답변게시됨2개월 전Last edited 2개월 전19 소스

인포스틸러 악성코드, 비밀번호 없이 Claude 계정 세션 탈취

Anthropic은 인포스틸러 악성코드가 감염된 컴퓨터에서 Claude의 활성 브라우저 세션 쿠키를 복사해 공격자가 비밀번호나 새로운 MFA 코드 없이 계정에 접근하고 유료 사용량을 소비했다고 밝혔다. 공격은 로그인 화면을 뚫은 것이 아니라 이미 인증된 브라우저 세션을 재사용한 방식이었다.

게시자GPT-5.6 Luna로 편집

Studio Global AI로 검색 및 팩트체크 인기 페이지 더 보기

연구 답변

주요 시사점

Anthropic은 인포스틸러 악성코드가 감염된 컴퓨터에서 Claude의 활성 브라우저 세션 쿠키를 복사해 공격자가 비밀번호나 새로운 MFA 코드 없이 계정에 접근하고 유료 사용량을 소비했다고 밝혔다.
공격은 로그인 화면을 뚫은 것이 아니라 이미 인증된 브라우저 세션을 재사용한 방식이었다. 따라서 MFA 설정을 바꾸는 것만으로는 감염된 기기의 근본 위험이 사라지지 않는다.
Anthropic은 의심 세션을 로그아웃시키고 저장된 결제 수단을 삭제했으며 무단 결제 환불을 진행했지만, 이 조치만으로 감염된 컴퓨터의 악성코드까지 제거되지는 않는다.

Illustration of malware stealing an authenticated Claude browser session from an infected computer — What did Anthropic disclose about the infostealer-malware campaign that hijacked active Claude login sessions—including how attackers stoleInfostealer malware can expose browser session data stored on an infected computer.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What did Anthropic disclose about the infostealer-malware campaign that hijacked active Claude login sessions—including how attackers stole. Article summary: Anthropic said a bad actor used common infostealer malware on users’ computers to copy active Claude browser-session cookies, then replay those already authenticated sessions to enter accounts and consume paid Claude usa. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
microsoft.com

Anthropic이 일부 Claude 사용자에게 감염된 컴퓨터에서 흔한 인포스틸러(infostealer) 악성코드가 활성 브라우저 세션을 훔쳤다고 경고했다. 공격자는 탈취한 세션을 그대로 재사용해 Claude 계정에 접근하고 유료 사용량을 소모했다. 계정 비밀번호를 알아내거나 새로운 다중인증(MFA) 절차를 통과할 필요도 없었다. 18 19 21

이번 사건의 핵심은 Claude에만 해당하지 않는다. 악성코드가 이미 인증된 브라우저 세션을 가져가면, 다음 로그인 단계에서 작동하는 비밀번호와 MFA 보호가 세션을 손에 넣은 공격자를 막지 못할 수 있다. 따라서 계정 복구와 함께 해당 기기의 조사·정리가 반드시 이뤄져야 한다.

공격은 어떻게 이뤄졌나

인포스틸러는 감염된 컴퓨터에서 브라우저 쿠키, 저장된 비밀번호, 기타 로컬 인증 정보 등을 수집하도록 설계된 악성코드다. 이번 사례에서는 Claude에 이미 로그인된 활성 세션도 탈취 대상에 포함됐다. 공격자는 새 비밀번호로 로그인한 것이 아니라, 도난당한 세션 데이터를 가져와 사용자가 계속 로그인한 상태인 것처럼 재현했다. 19 22 26

이 때문에 비밀번호 입력창이나 새로운 2단계 인증 코드 요청이 나타나지 않을 수 있었다. MFA는 새 인증 절차를 보호하지만, 이미 도난당한 세션 토큰을 자동으로 무효화하지는 않는다. 관련 보도에서 이번 수법이 비밀번호와 MFA를 ‘우회’한 것으로 설명된 이유도 공격자가 유효한 세션 자체를 사용했기 때문이다. 19 23 26

이상한 사용량이 공격을 드러냈다

Anthropic은 피해 계정에서 비정상적인 활동을 감지했다. 사용자 본인의 이용 패턴과 맞지 않는 방식으로 Claude 사용량이 빠르게 소진되거나, 예상하지 못한 시점에 사용 한도에 도달하는 현상이 주요 신호로 나타났다. 18 21

세션 탈취는 전형적인 계정 탈취처럼 보이지 않을 수 있다. 사용자는 여전히 정확한 비밀번호를 알고 있고 계정에도 접근할 수 있지만, 공격자는 사용자의 브라우저에서 복사한 세션을 통해 별도로 활동할 수 있기 때문이다. 갑작스러운 사용량 증가, 낯선 활동 기록, 보안 알림은 서비스 자체의 로그인 데이터베이스가 침해됐다는 뜻만이 아니라 사용자의 컴퓨터가 감염됐다는 신호일 수도 있다.

