最近、多くの Claude AI ユーザーが Facebook のコミュニティや Reddit に投稿して警告しており、Anthropic のアカウントに紐づけられたクレジットカードが頻繁に不正利用されていると訴えています。攻撃者は、プラットフォームの「ギフト購読 (Gift)」機能を通じて大量の消費を行っており、台湾、カナダ、アメリカからの複数の被害者が損失が数万元台（数千万円ではなく、台幣で上万台幣）に達したと反応し、注目を集めています。
Google の悪意ある拡張機能が 3 年間潜伏し、こっそりパスワードと二要素認証を迂回
台湾の被害者である洪さんは、Claude Taiwan の Facebook コミュニティで投稿し、事件の主因は 2023 年 4 月にソフトウェアをダウンロードする過程で、本人が知らないうちに「Start New Tab Search」という名前の悪意ある Chrome 拡張機能を同時にインストールしてしまったことだと明かしました。このプログラムは Adware.NewTab ファミリーに属しており、現在まで最長 3 年間も潜伏していました。
この拡張機能は HTTP リクエストを傍受する権限を備えており、バックグラウンドでユーザーの cookie と session token を継続的に窃取します。攻撃者が有効な session token を取得すれば、アカウントのパスワードや二要素認証 (2FA) を経る必要はなく、ユーザーのアカウントをそのまま使って消費できます。これが、被害者が後からカード停止、パスワード変更、2FA の有効化などの対策を全部行っても無効になった主な理由です。
3 日以内に 4 件の引き落とし、カードを替えても効果なし。Anthropic の画面上の欠陥が露呈
洪さんによると、4 月 16 日の未明にアカウントが自動で引き落とされ、「Gift Max 5X」プランが購入されているのを発見しました。たとえ彼がすぐにすべての標準的なセキュリティ対策を講じたとしても、カード停止、パスワードの変更、二要素認証の有効化、すべての端末からのログアウト、API Keys の取り消し、そして新しい支払い方法への切り替えを行ったにもかかわらず、不正利用は 4 月 20 日まで続きました。
最終的に洪さんは 4 件の取引での引き落としに成功してしまい、損失は 400 ドルに達しました。その間、彼の携帯には Mastercard の 3D 認証の通知と Stripe の認証コードが継続的に届き、攻撃者が新しいカードでもう一度引き落とそうとしていることが示されました。
彼は、Anthropic の請求画面に「クレジットカードを削除」する選択肢がなく、「支払い方法を更新 (Update)」しかないため、ユーザーがカードとアカウントを解除して紐づけを外せないことを懸念していました。
国内外の被害者がそろって声を上げ、Reddit でも不正利用の事例が伝わる
注目すべきは、別のカナダのユーザーも Reddit の r/ClaudeAI 版で投稿し、同様に、クレジットカードで「Gift Max 20x」ギフト購読が購入され、損失は約 950 カナダドル (約 700 ドル) として、こちらも複数回の引き落としが継続して発生したと述べていることです。
彼はまた、消費者レビューサイトの Trustpilot でも、オランダ、英国、米国のユーザーから同様のケースが複数報告されていると指摘しました。
Anthropic のカスタマーサポートは実質機能せず。クレジットカード会社に連絡することがユーザーの最速の自衛策
2 人の被害者はいずれも、同じ困難に直面しています。Anthropic の通常サポート support@anthropic.com は、ほぼ即時の支援ができません。洪さんは 4 月 18 日に通報した後も、さらに 4 通の説明文を追加で送ったものの、72 時間以内に一度も人間による返信はなく、Fin AI Agent の自動化された返信だけでした。カナダのユーザーも、Fin AI の支援効果が極めて低いと率直に語っています。
現時点で 2 人とも、クレジットカード会社に不正取引として異議申し立て（チャージバック）(chargeback) を申請する方向に切り替えており、これが被害者が現在「素早く損失を止める」ための自衛策になっています。洪さんはさらに、Anthropic チームに連絡したい場合は、usersafety@anthropic.com と disclosure@anthropic.com の両方に同時にメールを送ることも提案しており、より直接的な返信が得られる可能性があるとしています。
自衛はどうする？3 ステップで今すぐ Claude のアカウントを確認
この一連の拡散し続ける攻撃に対して、被害者はすべての Claude ユーザーに対し、以下の防御措置を直ちに取るよう呼びかけています。
まず、claude.ai にログインし、「Settings → Billing → Invoices」に進んで、未承認の「Gift Max」関連の引き落とし記録が出ていないか確認してください。もし見つかったら、Anthropic のカスタマーサポートの返答を待たずに、すぐにカード発行銀行へ連絡して異議申し立てを申請してください。
次に、Chrome の拡張機能管理ページ (chrome://extensions/) を開き、インストール済みのすべての拡張機能を注意深く確認し、見覚えのない／怪しい開発者のもの、または自分が積極的にインストールした覚えのない項目をすべて削除してください。こうした悪意のあるプログラムは、多くの場合「画面を強化または美化」などの名目で偽装されます。
最後に、Anthropic に対して正式なサポート問い合わせ（チケット）を提出し、同時に usersafety@anthropic.com と disclosure@anthropic.com の 2 つのメールアドレスにもメールを送って、有人対応を得る可能性を高めます。
被害者は同時に、Anthropic がプラットフォームの防護機能をできるだけ早く強化することも望んでいます。具体的には、ユーザーが確実に支払い方法を削除できるようにすること、短時間に複数回の Gift 取引が行われた場合に二要素認証を追加すること、そしてユーザーが詐欺を通報した後に自動でアカウントを凍結することなどの機能です。
この記事：Claude アカウントで大規模な不正利用が発覚！台湾・カナダの被害者が 1 万元（上万円）相当の損失、3 ステップで今すぐ自衛策 最初に登場したのは 鏈新聞 ABMedia。
関連記事
