetやTechCrunchの取材にも同社は回答していないと報じられています。被害アカウント数・被害総額は非公開です。本記事も「公式が個別に通知した内容として各媒体が報じている事実」と、公式ヘルプで確認できる仕様とを分けて記載しています。

何が起きたのか：通知メールが伝えた内容

Anthropicは2026年8月29日〜31日にかけて、一部のClaude利用者にメールで通知を送りました。BleepingComputerなど複数の媒体が引用した文面は次の趣旨です。

一般的なインフォスティーラー型マルウェアを使って利用者のコンピュータからClaudeのログインセッションを盗み、そのセッションでClaudeアカウントにアクセスして利用枠を消費している攻撃者を確認した。

あわせて、「使っていないのに利用枠が回復した直後に減っていた場合、これが原因である可能性が高い」という趣旨の記述も含まれていたと報じられています。これが被害判定の最も分かりやすいサインです。

Anthropic側が実施した対応として報じられているのは、次の4点です。

TechCrunchが2026年9月8日に報じた被害者取材では、英国の独立AIコンサルタントがClaude Max 20xを契約中に、作業していない日にトークン消費が増えていることに8月4日時点で気づいていました。別の利用者では12分で利用枠が0%から100%まで到達したケース、3日連続で日次上限を使い切られたケースも報告されています。同記事によると返金額は£44.49の一部返金で、項目別の利用明細は開示されなかったとされています。

なぜ2段階認証を設定していても乗っ取られるのか

セッション窃取が厄介なのは、認証の「手前」ではなく「後」を盗む攻撃だからです。パスワードやワンタイムコードは、ログイン処理を通過するための材料にすぎません。通過し終わった後に発行されるセッションCookieやトークンは、「この人はもう認証済みです」という証明そのものです。

攻撃者はこれをコピーして自分のブラウザに読み込ませる（リプレイする）だけで、認証画面を一切通らずにログイン状態を再現できます。ログイン試行が発生しないため、「新しい端末からのログイン通知」も飛びません。

Oktaが2026年8月2日にTelegram上へ公開された7GBのインフォスティーラー・ダンプを分析した結果（The Hacker Newsが2026年9月に報道）は、この問題がClaudeに限らないことを数字で示しています。

• 感染端末 5,871台、162カ国
• 抽出されたユニークなJWT 44,791件
• うちAIサービスの認証に関連するとみられるJWT 555件
• 公開時点でまだ失効していなかったJWT/JWE 1,843件
• AIサービス向けの有効なAPIキー 24件
• JWTの 17.7% が平文の個人情報を含んでいた

対象サービスにはAnthropicのほか、Google、Microsoft、OpenAI、Cursor、Notion、Character.aiなどが含まれています。Okta側の推奨は、セッショントークンの再利用監視、APIキーのスコープ限定、短命トークンによるOAuth 2.0、パスキーのようなフィッシング耐性のある認証方式、IP許可リスト、DBSC（Device Bound Session Credentials）の活用です。

同種の「AI経由で認証情報が抜ける」問題は他にも報告されています。仕組みの背景を押さえたい場合はAIの推論トレースから認証情報が漏れる脆弱性の解説もあわせて確認してください。

自分が被害に遭っているかを見分けるサイン

以下に複数当てはまる場合、確認を優先してください。単独では別の原因（バックグラウンドで動くツール、共有アカウント、拡張機能の自動実行など）の可能性もあります。

• 使っていない時間帯・日付に利用枠が減っている。「上限がリセットされた直後に、触っていないのに減っていた」は最も典型的なサインです
• Claudeから身に覚えのない強制サインアウトが発生した
• Anthropicからセキュリティに関する個別メールが届いた（送信元が @mail.anthropic.com であることを確認する）
• 保存していた支払い方法が消えている（Anthropic側の予防措置として削除された可能性）
• Settings > Account のアクティブセッション一覧に、使っていない端末・ブラウザが並んでいる
• カード明細にAnthropicからのサブスクリプション以外の請求（利用クレジットの購入分）がある
• PCで海賊版ソフト・非公式サイトからのダウンロード・クラック版を実行した心当たりがある

逆に、位置情報だけを根拠に慌てる必要はありません。セッション一覧に表示される場所はIPベースの推定で、モバイル回線やVPN、社内プロキシ経由では実際の所在地と大きくずれた都市名が出ます。判断材料は「位置」より「見覚えのない端末・ブラウザ」と「使っていない時間帯の利用枠の減り」です。