어떤 악성코드와 기기가 관련됐나

관련 보도는 Windows용 인포스틸러로 Vidar, LummaC2, StealC, RedLine, Acreed를, macOS용으로 Atomic Stealer를 지목했다. 19 26

이들은 Claude에 내장된 악성코드가 아니라, 감염된 Windows PC나 Mac에서 브라우저 쿠키와 저장된 인증 정보를 폭넓게 수집하는 범용 정보 탈취 도구다. 이번 사건에서는 사용자의 컴퓨터에서 이미 실행 중이던 악성코드가 다른 자격 증명과 함께 Claude 브라우저 세션도 수집한 것으로 설명됐다. 20 22 25

현재 공개된 내용은 데스크톱과 노트북을 중심으로 한다. 이번 브라우저 세션 탈취 수법이 휴대전화나 태블릿에 영향을 줬다는 사실은 확인되지 않았지만, 그렇다고 모바일 기기가 모든 계정 공격이나 악성코드 위협으로부터 안전하다는 의미는 아니다. 22

Anthropic의 차단 조치와 한계

Anthropic은 감염이 의심되는 사용자 계정에서 관련 Claude 세션을 강제로 로그아웃시키고, 저장된 결제 수단을 삭제했으며, 무단 결제로 확인된 요금은 환불하겠다고 밝혔다. 이 조치들은 도난당한 세션을 끊고 추가적인 유료 사용이나 결제 악용을 줄이는 데 도움이 된다. 17 18 20 21

하지만 계정 측 조치가 컴퓨터에 설치된 인포스틸러까지 제거하는 것은 아니다. 기기가 계속 감염된 상태라면 사용자가 다시 로그인한 뒤 새 세션이나 비밀번호, 브라우저 데이터가 또다시 탈취될 수 있다. 따라서 해당 기기의 조사와 완전한 정리가 핵심이다. 20

피해가 의심될 때 해야 할 일

Anthropic의 알림을 받았거나 Claude 계정에서 설명하기 어려운 사용량이 확인됐다면, Claude에 접속했던 컴퓨터를 잠재적으로 감염된 기기로 취급하는 편이 안전하다.

관련 컴퓨터를 모두 검사하고 정리한다. 신뢰할 수 있는 보안 도구로 전체 검사를 진행하고, 다시 로그인하기 전에 악성코드 제거를 끝낸다. 기기를 신뢰하기 어렵다면 전문 사고 대응 지원을 받거나, 깨끗한 설치 절차로 운영체제를 재설치하는 방법을 검토한다.
Claude에 연결된 이메일 계정을 보호한다. 깨끗한 기기에서 이메일 비밀번호를 바꾼다. 이후 감염된 브라우저에 저장했거나 입력했던 다른 계정의 비밀번호도 변경한다. 이메일, 은행·금융, 업무용 계정, 비밀번호 관리자를 우선해야 한다.
계정과 세션을 점검한다. 금융 거래 내역, 계정 복구 설정, 활성 로그인 세션, 보안 알림에서 낯선 활동이 있는지 확인한다.
마지막으로 Claude에 다시 로그인한다. 기기를 정리하고 중요한 자격 증명을 변경한 뒤에 Claude에 접속한다. 결제 정보는 실제로 필요할 때만 다시 등록한다.

강제 로그아웃과 카드 정보 삭제는 즉각적인 피해를 줄이는 유용한 조치다. 그러나 감염된 컴퓨터를 정리하지 않으면 같은 문제가 반복될 수 있다. 이번 사건에서 가장 중요한 위험은 Claude의 로그인 화면이 아니라, 감염된 기기가 브라우저에 보관된 인증 데이터를 노출할 수 있었다는 점이다. 20 25

Studio Global AI

연구를 계속하세요

이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.

Studio Global AI로 검색 및 팩트체크

사람들은 또한 묻습니다.