คำตอบเผยแพร่แล้ว19 แหล่งที่มา
มัลแวร์ขโมยเซสชัน Claude ได้อย่างไร และผู้ใช้ควรทำอะไรต่อ
Anthropic ระบุว่า infostealer คัดลอกคุกกี้เซสชัน Claude จากคอมพิวเตอร์ที่ติดเชื้อ ทำให้ผู้โจมตีนำเซสชันที่ผ่านการยืนยันตัวตนแล้วไปใช้ต่อและเผาผลาญโควตาแบบเสียเงินได้ โดยไม่ต้องรู้รหัสผ่านหรือขอรหัส MFA ใหม่ [18][19][21] การโจมตีใช้เซสชันเบราว์เซอร์ที่ถูกต้องอยู่แล้ว ไม่ได้เจาะผ่านหน้าล็อกอิน ดังนั้นการเปลี่ยนการตั้ง...
เผยแพร่โดยแก้ไขด้วย GPT-5.6 Luna
คำตอบการวิจัย
ประเด็นสำคัญ
- Anthropic ระบุว่า infostealer คัดลอกคุกกี้เซสชัน Claude จากคอมพิวเตอร์ที่ติดเชื้อ ทำให้ผู้โจมตีนำเซสชันที่ผ่านการยืนยันตัวตนแล้วไปใช้ต่อและเผาผลาญโควตาแบบเสียเงินได้ โดยไม่ต้องรู้รหัสผ่านหรือขอรหัส MFA ใหม่ [18][19][21]
- การโจมตีใช้เซสชันเบราว์เซอร์ที่ถูกต้องอยู่แล้ว ไม่ได้เจาะผ่านหน้าล็อกอิน ดังนั้นการเปลี่ยนการตั้งค่า MFA เพียงอย่างเดียวอาจไม่เพียงพอที่จะกำจัดความเสี่ยง
- Anthropic บังคับออกจากระบบเซสชันที่สงสัย ลบวิธีชำระเงินที่บันทึกไว้ และระบุว่าจะคืนเงินสำหรับรายการที่ไม่ได้รับอนุญาต แต่การดำเนินการกับบัญชีไม่สามารถลบมัลแวร์ออกจากคอมพิวเตอร์ได้
AI พรอมต์
microsoft.comCreate a landscape editorial hero image for this Studio Global article: What did Anthropic disclose about the infostealer-malware campaign that hijacked active Claude login sessions—including how attackers stole. Article summary: Anthropic said a bad actor used common infostealer malware on users’ computers to copy active Claude browser-session cookies, then replay those already authenticated sessions to enter accounts and consume paid Claude usa. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
Anthropic เตือนผู้ใช้ Claude บางรายว่า มัลแวร์ขโมยข้อมูล หรือ infostealer ที่อยู่บนคอมพิวเตอร์ที่ติดเชื้อ สามารถขโมยเซสชันเบราว์เซอร์ที่กำลังล็อกอิน Claude อยู่ได้ จากนั้นผู้โจมตีนำเซสชันดังกล่าวไปใช้ต่อเพื่อเข้าถึงบัญชีและใช้โควตา Claude แบบเสียเงิน โดยไม่จำเป็นต้องรู้รหัสผ่านหรือผ่านการยืนยันตัวตนสองขั้นตอน (MFA) ใหม่ 18
19
21
บทเรียนสำคัญไม่ได้จำกัดอยู่แค่ Claude หากมัลแวร์ยึดเซสชันที่ผ่านการยืนยันตัวตนแล้วได้ ระบบป้องกันที่ทำงานตอนเข้าสู่ระบบครั้งถัดไปก็อาจไม่สามารถหยุดผู้โจมตีที่ถือเซสชันนั้นอยู่ได้ การกู้คืนบัญชีจึงต้องทำควบคู่กับการตรวจสอบและทำความสะอาดอุปกรณ์
เกิดอะไรขึ้น
Infostealer ถูกออกแบบมาเพื่อเก็บข้อมูลจากคอมพิวเตอร์ที่ติดเชื้อ เช่น คุกกี้เบราว์เซอร์ รหัสผ่านที่บันทึกไว้ และข้อมูลยืนยันตัวตนอื่น ๆ ที่จัดเก็บอยู่ในเครื่อง ในกรณีนี้ ข้อมูลที่ถูกขโมยรวมถึงเซสชันล็อกอิน Claude ที่ยังใช้งานได้ ผู้โจมตีจึงนำข้อมูลเซสชันมาใช้ซ้ำ ราวกับกำลังใช้งานต่อจากเบราว์เซอร์ที่ผ่านการล็อกอินแล้ว แทนที่จะเข้าสู่ระบบด้วยรหัสผ่านใหม่ 19
