VOLTAインフォスティーラーのAI悪用とは？盗んだ情報をClaudeなどで査定する手口と対策

VOLTAは、Windowsのパソコンからパスワードや暗号資産のウォレット、ログイン中のセッションを盗み、まとめた個人情報をAI（大規模言語モデル）に送って「この人からは何がいくら取れそうか」を査定させる情報窃取型マルウェア（インフォスティーラー）です。2026年10月31日にCisco Talosが解析を公開しました。ただし、AIの段階はあくまで任意の追加機能で、AIが無くても窃取そのものはすべて動きます。対策の中心はAIではなく、感染を防ぐことと、盗まれた認証情報をすぐ無効にすることです。

この記事でわかること

• VOLTAが何を盗み、AIをどう使うのか（Talosの一次情報で確認できた範囲）
• Claude Opus 4.6などのモデル名が出てくる理由と、「Claudeが危ない」という話ではない理由
• 似たAI連携型マルウェアとの違い
• 個人がすぐできる対策と、情シス・セキュリティ担当向けの設定

こんな人に向けた記事です

• ニュースで「AIで被害者をランク付けするマルウェア」を見て、中身を正確に知りたい人
• ChatGPTやClaudeを業務で使っていて、使い続けてよいか判断したい人
• 社内のWindows端末やブラウザの設定を見直す立場にある情シス・セキュリティ担当者

なお、Anthropicと計算資源の契約を結んだAIインフラ企業のVoltaや、NVIDIAのGPUアーキテクチャ「Volta」とは無関係です。

VOLTAで本当に危ないのは「AI」ではなく「窃取」の部分

VOLTAの怖さは「AIが攻撃する」ことではなく、盗んだ情報をAIが整理して攻撃者の手間を減らすことにあります。窃取の機能は単体で完成しており、AIはその後の「分析係」です。

Talosは VOLTA を「完成度の高い窃取用プログラムに、任意のAI連携層が付いたもの」と説明しています。AIを呼ぶにはOpenRouterのAPIキーが必要で、キーが無ければAIの段階は飛ばされ、窃取だけが行われます。

そのため読者がとるべき行動は、次の2つに集約されます。

1. 感染しない（出どころ不明の実行ファイルを開かない、端末の保護機能を有効にしておく）
2. 感染したかもしれないときは、盗まれた前提で動く（セッションを失効させる、パスワードを変える、暗号資産を移す）

AIへの対策を新たに考える必要は、個人レベルではほとんどありません。企業では、端末からLLMのAPIへ想定外の通信が出ていないかを見るという観点が1つ増えます。

VOLTAとは：Cisco Talosが報告した情報窃取マルウェア

出典: Cisco Talos 公式ブログ

VOLTAは、Cisco Talosのブログで2026年10月31日に公開された解析記事で詳しく報告されたWindows向けのマルウェアです。実行後に自分自身を消す仕組みを持っています。

公表されている基本情報は次のとおりです。

一次情報: Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer（Cisco Talos）

報道では、Fetterman氏が「特定の攻撃者のためではなく、複数の攻撃者に売るために作られた可能性がある」と述べたと伝えられています。どこで、いくらで売られているかは公表されていません。

現時点でわかっていないこと

2026年11月1日時点で、次の点は確認できていません。

• どうやって感染させるか（配布方法）：Talosの記事に記載がありません。フィッシングメールなどと決めつけないほうが安全です
• 実際の被害者数や攻撃キャンペーン：サンプルは見つかっていますが、被害の規模は公表されていません。報道では「動作する試作品」とも表現されています
• 日本での感染例
• AnthropicやOpenRouterなどAI提供側の公式コメント、悪用されたAPIキーの停止状況

VOLTAの手口：窃取 → 情報の補強 → AIによる査定の3段階

出典: OpenRouter 公式サイト

VOLTAの動きは、盗む、盗んだ情報で裏付けを取る、AIに査定させる、の3段階に分かれます。

1. 窃取：ブラウザから暗号資産、開発用の鍵まで一括で盗む

最初の段階で盗む対象はかなり広く、一般的なインフォスティーラーと比べても網羅的です。

Chromeは2024年から、Cookieを特定のアプリしか復号できないようにする「App-Bound Encryption」という保護を入れています。VOLTAは、画面を出さない「ヘッドレス」状態でChromeを起動させ、この保護を回避します。同じ系統の手口はほかのインフォスティーラーでも報告されています。

