竊資軟體盜走登入session：Claude用量無故被盜刷背後真相

如果你的 Claude 用量額度看起來像是「先回滿、再被莫名用光」，Anthropic 上週寄出的一封信給了答案：問題不在密碼，也不在雙重驗證，而是瀏覽器裡一塊叫做 session cookie 的東西被偷走了。

這封信最早由使用者分享到 Reddit，SecurityWeek 隨後報導。根據信件內容，Anthropic 已對受影響帳號強制登出所有 session、刪除已儲存的信用卡，並退還因異常用量產生的額外費用。公司同時說明，問題根源來自使用者自己電腦上的資訊竊取型惡意軟體（infostealer），而非 Anthropic 系統遭入侵。

Anthropic 目前鎖定六個惡意軟體家族，Windows 端包括 Vidar、Lumma、StealC、RedLine、Acreed，macOS 端則有 Atomic Stealer（AMOS），官方形容受影響的 Mac 數量「很少」。這些都不是針對 Claude 設計的專用工具，而是常見的通用型竊取軟體，通常隨惡意下載檔一起夾帶安裝，一旦執行就會蒐集瀏覽器內儲存的密碼與 cookie。

關鍵在於 session cookie 本身的作用：使用者登入 Claude 後，瀏覽器會保留這組憑證,讓系統不必每次載入頁面都重新要求密碼。攻擊者一旦複製到這組 cookie，就能直接接續受害者原本已登入、已通過雙重驗證的 session，完全不需要再觸發密碼或兩步驟驗證。這也是為什麼帳號密碼沒外流,額度卻莫名被燒光。

Anthropic 提醒,強制登出只能切斷當下被盜用的 session,無法清除使用者電腦裡的惡意軟體本身。官方建議的處理順序是:先移除電腦上的惡意軟體,再重新登入 Claude,接著替綁定的電子信箱設定新密碼並開啟雙重驗證,最後才重新加回付款方式。若順序顛倒,重新登入產生的新 cookie 一樣可能被同一套惡意軟體攔截。

信中沒有交代受影響帳號的規模,Anthropic 也尚未回應 Engadget 的採訪請求。