สรุปสั้น

บริษัท Anthropic ยืนยันว่ามัลแวร์ประเภท infostealer หลายตระกูลสามารถขโมยเซสชันการล็อกอิน Claude ที่ยังทำงานอยู่ แล้วเปิดทางให้ผู้โจมตีใช้โควตาการใช้งานจนหมดโดยไม่ต้องแตะรหัสผ่านของเหยื่อเลย ในหนังสือแจ้งเตือนที่ส่งถึงผู้ใช้ที่ได้รับผลกระทบ บริษัทระบุว่าการสอบสวนยังดำเนินอยู่ และผลการตรวจสอบจนถึงปัจจุบันชี้ว่าคอมพิวเตอร์ที่ผู้ใช้ใช้งาน Claude น่าจะติดมัลแวร์ infostealer มาระยะหนึ่งแล้ว ขณะที่โทรศัพท์และแท็บเล็ตดูเหมือนจะไม่เกี่ยวข้อง Anthropic ย้ำว่ามัลแวร์นี้ไม่ได้เกี่ยวข้องกับ Claude ไม่ได้ถูกติดตั้งผ่าน Claude แต่เป็นมัลแวร์เอนกประสงค์ที่มักมากับการดาวน์โหลดที่ไม่เป็นทางการหรือแอปที่เป็นอันตราย ซึ่งแอบคัดลอกรหัสผ่านที่บันทึกไว้ คุกกี้ล็อกอินในเบราว์เซอร์ และข้อมูลรับรองของแอปอื่น ๆ ที่รันอยู่ในเครื่อง

เมื่อไม่นานมานี้ Anthropic เริ่มบังคับผู้ใช้บางรายให้ออกจากระบบและลบบัตรชำระเงินที่บันทึกไว้ในบัญชี เนื่องจากมัลแวร์ infostealer บนเครื่องของผู้ใช้ได้ขโมยเซสชัน Claude ที่กำลังทำงานอยู่ไปให้ผู้โจมตีเข้าถึงบัญชีได้ บริษัทตรวจพบกิจกรรมน่าสงสัยและระบุตระกูลมัลแวร์ได้หลายตระกูลที่กระทบทั้ง Windows และ macOS พร้อมทั้งเพิกถอนเซสชันที่ได้รับผลกระทบ บังคับให้ผู้ใช้ล็อกอินใหม่ และลบวิธีการชำระเงินที่บันทึกไว้เพื่อป้องกันการเรียกเก็บเงินโดยไม่ได้รับอนุญาต โดยจะคืนเงินให้กับผู้ใช้สำหรับรายการที่ระบุว่าเป็นการเรียกเก็บที่ไม่ได้รับอนุญาต

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 31 สิงหาคม 2569 ว่า บริษัท Anthropic ได้ยืนยันเหตุการณ์ที่มัลแวร์ infostealer หลายตระกูลสามารถยึดเซสชันการล็อกอิน Claude ที่ยังทำงานอยู่ได้ ในหนังสือแจ้งเตือนถึงผู้ใช้ บริษัทเขียนว่า “เราเพิ่งบังคับให้คุณออกจากระบบ Claude และลบวิธีการชำระเงินที่บันทึกไว้บนบัญชีของคุณ ดังนั้นคุณจะต้องล็อกอินอีกครั้งและเพิ่มบัตรใหม่” พร้อมขออภัยในความไม่สะดวกและอธิบายสิ่งที่เกิดขึ้นและมาตรการที่ดำเนินการ

Anthropic อธิบายว่า infostealer หลบเลี่ยงขั้นตอนการล็อกอินด้วยการขโมยเซสชันเบราว์เซอร์ที่ผ่านการยืนยันตัวตนแล้ว ทำให้ผู้โจมตีเลี่ยงทั้งรหัสผ่าน การยืนยันตัวตนหลายปัจจัย (MFA) และการล็อกอินแบบ SSO เข้าถึงบัญชี Claude แบบเสียเงินได้ บริษัทเตือนว่าลำพังการเพิกถอนเซสชันหรือบล็อกการชำระเงินที่ฉ้อโกงยังไม่เพียงพอ เพราะหากมัลแวร์ยังฝังอยู่บนอุปกรณ์ มันก็สามารถดักจับการล็อกอินครั้งถัดไปของผู้ใช้ แล้วมอบสิทธิ์เข้าถึงให้ผู้โจมตีได้อีกครั้ง Anthropic ยังระบุด้วยว่า หากขีดจำกัดการใช้งานของผู้ใช้ดูเหมือนเติมกลับมาแล้วลดลงเองในช่วงที่ไม่ได้ใช้งาน Claude เหตุนี้น่าจะเป็นต้นตอ

sso malware infostealer ai draining subscriptions infostealers infostealers are hijacking claude sessions