手順1：アクティブセッションを確認する

出典: Claude 公式サイト

2026年9月時点のWeb版Claudeでは、Settings > Account の下部に Active sessions セクションがあります（公式ヘルプ「Managing your active sessions」／2026年3月16日公開）。

表示される項目は次の通りです。

見覚えのないセッションを見つけたら、そのセッションを選び、三点メニュー（⋮）→ Terminate を実行します。確認モーダルで承認すると、その端末は再ログインが必要な状態になります。現在のセッションを終了したい場合は同じメニューの「Log out」です。

判断がつかないセッションが多い場合は、全セッションからのログアウトを選ぶ方が確実です。Web版の Settings > Account から実行でき、実行後はGoogleログイン、またはメール宛のログインリンクで再認証することになります。アカウントにサインインできず全ログアウトを実行できない場合は、ヘルプセンター右下のメッセージアイコンからサポートに連絡する導線が公式に案内されています。

続けて Settings > Usage を開き、リアルタイムの消費状況と当月コストを確認します。ここで注意したいのは、「いつ・どのセッションが・何に使ったか」という項目別の明細は提供されていない点です。総使用量は追跡されていても内訳が出ないため、不正利用が長期間気づかれにくい構造になっています。TechCrunchの取材でも、被害者が明細の開示を求めたもののAnthropicは応じなかったと報じられています。

手順2：追加課金を止める（実損を防ぐ最優先操作）

セッションを失効させたら、次に課金の蛇口を閉めます。ここを放置すると被害額が膨らみます。

Claudeには 利用クレジット（Extra usage / usage credits） という仕組みがあり、Pro / Max 5x / Max 20x でプラン内の利用枠を使い切った後も、標準APIレートの従量課金で継続利用できます。公式ヘルプ「Manage usage credits for paid Claude plans」で確認できる仕様は次の通りです。

乗っ取られた状態でオートリロードが有効になっていると、プラン内の枠を使い切った後も自動的に追加購入が繰り返されます。Anthropicが保存済みの支払い方法を削除する対応を取ったのは、この構造を止めるためと考えられます。

やるべき操作は次の順です。

1. Settings > Usage を開き、オートリロード（auto-reload）を無効化する
2. 利用クレジット自体をDisableにする（プラン内枠のみで動く状態に戻す）
3. 支払い方法を削除する（端末の安全が確認できるまで再登録しない）
4. カード明細を確認し、身に覚えのない請求がないかチェックする

モバイルアプリ経由で課金している場合、利用クレジットの設定はWeb版で行う必要があります。プラン別の枠と課金の考え方はClaudeの料金プラン解説、従量課金への移行の流れはClaude Fable 5の利用クレジット制についての記事でも整理しています。

参考までに、2026年9月10日時点の公式料金は以下の通りです。被害の金銭的インパクトを見積もる前提として押さえておいてください。

手順3：パスワード変更より先に「端末の駆除」

ここが最も間違えやすいポイントです。セッションを失効させても、端末の感染は残ります。感染したまま再ログインすれば、新しく発行されたセッションが再び盗まれるだけです。Anthropicが通知メールで案内した対処も、マルウェア駆除を最初に置く順番でした。

推奨される順番は次の通りです。

1. 端末のマルウェアスキャンと駆除を実施する。 WindowsはMicrosoft Defender、macOSは同等のセキュリティツールを使用。再ログインやパスワード変更よりも先に行う
2. 駆除後、Claudeに紐づくメールアカウント／Googleアカウントを保護する。 パスワード変更、他デバイスからのサインアウト、メール側の2段階認証の有効化
3. ブラウザに保存していた各種パスワードを更新する
4. クレジットカードの明細を確認する
5. 端末の安全を確認してからClaudeに再ログインし、必要なら支払い方法を再登録する
6. 他のオンラインサービスでもアクティブセッションを失効させ、再認証する
7. OS・ブラウザを最新版に更新する
8. 不審な挙動が続く場合は usersafety@anthropic.com に連絡する

「Claudeのパスワードを変える」は選択肢に入らない

一般的なアカウント乗っ取り対策として真っ先に挙がる「サービスのパスワード変更」は、Claudeの個人アカウントでは実行できません。公式ヘルプ「Log in to your Claude account」には、現時点でClaudeアカウント専用のパスワードを作成することはできないと明記されており、ログイン方法は次の2つです。

