Redditで「Thank you, Anthropic (really)」という投稿を見かけました。
内容は物騒でした。クラック版ゲームを経由してマルウェアに感染し、Chromeのセッションやクッキーを盗まれて、2段階認証も実質回避された状態で、最終的にAnthropicのAPIトークンまで狙われた、という体験談です。
幸い検知でブロックされて実害は防げたそうなのですが、読んでいて他人事とは思えませんでした。今日は、これをきっかけに自分のアカウントを一通り点検した話です。
「自分は違う」で終わらせなかった理由
最初に浮かんだのは「自分はクラック版ソフトなんて使わないから関係ない」という考えでした。
考え直しました。感染経路は違っても、似たようなリスクを自分も抱えていることに気づきました。
「Claude in Chrome」で実際のブラウザを操作させ、複数のサービスに常時ログインした状態を保っていること。
そしてローカルには、APIキーやトークンが書かれたファイルが何個か平置きになっていること。
経路は違っても、突かれたら困る場所は自分にもちゃんとある、と思い直しました。
実際に1つずつ点検してみた
対象は4つでした。点検したのはGoogle・GitHub・X・Anthropic(claude.ai)の4つです。
それぞれのアカウント設定画面を開いて、アクティブなセッション一覧、2段階認証の有効化状況、連携しているChrome拡張機能の一覧をひと通り確認しました。
結果は、幸い全部「異常なし」でした。
見慣れないセッションも、身に覚えのない拡張機能もありません。
Anthropicだけ2FAの項目が見当たらなかった理由
発見が1つありました。点検していて気づいたことがあります。
Anthropic(claude.ai)のアカウントだけ、2段階認証の設定項目がどこにも見当たりませんでした。
最初は「まさか対応してないのか」と不安になったのですが、よく考えたらこのアカウントはGoogle経由でログインしていました。
仕組みは委任でした。Google経由のログインだと、認証自体をGoogle側に委任する形になるので、Anthropic側に個別の2FA設定が出てこないのは当然の挙動だったわけです。
早合点は禁物。仕組みを理解せずに「無い、危ない」と早合点しなくてよかったと思いました。
点検してるうちに、Xの2段階認証を新しく設定した
穴が1つありました。4つとも異常はなかったのですが、点検の過程でXだけ2段階認証を設定していないことに気づきました。
これは良い機会だと思って、その場で新規に設定しました。
「読んで終わり」にせず、実際に行動が1つ変わったのは、今回の点検の一番の収穫だったかもしれません。
まとめ
結果だけ見れば「全部異常なし」という、記事にするには地味な話です。
意味はそこにありました。他人の被害談を読んで「自分は違うから」で片付けず、一旦立ち止まって自分側の似たリスクを洗い出してみる、というプロセス自体には意味があったと思っています。
副業でAIツールを使い倒すようになった分、こういう地味な日常防衛も、思い出したタイミングで一通りやっておこうと思います。
この記事が参考になったら、応援クリックをお願いします
