앤스로픽이 인포스틸러 악성코드가 클로드 로그인 세션을 훔쳐 계정을 무단 사용한다고 경고했습니다. 윈도우용 5종, 맥용 1종 등 총 6개 악성코드 계열이 브라우저 쿠키를 노렸습니다. 비밀번호나 MFA 없이도 계정 접근이 가능해 이용자 스스로 기기 점검이 필요해졌습니다.
어제(8월 30일) 블리핑컴퓨터 보도로 알려진 소식인데, 앤스로픽이 꽤 심각한 경고를 내놨습니다 ⚠️. 클로드 계정을 노리는 게 다름 아닌 인포스틸러(정보탈취형) 악성코드라는 겁니다. 그것도 한두 개가 아니라 Vidar, LummaC2, StealC, RedLine, Acreed까지 윈도우 환경에서 5종이 확인됐고, 소수이긴 하지만 맥에서도 Atomic Stealer(AMOS)라는 악성코드가 발견됐다고 하네요.
솔직히 이 방식 자체는 새로운 게 아닙니다. 인포스틸러는 원래 불법 다운로드나 크랙 프로그램 같은 경로로 PC에 몰래 설치돼서, 브라우저에 저장된 비밀번호나 로그인 쿠키, 세션 토큰을 통째로 긁어가는 악성코드거든요. 클로드만 노리는 게 아니라 컴퓨터에 저장된 거의 모든 로그인 정보를 훔치는데, 그중에 클로드 세션도 포함돼 있었다는 게 이번 경고의 핵심입니다.
여기서 진짜 무서운 부분은 세션 자체를 통째로 훔친다는 점입니다. 비밀번호를 알아내거나 MFA를 뚫을 필요가 없어요. 이미 로그인돼 있는 쿠키만 가져가면 그대로 로그인 상태를 이어받아 쓸 수 있으니까요. 공격자는 피해자 계정으로 클로드를 마음껏 쓰면서 사용량을 소진시키고, 그만큼 요금이 청구되는 구조입니다 💰.
앤스로픽 쪽 대응은 발견된 계정을 강제 로그아웃시키고, 저장된 결제 수단을 제거하고, 무단 사용으로 확인된 청구 건은 환불해주는 식입니다. 그리고 공식적으로 이런 입장도 밝혔습니다.
"We have no reason to believe that this malware is related to Claude, installed through Claude, or related to anything you did with Claude." — 클로드 자체의 보안 결함이 아니라, 이용자 PC가 먼저 감염된 게 원인이라는 뜻이죠.
근데 여기서 한 가지 짚을 게 있습니다. 계정을 로그아웃시킨다고 악성코드가 사라지는 건 아니라는 거예요. 감염된 기기는 그대로 남아있으니 또 로그인하면 다시 세션을 털릴 수 있습니다. 그래서 앤스로픽도 비밀번호 변경, 세션 전체 해제,