2. 情報の補強：盗んだセッションで住所や勤務先を裏付ける

次に、盗んだログイン状態をそのまま使って、本人に関する情報を集め直します。

• Gmailで、Amazon・DoorDash・Uber Eats・Grubhub・Walmart・PayPalのレシートを検索し、自宅住所を割り出す
• Uber Eats・DoorDashの注文履歴を取る
• Discordのトークンを使ってプロフィールを補う
• Robloxの持ち物を外部サイトで金額に換算する

対象のサービスは米国のものが中心です。VOLTAが日本の通販やフードデリバリーを狙うという情報はありません。ただ考え方としては、メールボックスに残った購入確認メールだけで、住所・氏名・よく使う店がほぼわかるという点は日本でも同じです。

こうして集めた情報は、位置情報、自宅住所、勤務先とその会社のドメイン、推定の生まれ年、カード番号の下4桁、所属するSlackのワークスペース、文書ファイルの作成者名などを含む「調書」にまとめられます。

3. AIによる査定：LLMに「この人の価値」を順位付けさせる

最後に、この調書をAIに送り、換金しやすい資産を順位付けさせます。ここが「AI悪用」として注目された部分です。

Talosは、AIに新しい情報を探させているのではなく、集めたデータから推論させていると説明しています。一方で、各モデルが実際にこの要求に応じたかは明らかにしておらず、Claude Opus 4.6などが査定を返したかは確認されていません。正確に言えるのは「既定でClaude Opus 4.6を呼ぶように作られていた」ということです。

盗んだデータは、収集後・AI査定後・情報の補強後の段階ごとに volta_log.zip、volta_dox.zip、volta_doxnet.zip というZIPファイルにまとめて持ち出されます。Talosは送り先として設定できるTelegramチャンネルにも触れており、順位付けした査定結果が攻撃者のTelegramに届き得るとしています。

OpenRouterの仕組みはOpenRouterとはで、フォールバック先のKimi K2などがOpenRouter上でどれだけ使われているかは中国製AIモデルがOpenRouter利用の60%超えの記事で解説しています。

なぜAIを使うのか：速さではなく「手間の肩代わり」

Talosの見立てでは、AIを組み込む利点は攻撃の速さや規模ではなく、攻撃者の手間を減らすことにあります。

インフォスティーラーで集まるデータは膨大で、誰のどの情報がお金になるかを人が選び出すのは手間がかかります。VOLTAはその仕分けをAIに任せ、「この人は暗号資産を持っている」「この人は会社のSlackに入れる」といった優先順位を自動でつけます。攻撃者は、上位の被害者から手をつければよくなります。

もう1つの特徴は、AIに断られても別のモデルに乗り換えて続ける設計です。Talosは、予備のモデルを「より小さく、制限の緩いモデル」と説明しています。1社がモデルの安全対策を強めても、別の提供元のモデルに切り替えられてしまいます。Talosは、この「拒否への耐性」が今後のAI連携型マルウェアで標準的な作りになり得ると見ています。

AI提供側の規約では禁止されている

このような使い方は、AI提供側の規約ではっきり禁止されています。

• Anthropicの利用ポリシー：マルウェアの作成・配布に加え、同意なく個人を追跡・標的化すること、嫌がらせや監視の目的で個人情報を集めて調書を作ること（いわゆるdoxing）を禁止しています（Anthropic Usage Policy）
• OpenRouterの利用規約：違法な目的での利用、マルウェアの配布、同意なく他人の個人情報を集めることを禁止し、予告なしのアカウント停止やAPIキーの失効があり得るとしています（OpenRouter Terms of Service）

ただし規約は、違反が見つかったあとに止めるためのものです。被害者のパソコンから、他人名義のAPIキーで呼び出されると、提供側が個々の通信を悪用と見分けるのは簡単ではありません。

