セキュリティ企業Huntressは2026年7月、生成AIプラットフォームの正規機能を悪用した2件の攻撃事例を報告した。攻撃者はAIそのものを突破したのではなく、利用者がAIブランドと正規ドメインに寄せる信頼を突いた。偽の配布ページや偽の導入手順を検索広告で上位に表示させ、被害者自身にマルウェアの実行手順を踏ませる手口だ。
偽Claude配布ページから29組織がSectopRATに感染（FakeAgent）
HuntressがFakeAgentと名付けた作戦では、2026年7月21日から22日にかけて少なくとも29組織が被害を受けた。被害者はBingでClaudeのデスクトップアプリを検索し、スポンサー表示の中に混ざっていた正規のClaude.aiドメインへのリンクを開いた。リンク先は公開状態の**Claude Artifact（Claudeが生成内容を表示する共有画面）**で、正規に見えるデスクトップアプリの配布ページに仕立てられていた。
被害者がダウンロードしたClaudeDesktop.exeは、実際には遠隔操作マルウェアSectopRAT（.NET製ペイロード）を呼び込むものだった。SectopRATは利用者のクレジットカード情報や個人情報、ファイル、パスワードを窃取する。攻撃者はVMProtectによるパッケージ化や、実行前にグラフィックハードウェアを確認して仮想マシンでの解析を回避するなど、複数の解析妨害の手法を使っていた。コマンド＆コントロール（C2）の情報はイーサリアムのブロックチェーン上の取引に格納されていた。
Huntressはこの悪性ArtifactをAnthropicに報告し、7月22日の公開時点で削除されていた。同社は分析の一部にClaude自身（Opus 4.8）を用いたことも開示している。
偽の導入手順から6段階のMacSyncスティーラーへ
7月中旬に確認されたmacOSへの侵入では、被害者がGoogleでMacへのClaudeの導入方法を検索し、スポンサー結果からAppleサポートの導入手順に偽装したclaude.ai/shareの共有会話に誘導された。手順は利用者にターミナルを開いて1行のcurlコマンドを貼り付けて実行するよう指示し、そこからMacSyncと呼ばれるスティーラー兼遠隔操作ツールが展開された。
Huntressの解析によれば、MacSyncは6段階の連鎖で動く。薄いzshローダー、APIキーで保護されサーバー側に重要処理を置くAppleScriptスティーラー、操作用のネイティブMach-O RAT、画面収録の権限奪取を狙う署名付きヘルパー、ウォレット用トロイの木馬群が段階的に展開される。窃取対象はブラウザーのCookieやログイン情報、キーチェーンの秘密情報、確認済みのアカウントパスワード、Telegramセッション、SSH・クラウドの鍵に及び、約60のウォレット用ブラウザー拡張機能、21のデスクトップ用ウォレットアプリ、3つの改ざんされたハードウェアウォレット用アプリが継続的なリカバリーフレーズ詐取の標的だった。
攻撃基盤として、Cloudflare経由の配布ドメイン（agenticsora[.]comなど）、スティーラーのビーコンに記録された運用者IP（103.216.221[.]95）、RAT専用のTLS通信路（85.206.161[.]241:8443）の3層が確認された。Huntressは過去にも、汚染されたChatGPTやGrokの会話経由でAMOSスティーラーが配布された事例を記録しており、汚染された検索結果がAI上の手順書に誘導する構図は共通していると指摘している。
正規ドメインへの信頼を突く構図
2事例に共通するのは、偽装ドメインや証明書警告といった従来の危険信号が出ない点だ。ページがAI事業者自身の正規ドメイン上にあるため、利用者は疑わずに手順を実行してしまう。FakeAgentの悪性Artifactは攻撃発生から1日程度で削除されており、攻撃は短期決戦の様相を呈している。
Huntressは両事例の技術分析と侵害指標（IOC）を公開している。検索経由で正規AIドメイン上のコンテンツに誘導される攻撃があり得ることを前提に、配布物の入手元の確認と公開IOCによる検出・調査が重要になる。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。