Anthropic, ‘Claude’ 세션 탈취로 사용량 소진 차단

Anthropic, ‘Claude’ 세션 탈취로 사용량 소진 차단

• Anthropic은 일부 Claude 사용자 PC의 인포스틸러 악성코드가 로그인 세션을 훔쳐 공격자가 계정에 들어가 사용량을 소진했다고 경고했다. 비밀번호보다 이미 인증된 세션을 노린 점이 핵심이다.
• 공격자는 탈취한 세션 쿠키를 재사용해 Claude 접속을 이어 갔고, Anthropic은 영향을 받은 계정을 로그아웃 처리했다. 저장 결제수단 삭제와 무단 청구 환불도 함께 진행했다.
• 회사는 감염 경로를 다운로드와 악성 앱으로 설명하며, 브라우저 비밀번호·쿠키·다른 앱 자격증명이 로컬에 저장돼 있으면 함께 유출될 수 있다고 밝혔다. 세션 유효성이 끝난 뒤에도 악성코드는 남는다.
• 8월 30일 공개된 경고는 Windows·Mac 환경의 인포스틸러가 세션을 훔칠 수 있음을 드러냈다. Anthropic은 재로그인만으로는 부족하고, 감염 PC 정화와 자격증명 교체가 필요하다고 강조했다.
• 사용량이 사용하지 않았는데도 늘고 다시 소진되는 현상은 AI 서비스 계정이 비용 탈취 통로가 될 수 있음을 보여준다. 정부는 생성형 AI 도입 사업에 세션 보호와 단말 악성코드 대응을 필수 통제항목으로 넣어야 한다.
• 이번 사건은 AI 계정 보호가 모델 성능이 아니라 단말·브라우저 보안에 달렸음을 보여준다. 국내 산업도 원격 접속형 AI 서비스에 대해 세션 무효화, 결제수단 격리, 사용자 통지 기준을 정비해야 한다.

정부는 생성형 AI 계정 관리 지침에 세션 탈취 대응, 감염 단말 차단, 무단 과금 환불 절차를 즉시 포함해야 한다. 공공 도입 사업은 브라우저 쿠키 보호와 악성코드 점검을 계약 요건으로 두는 편이 적절하다.

주요 용어: 인포스틸러(저장된 비밀번호·쿠키·자격증명을 훔치는 악성코드), 세션 쿠키(로그인 상태를 유지하는 인증 정보)

출처: BleepingComputer