22
26
จุดนี้อธิบายได้ว่าทำไมการโจมตีจึงไม่จำเป็นต้องแสดงหน้าขอรหัสผ่านหรือรหัส MFA ใหม่ MFA ช่วยป้องกันเหตุการณ์ยืนยันตัวตนครั้งใหม่ แต่ไม่ได้หมายความว่าจะยกเลิกโทเคนเซสชันที่ถูกขโมยไปแล้วโดยอัตโนมัติ รายงานเกี่ยวกับเหตุการณ์นี้จึงอธิบายว่าเป็นการข้ามการตรวจสอบรหัสผ่านและ MFA ด้วยการใช้เซสชันที่ยังถูกต้องอยู่ 19
23
26
Anthropic ตรวจพบการใช้งานผิดปกติได้อย่างไร
ระบบของ Anthropic ตรวจพบกิจกรรมที่น่าสงสัยจากบัญชีที่ได้รับผลกระทบ สัญญาณหนึ่งที่เห็นได้คือโควตาการใช้งาน Claude ถูกใช้ในรูปแบบไม่สอดคล้องกับพฤติกรรมของเจ้าของบัญชี รวมถึงการใช้โควตาอย่างผิดปกติจนเกินคาด 18
21
เรื่องนี้สำคัญเพราะการขโมยเซสชันอาจไม่ดูเหมือนการยึดบัญชีแบบทั่วไป ผู้ใช้ยังคงมีรหัสผ่านที่ถูกต้อง แต่อีกฝ่ายกำลังใช้งานผ่านเซสชันที่คัดลอกมาจากเบราว์เซอร์ของผู้ใช้เอง ดังนั้นโควตาลดลงโดยไม่ทราบสาเหตุ กิจกรรมที่ไม่คุ้นเคย หรือการแจ้งเตือนจากบัญชี อาจเป็นสัญญาณว่าคอมพิวเตอร์ถูกเจาะ ไม่ได้แปลว่าฐานข้อมูลการล็อกอินของบริการถูกเจาะเสมอไป
พบมัลแวร์และอุปกรณ์ใดบ้าง
รายงานระบุ infostealer บน Windows 5 ตระกูล ได้แก่ Vidar, LummaC2, StealC, RedLine และ Acreed ส่วนบน macOS พบ Atomic Stealer 19
26
มัลแวร์เหล่านี้เป็นเครื่องมือขโมยข้อมูลทั่วไป ไม่ใช่มัลแวร์ที่ระบุว่าถูกฝังมากับ Claude คำอธิบายจากรายงานคือ มัลแวร์ทำงานอยู่ก่อนแล้วบนพีซี Windows หรือ Mac ที่ติดเชื้อของผู้ใช้ และเก็บข้อมูลเซสชัน Claude จากเบราว์เซอร์ไปพร้อมกับรหัสผ่านและคุกกี้อื่น ๆ 20
22
25
ข้อมูลที่มีรายงานมุ่งเน้นไปที่คอมพิวเตอร์ตั้งโต๊ะและแล็ปท็อป ยังไม่มีหลักฐานจากกรณีนี้ที่ยืนยันว่าโทรศัพท์หรือแท็บเล็ตได้รับผลกระทบจากกลไกขโมยเซสชันผ่านเบราว์เซอร์แบบเดียวกัน อย่างไรก็ตาม ไม่ควรตีความว่าอุปกรณ์พกพาปลอดภัยจากภัยคุกคามทางบัญชีหรือมัลแวร์ทุกประเภท 22
Anthropic รับมืออย่างไร
Anthropic บังคับให้ผู้ใช้ที่สงสัยว่าได้รับผลกระทบออกจากเซสชัน Claude ที่เกี่ยวข้อง ลบวิธีชำระเงินที่บันทึกไว้ และระบุว่าจะคืนเงินสำหรับค่าใช้จ่ายที่ตรวจพบว่าไม่ได้รับอนุญาต มาตรการเหล่านี้ช่วยตัดการเชื่อมต่อเซสชันที่ถูกขโมยและลดความเสี่ยงจากการใช้โควตาหรือบัตรเพื่อเรียกเก็บเงินเพิ่มเติม 17
18
20
21
แต่การบังคับออกจากระบบไม่ได้ลบ infostealer ออกจากคอมพิวเตอร์ หากเครื่องยังติดเชื้อ ผู้โจมตีอาจขโมยเซสชันใหม่ รหัสผ่าน หรือข้อมูลเบราว์เซอร์อื่น ๆ ได้อีก หลังจากผู้ใช้กลับไปล็อกอิน ดังนั้นการตรวจสอบและทำความสะอาดอุปกรณ์จึงยังเป็นขั้นตอนที่ขาดไม่ได้ 20
ผู้ใช้ Claude ที่ได้รับผลกระทบควรทำอะไร
หากได้รับการแจ้งเตือนจาก Anthropic หรือพบการใช้โควตาโดยไม่ทราบสาเหตุ ให้ถือว่าคอมพิวเตอร์ที่ใช้เข้า Claude อาจถูกเจาะ และดำเนินการตามลำดับต่อไปนี้
