Hackers monitoring targets

AIプラットフォームが日常のワークフローに組み込まれるにつれ、攻撃者は新たな侵入経路を見出しました。それは、プラットフォームそのものです。Huntress Security Operations Center（SOC）によると、日常的なリスクの大部分は、AI企業やモデルそのものへの攻撃ではなく、人々がすでに信頼し依存しているAI機能を悪用する脅威アクターによるものだという。

過去9か月間、Huntressは、攻撃者が共有可能なAIコンテンツ、公開されているミニアプリ、スポンサー付き検索結果を活用してAIユーザーを標的にし、マルウェアを配信したインシデントを追跡してきました。

正当な機能が乗っ取られる

Huntressは、脅威アクターが以下のような実際のAIプラットフォーム機能を悪用していることを確認しています：

  • Claude Artifacts： Claudeが生成し、チャットのプレビューペインに表示するコンテンツ 。ユーザーは公開リンクを介してこれを公開・共有できる。

  • claude.ai/shareリンク：誰かがClaudeの会話を公開した際に生成される共有可能なURL。これらは、フォーラムやソーシャルメディアなど、検索エンジンがクロール可能な場所に投稿されると、検索結果に表示される可能性があります。

  • ChatGPTおよびGrokの会話：chatgpt.comやgrok.comでホストされ、共有・インデックス化可能な会話。トラブルシューティング関連の検索で上位表示される可能性がある。

これらはそれぞれ「信頼境界」内に位置しています。ユーザーはプラットフォームやブランド、周辺のコンテンツを認識しているため、悪意のある指示やダウンロードも正当なものに見えてしまいます。こうしたキャンペーンは、プロバイダーがコンテンツを削除するまで数時間から数日しか続かないことが多くありますが、発覚する前に被害者を騙すには十分な時間です。

もしランサムウェアの被害に遭ったら、あなたならどうしますか？

ファイルは暗号化され、業務は停止し、攻撃者は身代金の額を提示し、あなたの返答を待っています。支払いますか？交渉しますか？それとも、そもそも応じることさえしないでしょうか？

Huntressが実際の企業に対して確認した戦術をもとに構築された、ランサムウェア攻撃のシミュレーションで、次の行動を選択してください。ランサムウェアの運営者が主導権を握っていると確信した際の行動や、交渉の段階に至る前に攻撃を阻止するためにどのような対策を講じられるかを確認できます。

シミュレーターを試す →

FakeAgent：Claude Artifactを利用したマルウェア広告

7月、Huntressは「FakeAgent」と呼ばれるキャンペーンが29以上の組織を標的としているのを確認しました。これは、本物のclaude.aiドメイン上にホストされた悪意のあるClaudeアーティファクトから始まりました。

公開されているアーティファクトは簡易的なデモを目的としており、Anthropicによる審査も一般的な免責事項の記載にとどまっているため、攻撃者は説得力のある偽のClaude Desktopダウンロードページを作成しました。

BingでClaudeデスクトップアプリを検索した被害者は、この偽のページに誘導され、正規のダウンロードリンクのように見えるものをクリックしました。しかし実際には、SectopRATマルウェアを配信する外部ドメインにリダイレクトされてしまいました。

Huntressがこのアーティファクトを報告し、Anthropicは7月22日までにこれを削除しましたが、同じリダイレクトドメインに関連するインシデントは8月まで続きました。

Figure 1: Claude Desktop/Cowork phishing page hosted as a Claude Artifact.
図1：ClaudeアーティファクトとしてホストされたClaude Desktop/Coworkフィッシングページ。

claude.ai/shareに潜む偽のインストールガイド

別のインシデントでは、「Claude on Mac」とGoogleで検索していた被害者が、スポンサー掲載の結果をクリックし、Appleサポートのインストールガイドを装ったclaude.ai/shareのリンクに誘導されました。このページはAnthropic自身のドメイン上に存在していたため、類似URLや証明書の警告など、通常見られる警告サインは一切ありませんでした。

この偽のガイドは、被害者にターミナルにcurlコマンドを貼り付けるよう指示し、MacSync情報窃取ツールを展開する6段階の連鎖を始動させました。これにより、クッキー、認証情報、キーチェーンの秘密情報、Telegramのセッション、SSHおよびクラウドの鍵が収集されました。

Figure 2: The weaponized claude.ai shared conversation, badged as shared by Apple Support, walking the victim through pasting a curl one-liner into Terminal.
図2：Appleサポートによる共有として表示された、悪用されたclaude.aiの共有会話（
）
被害者に、ターミナルに1行のcurlコマンドを貼り付ける手順を案内している。

ChatGPTおよびGrokを介したAIポイズニング

3つ目のパターンは、AIが生成したトラブルシューティングのアドバイスそのものを標的としています。12月、「macOSでディスク容量を解放する」という通常の検索を行ったところ、検索結果の上位にChatGPTやGrokの会話が表示され、実際の解決策ではなくClickFix式の指示が与えられていました。

攻撃者はこれらの会話を捏造し、「共有」ボタンを押してプラットフォームの信頼できるドメイン上に公開URLを生成し、SEOポイズニングを用いてそのリンクをGoogleの検索結果の上位に押し上げました。

リンクは本物の chatgpt.com および grok.com ドメイン上に存在していたため、被害者はそのアドバイスを信頼し、提案されたターミナルコマンドを実行しました。その結果、AMOS ステラーが配布されました。 

Figure 3: Top search results and highly rated links via Google Search
図3：Google検索による上位検索結果と高評価のリンク

防御担当者が取るべき対策

これらの攻撃はいずれも、AIプラットフォームのセキュリティを突破したわけではありません。これらは、ユーザーが馴染みのあるブランドや正規のドメインに対して抱く信頼を悪用したものです。 

防御担当者は、クリップボードを介した実行や AI を活用したトラブルシューティングをセキュリティリスクとして扱う必要があります。クリップボードからのスクリプト実行を制限し、アプリケーションの許可リストを徹底してください。新しいスケジュールされたタスクやウイルス対策ソフトの除外設定の変更に注意を払い、ClickFix のような罠を見抜けるようユーザーを教育してください。AI がホストする不審なコンテンツは、速やかにプラットフォームベンダーに報告してください。

こうしたキャンペーンは短期間で終了する傾向がありますが、迅速な報告と多層的な制御により、攻撃者がこれらを悪用できる時間を短縮できます。

この種の攻撃手法や、攻撃者がどのように戦術を進化させているかについて詳しく知りたい方は、毎月開催される「Tradecraft Tuesday」にぜひご参加ください。当社の専門家が詳細を解説します。 

Huntress Labsによる提供・執筆。