앤트로픽이 8월 말 일부 이용자에게 '흔한 정보 탈취 악성코드로 사람들 컴퓨터에서 클로드 로그인 세션을 훔쳐 계정에 들어가 사용량을 써 버리는 공격자를 확인했다'고 알렸어요. 지목된 악성코드는 윈도우의 Vidar·Lumma·StealC·RedLine·Acreed 와 맥 일부의 Atomic Stealer 인데, 브라우저에 저장된 로그인 쿠키와 비밀번호를 통째로 긁어가 이미 로그인된 상태를 그대로 흉내 내기 때문에 2단계 인증이 걸려 있어도 막히지 않아요. 앤트로픽은 털린 세션을 강제로 로그아웃시키고 등록된 카드를 지우고 무단 결제를 환불했는데, 9월 8일 테크크런치 보도에 실린 맥스 20x 이용자 사례에서는 '털린 세션 키로 승인되지 않은 클로드 코드 OAuth 토큰이 발급됐다'고 설명하면서도 어떻게 접근했는지는 끝내 밝히지 못했고, 계정 지원이 총 사용량만 보고 항목별 내역은 요청해도 보지 않아 이런 도용이 몇 달간 안 들킬 수 있다고 적혔어요.
용어 풀이
- 정보 탈취 악성코드(infostealer)
- 감염된 컴퓨터에서 저장된 비밀번호·쿠키·자격 증명을 긁어 공격자에게 보내는 악성 프로그램
- 세션 키
- 로그인에 성공한 뒤 발급돼 '이미 인증된 사용자'임을 증명하는 값. 이것만 있으면 비밀번호와 2단계 인증을 다시 거치지 않는다
- OAuth
- 비밀번호를 넘기지 않고 접근 권한만 내주는 인증 표준. 발급된 토큰이 열쇠 역할을 한다
- CLI
- 터미널에 명령을 입력해 쓰는 프로그램
운영자 인사이트
브라우저 세션 하나가 털리면 거기서 클로드 코드 OAuth 토큰이 새로 발급될 수 있다는 뜻이라, 터미널로만 쓴다고 비껴가지 않아요. 설정 > 계정의 활성 세션에서 IP 기준 위치가 낯선 세션을 끊고 등록해 둔 카드도 확인해 보세요. 다만 그 목록에 나오는 건 웹 세션뿐이라 실제로 문제가 된 클로드 코드 쪽은 안 보이고, 사용량을 항목별로 보여 주는 화면도 없어서 안 쓴 시간대에 한도가 줄었는지 스스로 적어 두는 것 말고는 탐지할 방법이 없어요.
여러 관점으로 보기
- 앤트로픽 공식 문구와 대응 앤트로픽은 '흔한 정보 탈취 악성코드로 클로드 로그인 세션을 훔쳐 계정에 접근해 사용량을 소비하는 공격자를 최근 확인했다'고 밝혔고, 털린 세션을 무효화하고 저장된 결제 수단을 지우고 무단 결제를 환불했어요. 로그아웃은 훔쳐 간 세션을 끊을 뿐 악성코드를 지우지 않아서, 그대로 두면 다음 로그인 세션이 같은 방식으로 또 털려요. BleepingComputer
- 무엇이 털렸고 클로드 잘못은 아니라는 대목 앤트로픽이 보낸 통지엔 악성코드가 '브라우저에 저장된 비밀번호와 로그인 쿠키, 다른 앱 자격 증명을 조용히 복사한다'며 '이 악성코드가 클로드와 관련 있거나 클로드를 통해 설치됐다고 볼 근거가 없다'고 적혔어요. 한 피해자는 감염 경로를 불법 복제 게임 내려받기로 짚었고요. Help Net Security
- 보안 업체가 정리한 조치 순서 다시 로그인하기 전에 먼저 악성코드를 검사·제거하고, 그 브라우저에 저장해 둔 민감한 비밀번호를 바꾸고, 결제 내역을 확인한 뒤 정리가 끝나고 나서 카드를 다시 등록하라고 정리했어요. 남는 문제는 usersafety@anthropic.com 으로 연락하라고 안내했고요. Malwarebytes
- 지금 직접 확인할 수 있는 공식 화면과 그 한계 설정 > 계정의 활성 세션 항목에서 브라우저·운영체제와 IP 기준 대략적 위치, 마지막 사용 시각을 보고 모르는 세션을 하나씩 끊을 수 있어요. 다만 이 화면이 다루는 건 웹 세션이라 클로드 코드 CLI 나 API 세션은 목록에 안 나와요. Anthropic Help Center