• メール宛に届くログインリンク（@mail.anthropic.com から送信）
• Continue with Google

つまり、守るべき対象はClaudeのパスワードではなく、連携しているメールアカウントまたはGoogleアカウント側です。ここを固めなければ、Claudeだけ対処しても入口が残ります。

なお、Claudeのパスキー対応やネイティブな2段階認証の有無については、公式ヘルプ上で記述を確認できませんでした。「Claudeには2FAがない」と断定はできませんが、公式ヘルプ上ではログイン方法としてメールリンクとGoogleログインのみが案内されているというのが2026年9月10日時点で確認できる事実です。パスキーやハードウェアキーを含む認証強化がどこまで進んでいるかは他社と差があり、ChatGPTの高度なアカウントセキュリティ設定と比べると理解しやすいはずです。

特定されているマルウェアファミリ

Anthropicが今回の通知で名前を挙げたとされるファミリは以下です。いずれも「Claude専用」ではなく、ブラウザCookie・保存パスワード・暗号ウォレット・各種トークンを広く抜き取る汎用のインフォスティーラーです。

さらに、Gen Digitalが2026年9月に公表した調査では、インフォスティーラーがAI開発ツールのローカル認証情報を直接狙い始めていることが報告されています。

同社の調査によれば、2026年上半期だけでインフォスティーラーの検知が330万人以上のユニークユーザーで発生し、月間検知数は一貫して50万件を超えています。この数字はAIツール利用者に限った話ではありませんが、感染母数の大きさを示す材料になります。

見落とされがちな盲点：Claude Code / CLIの認証情報

出典: anthropics/claude-code 公式リポジトリ

日本語の報道でほとんど触れられていないのが、ブラウザのCookieだけでなく、開発者端末のローカル認証情報も窃取対象になっているという点です。Gen Digitalの調査でRemus・Djinn StealerがClaudeを直接標的にしていると名指しされているのは、まさにこの領域です。

公式ドキュメント（Claude Code Authentication）で確認できる保管場所は次の通りです。

CLAUDE_CONFIG_DIR を設定している場合はその配下に保存されます。macOSはOS標準のキーストアで保護されるのに対し、Linux / Windowsはファイルとして置かれるという違いがあり、端末が感染した場合の抜かれやすさは同じではありません。

開発者が押さえるべき点は3つです。

• /logout は認証情報を削除するだけでなく、失効（revoke）まで行う。 端末を手放すとき、感染が疑われるときは必ず実行する。/status で現在有効な認証方式・組織・メールを確認できる
• claude setup-token が発行するOAuthトークンは1年間有効。 CI／スクリプト用途で CLAUDE_CODE_OAUTH_TOKEN に設定するものだが、長期有効であるがゆえに、窃取された場合の被害期間が長くなる。使っていないトークンは棚卸しして失効させる
• MCPの設定ファイルに書いた認証情報も窃取対象。 Gen Digitalの報告では、アクセストークン・リフレッシュトークンに加え、MCP設定に保存された認証情報、プロンプト履歴、会話データベース、最近開いたプロジェクト名、場合によっては自社ソースコードまでが収集対象に挙げられています

Gen Digitalが推奨しているのは、AIエージェントの導入状況と認証情報の保管場所の棚卸し、ファイルベースのトークン保存ではなくOS標準のキーストアの利用、プロンプトにパスワードやAPIシークレットを入れないこと、MCPの認証情報を最小権限・短命にすること、使っていないエージェント接続の定期的な失効です。

Claude Code側の権限設計や安全な運用方針はClaude Codeのセキュリティと安全な使い方、MCPの構成と認証の考え方はMCPとは何かの解説で詳しく扱っています。ツールそのものの概要から確認したい場合はClaude Codeとはもどうぞ。

感染経路：どこから入ってくるのか

Anthropicはこのマルウェアが「Claudeに関係するものでも、Claude経由でインストールされたものでもない」と説明したと報じられています。実際に確認されている経路は汎用的なものです。

• 海賊版ソフト・クラック版ゲーム。 Help Net Securityの報道では、ある被害者はロシア系フォーラムからダウンロードした海賊版ゲームに感染経路をたどっています
• 非公式サイトからのダウンロード、悪意あるアプリ、不正広告のクリック。 Malwarebytesは経路が多岐にわたるとし、「Claudeを職業的に使う層を狙い撃ちしているかどうかは不明」としています
• 偽のインストーラー配布サイト。 Straikerは2026年3〜5月に、AIツールを偽装した88ドメイン（うちClaude Codeを偽装したものが30超）を使ってACRStealerを配布するキャンペーンを公表しました。Google広告とSEOポイズニングで検索上位に露出させ、GitHub Pagesの偽リダイレクタを併用する手口で、5月14日時点でも32ドメインが稼働していたとされています