似たAI連携型マルウェアとの比較

出典: Google Cloud Threat Intelligence 公式ブログ

AIを組み込んだマルウェアは2025年から報告が続いており、VOLTAは「盗んだ後の分析」にAIを使う系統に入ります。

比べてみると、AIの役割は「攻撃の実行」から「攻撃対象の選別」まで幅があります。VOLTAとDolphin Xはどちらも選別型で、盗む量が増えるほど仕分けの手間が問題になる、というインフォスティーラーの事情を映しています。

参考: Dolphin X（BleepingComputer）、CAIRNとCLOSEDQUORUM（Help Net Security）、Google Threat Intelligence Group の報告

個人がとるべき対策

個人の対策は、AIとは関係なく「インフォスティーラー全般への備え」と同じです。

感染を防ぐ

• 出どころのわからない実行ファイル（.exe）や、ゲームのチート・海賊版ソフトを開かない
• Windowsとブラウザは自動更新で最新に保ち、Microsoft Defenderなど端末の保護機能を切らない

盗まれても被害を小さくする

• ブラウザにカード情報を保存しない。パスワードはブラウザ任せにせず、パスワード管理ツールを使う
• 主要なアカウントはパスキーやハードウェアキーに切り替える。Talosも、認証情報をハードウェアで守られた保管先に置くことを勧めています
• 暗号資産のシードフレーズをパソコンのテキストファイルやメモアプリに置かない
• パスワードを使い回さない。VOLTAの出力には「使い回しの度合い」の評価まで含まれます

感染したかもしれないとき

1. ネットワークから切り離す
2. %APPDATA%\volta_debug.txt があれば消さずに残す。何が集められたか、AIの呼び出しが成功したかが時刻付きで記録されています
3. 別の安全な端末から、主要サービスですべての端末からログアウトし、パスワードを変える。Cookieやトークンを盗まれていると、パスワード変更だけでは不十分です
4. シードフレーズを平文で保存していたウォレットは漏えい済みとみなし、ネットに接続しない端末で作った新しいウォレットへ資産を移す
5. 端末は初期化を含めて復旧を検討する。ログアウトでセッションは止まりますが、マルウェアそのものは消えません

ClaudeやChatGPTのログイン状態が盗まれた場合の具体的な手順は、Claudeのトークンが盗まれる被害と対処法にまとめています。

企業・情シスがとるべき対策

企業では、Talosの推奨に沿った端末設定と、通信の見える化が中心になります。

Talosが公開した主な侵害の痕跡

• SHA256: 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279
• ファイル名: 9BY0tjwOc3ut.exe、yLP9m5J3i2Aw.exe
• 端末に残るファイル: volta_log.zip、volta_dox.zip、volta_doxnet.zip、%APPDATA%\volta_debug.txt

OpenRouterは正規のサービスなので、業務で使っている会社では一律に遮断できません。利用している部署や端末を把握したうえで、それ以外からの通信を異常として扱うのが現実的です。

開発者の端末はSSH鍵やクラウドの認証情報が集まるため、狙われたときの影響が大きくなります。2026年10月のPyPIパッケージ改ざんでもAI開発ツールの設定が窃取対象になっており、詳しくはLiteLLM 1.107.0のマルウェア感染と対処で解説しています。AIエージェントを含む社内の対策全体はAIエージェントのセキュリティ対策、生成AI全般のリスクは生成AIのセキュリティリスクが参考になります。

ClaudeやChatGPTを業務で使い続けてよいか

出典: Anthropic 公式サイト

VOLTAを理由にClaudeやChatGPTの利用をやめる必要はありません。VOLTAはAIモデルの欠陥を突いたものではなく、攻撃者がAPIを呼び出す道具として使っただけだからです。

Claude Opus 4.6は、Anthropicの公式情報では2026年11月時点で提供中のモデルですが、最新のモデルではありません。「最新のClaudeが悪用された」「Claudeを使うと感染する」という話ではない点に注意してください。

一方で、利用者側には別のリスクがあります。AIツールのログイン状態やAPIキーは、それ自体がインフォスティーラーの盗む対象になっています。Anthropicは2026年8月、インフォスティーラーにClaudeのセッションを盗まれた利用者を強制的にログアウトさせ、不正な請求を返金したと報じられました。AIツールの認証情報は、メールやクラウドと同じ重要なIDとして扱うのが安全です。