วิธีการโจมตี

Anthropic ระบุตระกูลมัลแวร์ infostealer ที่เกี่ยวข้อง ได้แก่ Vidar, LummaC2, StealC, RedLine และ Acreed บนระบบ Windows รวมถึง Atomic Stealer บนเครื่อง Mac จำนวนไม่มาก มัลแวร์เหล่านี้ทำงานโดยขโมยคุกกี้เซสชันและโทเคนการยืนยันตัวตนที่บันทึกอยู่ในเบราว์เซอร์ แทนที่จะพยายามเดาหรือขโมยรหัสผ่านโดยตรง เมื่อได้คุกกี้เซสชันที่ยังไม่หมดอายุ ผู้โจมตีก็นำไปสวมรอยเป็นผู้ใช้ที่ล็อกอินแล้วได้ทันที โดยไม่ต้องผ่านรหัสผ่านหรือ MFA อีก บริษัทระบุว่าหลังเก็บเกี่ยวข้อมูลจำนวนมาก ผู้ไม่หวังดีได้เริ่มคัดแยกเฉพาะเซสชัน Claude ออกมาจากกองข้อมูลที่ขโมยได้ แล้วนำไปใช้งาน ทั้งนี้แผนที่ใช้อยู่เดิมจะดำเนินต่อไปจนสิ้นสุดรอบบิลปัจจุบัน หลังจากนั้นผู้ใช้จะต้องเพิ่มวิธีการชำระเงินใหม่ และ Anthropic อาจบังคับออกจากระบบอีกหากตรวจพบกิจกรรมน่าสงสัย

ผลกระทบ

การถูกดูดโควตา AI แบบเงียบ ๆ อาจไม่ใช่สิ่งที่ร้ายแรงที่สุดที่ infostealer ทำได้ แต่มันเป็นสัญญาณที่ค่อนข้างชัดว่าอาจมีสิ่งที่เลวร้ายกว่านั้น เช่น ข้อมูลรับรองธนาคารตัวจริงของเหยื่อ นอนรออยู่ในกองข้อมูลชุดเดียวกันแล้ว เพราะ infostealer ตัวเดียวกันมักกวาดเอาทั้งรหัสผ่าน คุกกี้ และข้อมูลรับรองของทุกแอปในเครื่อง ผู้ที่ได้รับผลกระทบจึงไม่ควรมองว่าเป็นเพียงปัญหาบัญชี Claude ถูกใช้เกินโควตา แต่ต้องถือว่าอุปกรณ์ทั้งเครื่องอาจถูกยึดข้อมูลรับรองไปแล้ว และบัญชีสำคัญอื่น ๆ ที่ล็อกอินบนเครื่องเดียวกันก็มีความเสี่ยงเช่นกัน จุดสำคัญคือปัญหาไม่ได้อยู่ที่ตัวแพลตฟอร์ม แต่อยู่ที่เครื่องของผู้ใช้ที่ติดมัลแวร์ ดังนั้นการแก้ที่ฝั่งผู้ให้บริการเพียงอย่างเดียวไม่สามารถตัดวงจรได้หากไม่กำจัดมัลแวร์ออกจากอุปกรณ์

คำแนะนำ

ผู้ใช้ Claude ที่ยังไม่ได้ตรวจสอบประวัติการใช้งานเมื่อเร็ว ๆ นี้ ควรรีบตรวจดูตั้งแต่วันนี้แทนที่จะรอ คำแนะนำของ Anthropic เป็นแนวทางมาตรฐานแต่จำเป็นจริง ๆ คือ ให้สแกนมัลแวร์เต็มระบบก่อนล็อกอินกลับเข้าใช้งาน เปลี่ยนรหัสผ่านบัญชีพร้อมเปิดใช้การยืนยันตัวตนสองปัจจัย และปฏิบัติต่อไฟล์ที่ดาวน์โหลดแบบละเมิดลิขสิทธิ์หรือตัวติดตั้งแอปที่ไม่เป็นทางการด้วยความระแวงเท่ากับไฟล์แนบอีเมลที่น่าสงสัย นอกจากนี้ หากพบว่าโควตาการใช้งานลดลงเองในช่วงที่ไม่ได้ใช้ Claude ควรถือเป็นสัญญาณเตือนว่าอุปกรณ์อาจติดมัลแวร์ และควรตรวจสอบบัญชีสำคัญอื่น ๆ ที่เคยล็อกอินบนเครื่องเดียวกันด้วย

แหล่งอ้างอิง