この偽サイトキャンペーンは今回のAnthropicの通知とは別件ですが、開発ツールのインストール経路が現実的な攻撃面になっていることを示す事例です。Straikerの推奨は明快で、インストールコマンドは必ず公式ドキュメントと突き合わせる／検索結果や広告経由でインストールしない。ACRStealerは65種以上のブラウザに加え、ClineのAPIキー、Continue.devの設定、SnowflakeのSSHトークン、175種以上の暗号ウォレット拡張を窃取したと報告されています。

AIコーディング環境そのもののリスク整理はAIコーディングのセキュリティリスクにまとめています。

なぜAIアカウントが狙われるのか：転売のエコシステム

「利用枠を消費するだけ」に見える攻撃が続く理由は、盗んだAIアカウント自体が商品として売買されているからです。

TechCrunchの取材では、CrowdStrikeの担当者が、犯罪者がClaude・ChatGPT・Geminiの認証情報を売買していると述べています。またPalo Alto Networks Unit 42は、乗っ取られたアカウントが「transfer stations（中継所）」と呼ばれるプロキシサービスに集約され、正規のサブスクリプションよりはるかに安い価格でAIサービスへのアクセスとして再販されていると説明しています。別の事例では、盗まれた資格情報が住宅用プロキシ経由で使われ、4分以内に攻撃者が新しいMFAデバイスを登録したケースも報告されています。

つまり、高性能モデルの利用権が「安く売れる商材」になったことで、AI有料アカウントは暗号資産ウォレットと並ぶ換金対象になりました。この構造が続く限り、同種の攻撃は一過性では終わりません。AIサービス全体の脅威動向はAIエージェントのセキュリティ対策ガイドで整理しています。

法人・チーム管理者がいま打てる手

個人プランでは「こまめに確認して失効させる」以外の予防策が限られますが、Enterprise / Console組織の管理者はセッションの有効期間そのものを短縮できます（公式ヘルプ「Configuring session security settings」）。

押さえておくべき仕様は3つです。

• 設定した期間より古い既存セッションは即座に失効する。 侵害が疑われる局面では、組織全体の一括失効としても機能する
• 複数組織に所属するユーザーには、最も短い期間が適用される
• 無効化するとデフォルト（アクティブな限りセッションを維持）に戻る

このほか、管理設定の forceLoginMethod / forceLoginOrgUUID を使うと、claude.aiへのログインを特定組織に限定できます。ただし公式ドキュメントには、claude setup-token と /install-github-app には forceLoginMethod しか適用されず、別組織のトークンを発行できてしまうという制限が明記されています。組織統制を敷いている場合でも、長期トークンの発行経路は別途監査が必要です。

APIキーについては、公式ヘルプ「API Key Best Practices」がシークレットマネージャでの保管、定期的なローテーション、漏洩が疑われるキーの無効化・削除、作成時の有効期限設定を推奨しています。

チーム利用でのインシデント対応としては、Claudeの共有機能で意図せず情報が外部露出した共有チャットがGoogle検索に表示された問題のような事例と合わせて、「アカウント／セッション／共有設定」を一体で点検するのが現実的です。

こんな人は要注意 / 直接のリスクが低い人

特に確認すべき人

• Claude Pro / Max を契約し、支払い方法を登録している人。 利用クレジットとオートリロードが有効なら、被害額が自動で膨らむ構造にある
• Claude Codeを日常的に使う開発者。 ブラウザCookieに加え、ローカルの認証情報ファイルと長期有効トークンという二重の攻撃面がある
• 業務PCとプライベート利用が同じ端末に同居している人。 個人用途で拾った感染が業務トークンに波及する
• フリーソフトや非公式ダウンロードを使う習慣がある人／家族と端末を共有している人
• Team / Enterpriseの管理者。 1人の感染が組織のトークンやリポジトリアクセスに広がりうる