- สแกนและทำความสะอาดคอมพิวเตอร์ทุกเครื่องที่เกี่ยวข้อง ใช้เครื่องมือรักษาความปลอดภัยที่เชื่อถือได้ และดำเนินการให้เสร็จก่อนกลับเข้าสู่ระบบอีกครั้ง หากยังไม่สามารถไว้วางใจอุปกรณ์ได้ ให้ขอความช่วยเหลือจากผู้เชี่ยวชาญด้านการรับมือเหตุการณ์ หรือทำการติดตั้งระบบใหม่ด้วยกระบวนการที่มั่นใจว่าไฟล์ต้นทางสะอาด
- รักษาความปลอดภัยอีเมลที่เชื่อมกับ Claude เปลี่ยนรหัสผ่านจากอุปกรณ์ที่สะอาด แล้วเปลี่ยนรหัสผ่านบัญชีอื่นที่อาจถูกบันทึกหรือใช้งานผ่านเบราว์เซอร์ที่ติดเชื้อ โดยควรเริ่มจากอีเมล ธนาคาร บัญชีการเงิน บัญชีงาน และโปรแกรมจัดการรหัสผ่าน
- ตรวจสอบบัญชีและเซสชันที่กำลังใช้งาน ตรวจดูรายการเคลื่อนไหวทางการเงิน การตั้งค่ากู้คืนบัญชี เซสชันล็อกอินที่ยังเปิดอยู่ และการแจ้งเตือนความปลอดภัยว่ามีสิ่งใดไม่คุ้นเคยหรือไม่
- ค่อยกลับเข้า Claude หลังจากนั้น เมื่อทำความสะอาดอุปกรณ์และเปลี่ยนข้อมูลสำคัญเรียบร้อยแล้ว จึงล็อกอิน Claude อีกครั้ง และเพิ่มข้อมูลชำระเงินกลับเฉพาะเมื่อจำเป็น
การบังคับออกจากระบบและการลบบัตรที่บันทึกไว้เป็นมาตรการสกัดกั้นที่มีประโยชน์ แต่ไม่ใช่สิ่งทดแทนการทำความสะอาดอุปกรณ์ ความเสี่ยงหลักของเหตุการณ์นี้อยู่ที่คอมพิวเตอร์ที่ติดเชื้อสามารถเปิดเผยข้อมูลเบราว์เซอร์ซึ่งผ่านการยืนยันตัวตนแล้วได้ตั้งแต่ต้น 20
25
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "มัลแวร์ขโมยเซสชัน Claude ได้อย่างไร และผู้ใช้ควรทำอะไรต่อ" คืออะไร
Anthropic ระบุว่า infostealer คัดลอกคุกกี้เซสชัน Claude จากคอมพิวเตอร์ที่ติดเชื้อ ทำให้ผู้โจมตีนำเซสชันที่ผ่านการยืนยันตัวตนแล้วไปใช้ต่อและเผาผลาญโควตาแบบเสียเงินได้ โดยไม่ต้องรู้รหัสผ่านหรือขอรหัส MFA ใหม่ [18][19][21]
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
Anthropic ระบุว่า infostealer คัดลอกคุกกี้เซสชัน Claude จากคอมพิวเตอร์ที่ติดเชื้อ ทำให้ผู้โจมตีนำเซสชันที่ผ่านการยืนยันตัวตนแล้วไปใช้ต่อและเผาผลาญโควตาแบบเสียเงินได้ โดยไม่ต้องรู้รหัสผ่านหรือขอรหัส MFA ใหม่ [18][19][21] การโจมตีใช้เซสชันเบราว์เซอร์ที่ถูกต้องอยู่แล้ว ไม่ได้เจาะผ่านหน้าล็อกอิน ดังนั้นการเปลี่ยนการตั้งค่า MFA เพียงอย่างเดียวอาจไม่เพียงพอที่จะกำจัดความเสี่ยง
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?
Anthropic บังคับออกจากระบบเซสชันที่สงสัย ลบวิธีชำระเงินที่บันทึกไว้ และระบุว่าจะคืนเงินสำหรับรายการที่ไม่ได้รับอนุญาต แต่การดำเนินการกับบัญชีไม่สามารถลบมัลแวร์ออกจากคอมพิวเตอร์ได้
แหล่งที่มา
searchenginejournal.comAnthropic Warns Hackers Are Stealing Claude Sessions To Hijack Accounts
aiweekly.coAnthropic warns infostealer malware is draining Claude sessions
bleepingcomputer.comAnthropic warns infostealer malware is hijacking Claude sessions to ...
xenospectrum.comAnthropic Warns Stolen Login Sessions Let Attackers Drain Claude Users' Usage Limits | XenoSpectrum