社内でAIを使う範囲を広げる場合は、APIキーをどこに保管するか、どの端末からどのAPIへ通信してよいかを、導入の設計段階で決めておくと後から困りません。自社の業務や既存システムにAIを組み込むときの進め方は、既存システムにAIを組み込む方法で手順ごとに整理しています。

特に注意したい人・過度に心配しなくてよい人

特に注意したい人

• 暗号資産を持っていて、シードフレーズをパソコン内に保存している人
• ブラウザにパスワードやカード情報を保存している人
• Discord、Steam、Robloxなどのアカウントに価値のあるアイテムを持っている人
• SSH鍵やクラウドの認証情報を手元のWindows端末に置いている開発者
• Slackや社内システムに入れる端末を、私用のソフトと混ぜて使っている会社員

過度に心配しなくてよい人

• Macやスマートフォンだけを使っている人（現時点でVOLTAはWindows向けのみ確認）
• ClaudeやChatGPTを使っているだけで、怪しいソフトを入れていない人。AIを使うこと自体で感染するわけではありません
• パスキーやハードウェアキーを使い、ブラウザにパスワードやカード情報を保存していない人

よくある質問

Q. VOLTAに感染しているかどうかは、どう確かめればいいですか？

%APPDATA% フォルダに volta_debug.txt があるか、volta_log.zip などのファイルが作られていないかが手がかりになります。ただしVOLTAは実行後に自分を消すため、見つからなくても安心はできません。心当たりのある実行ファイルを開いた場合は、セキュリティソフトでの全体スキャンと、主要サービスのログアウト・パスワード変更をあわせて行ってください。

Q. Claudeは実際に被害者の査定を返したのですか？

確認されていません。Talosは、VOLTAが既定でClaude Opus 4.6を呼ぶ設計だったことを報告していますが、各モデルが実際に応じたかは明らかにしていません。断られた場合に別のモデルへ切り替える仕組みがあること自体、提供側の安全対策で拒否されることを作者が想定していたと読めます。

Q. 日本のサービスも狙われますか？

現時点で、VOLTAが日本の通販やフードデリバリーを狙うという情報はありません。ただし、ブラウザの保存パスワードやCookie、暗号資産のウォレットなど、窃取の段階で狙うものは国を問いません。

Q. 自分のOpenRouterやClaudeのAPIキーが悪用されることはありますか？

VOLTAが使うAPIキーは、購入者（攻撃者）が設定したものとみられ、被害者のキーを使う仕組みとは報告されていません。ただ、端末にAPIキーをファイルで置いていると、インフォスティーラー全般に盗まれるおそれがあります。キーは環境変数やシークレット管理の仕組みで扱い、使用量の上限と通知を設定しておくと、不正利用に早く気づけます。

Q. 会社のネットワークでOpenRouterへの通信を遮断すべきですか？

業務でOpenRouterを使っていなければ、遮断や警告の対象にしてよいと考えられます。使っている場合は一律に遮断すると業務が止まるため、利用する端末やアカウントを決め、それ以外からの通信を監視する形が現実的です。VOLTAに限らず、今後のAI連携型マルウェアでも同じ考え方が使えます。

まとめ

• VOLTAは、Cisco Talosが2026年10月31日に報告したWindows向けのインフォスティーラーで、盗んだ個人情報をOpenRouter経由でLLMに送り、被害者の資産価値を順位付けさせる設計です
• 既定ではClaude Opus 4.6を呼び、断られるとKimi K2、Gemini 2.5 Flashへ切り替えます。ただし各モデルが実際に応じたかは確認されていません
• AIの段階は任意で、窃取の機能は単体で完成しています。対策の中心は、感染を防ぐことと、盗まれた認証情報をすぐ無効にすることです
• 配布方法、被害の規模、日本での感染は2026年11月1日時点で公表されていません
• 個人はブラウザへのカード・パスワード保存をやめ、パスキーへ切り替え、シードフレーズを端末に置かないこと。企業はChromeのヘッドレス起動の制限・監視と、LLM APIへの想定外の通信の可視化から手をつけるのが効果的です