直接のリスクが相対的に低い人

• スマートフォン・タブレットのアプリのみで使っている人。 今回の手口はPC/Macのブラウザとローカルファイルが標的で、モバイルは対象外と報じられている
• 無料プランのみで、支払い方法を一切登録していない人。 金銭的な実損は発生しにくい。ただし会話履歴やアカウント情報が閲覧される可能性は残るため、セッション確認は行っておきたい
• 会社支給の管理端末のみでClaudeを使い、私物ソフトのインストールが禁止されている人。 ただし感染ゼロを意味しないため、管理者側でのセッション期間短縮は依然として有効

時系列で見る経緯

Anthropicが公式声明を出していない以上、今後の続報で状況が変わる可能性があります。

よくある質問

Q. Anthropicから通知メールが届いていなければ、安全と考えてよいですか。

A. 断定はできません。通知は「Anthropic側が不正利用を検知できたアカウント」に対して送られたものです。項目別の利用明細が提供されない構造であることを踏まえると、検知に至らなかった利用が存在しうる前提で、自分でセッション一覧と利用状況を確認する方が確実です。また、この件に便乗したフィッシングメールも想定されるため、届いたメールの送信元ドメインは必ず確認してください。

Q. 不正利用された分の返金は、どこから申請できますか。

A. 2026年9月10日時点で、返金の申請フォームや判定基準は公表されていません。報じられているのは「Anthropicが不正と特定した分を返金した」という事実であり、申請すれば必ず返金されるという保証はありません。まずカード明細と Settings > Usage の記録を保全したうえで、usersafety@anthropic.com またはヘルプセンターのサポート窓口に連絡するのが現実的な手順です。

Q. Claudeの利用をやめれば解決しますか。

A. しません。原因は端末側のマルウェアであり、Claudeの解約は「盗まれる対象が1つ減る」だけです。同じマルウェアはブラウザの保存パスワード、他のAIサービスのトークン、暗号ウォレット、業務システムの認証情報も狙います。解約よりも、端末の駆除と他サービスのセッション失効を優先してください。

Q. セッション一覧に海外の都市名が出ていました。感染確定ですか。

A. 確定ではありません。表示される位置はIPアドレスからの推定で、モバイル回線・VPN・社内プロキシを経由すると実際と大きくずれます。判断は「見覚えのない端末・ブラウザ名か」「使っていない時間帯に利用枠が減っているか」を基準にしてください。判断がつかない場合は、全セッションからログアウトして再ログインすれば安全側に倒せます。

Q. パスワードマネージャーを使っていれば防げますか。

A. 今回の手口には効きません。パスワードマネージャーが守るのはパスワードであり、盗まれているのは認証通過後のセッション情報です。むしろブラウザ拡張型のマネージャーは、感染端末では保管データごと窃取対象になりえます。有効なのは、端末を感染させないことと、セッションを短命に保つことです。

Q. ログアウトすれば、それ以上の被害は止まりますか。

A. その時点で盗まれていたセッションは無効になります。ただし端末が感染したままだと、再ログインで発行された新しいセッションが再び盗まれます。駆除 → 再ログインの順序を守らないと、対処が意味を持ちません。

まとめ

「Claudeのトークンが盗まれる」被害は、AIサービスのアカウントが独立した換金対象になったことを示す事例です。Claude固有の脆弱性ではないぶん、同じ手口はChatGPT、Gemini、Cursorなど他のAIツールにもそのまま適用されます。

今日中にやるべきことを3つに絞ると、次の通りです。

1. Settings > Account のActive sessionsを開き、見覚えのないセッションを終了する（迷ったら全ログアウト）
2. Settings > Usage でオートリロードと利用クレジットを無効化し、支払い方法を外す
3. 端末のマルウェアスキャンを実行し、駆除を確認してから再ログイン・メールアカウント側の2段階認証を有効化する

開発者であれば、これに加えて claude setup-token で発行した長期トークンの棚卸しと、MCP設定に平文で置いた認証情報の点検を行ってください。Claudeというサービス自体の全体像や料金体系から確認したい場合は、Claudeとは何かの解説とClaudeの料金プラン解説を起点にすると整理しやすいはずです。

参照した主な情報源

• Claude Help Center: Managing your active sessions / How do I log out of all active sessions? / Configuring session security settings / Log in to your Claude account / Manage usage credits for paid Claude plans / API Key Best Practices
• Claude Code Docs: Authentication
• Claude Pricing（2026年9月10日確認）
• BleepingComputer / Help Net Security / SecurityWeek / Malwarebytes / TechCrunch / Engadget / Dark Reading / eSecurity Planet
• The Hacker News（Oktaの分析）／Gen Digital／Straiker