Claudeアカウント「ギフトサブスクリプション」悪用による大規模不正課金が報告 — 2FA未適用のギフト購入機能が攻撃ベクターに

Summary

6月24日、ABC7（サンフランシスコ）・SFist・Tom's Guide・Gate News等が相次いでClaudeアカウントの大規模不正課金を報道。攻撃者は過去のデータ漏洩で流出したパスワードや盗難ブラウザセッションを使用してClaudeアカウントにアクセスし、「ギフトサブスクリプション」機能を悪用して外部メールアドレスに高額プラン（Max 20x等、$100〜$600/件）を送信。ギフト購入は2FA（二要素認証）や追加の銀行認証コードなしで実行可能なため、有効なセッショントークンさえ取得すればアカウントパスワードや2FAを経由せず直接課金が可能。カリフォルニア州Martinez在住の被害者は約$315の不正請求を受け、台湾・カナダのユーザーも数万元〜$700 CADの被害を報告。Anthropicは「追加のセキュリティ対策を講じた」と声明し被害者のアカウント復旧・返金を実施。セキュリティ専門家はギフト購入に2FAが実装されるまで保存済み支払い方法の削除を推奨。