앤트로픽, 클로드 이용자에 계정 침해 경고…인포스틸러가 로그인 세션 통째로 훔쳐

앤트로픽이 클로드(Claude) 이용자 일부에게 인포스틸러(정보탈취) 악성코드로 인한 계정 침해 사실을 알리는 경고 이메일을 발송했다. 감염된 PC에서 이미 인증된 브라우저 로그인 세션을 그대로 훔쳐 계정에 접근하고 사용량을 소진시키는 방식이다. 비밀번호나 2단계인증(2FA)을 다시 거치지 않고도 계정에 들어갈 수 있어 이용자가 피해를 알아채기 어렵다는 게 문제다. 블리핑컴퓨터(BleepingComputer)에 따르면 피해를 입은 한 이용자가 앤트로픽으로부터 받은 경고 이메일을 레딧(Reddit)에 공개하면서 사건이 알려졌다. 앤트로픽은 영향을 받은 계정을 로그아웃시키고 저장된 결제수단을 제거하는 등 대응에 나섰지만, 이것만으로는 악성코드 감염 자체를 없앨 수 없다고 밝혔다.

세션을 통째로 훔치는 인포스틸러의 작동 방식

앤트로픽이 보낸 이메일에는 “최근 흔한 인포스틸러 악성코드를 이용해 사람들의 컴퓨터에서 클로드 로그인 세션을 훔친 뒤, 그 세션으로 클로드 계정에 접근해 사용량을 소진시키는 나쁜 행위자를 확인했다”는 내용이 담겼다. 인포스틸러는 이미 인증이 완료된 브라우저 세션을 그대로 복제할 수 있어, 공격자가 정상적인 비밀번호·2단계인증 절차를 다시 거칠 필요가 없다는 게 특징이다.

앤트로픽은 이 악성코드가 클로드와는 무관하다고 강조했다. 회사는 “이 악성코드가 클로드와 관련이 있거나 클로드를 통해 설치됐거나 이용자가 클로드에서 한 어떤 행동과 관련이 있다고 믿을 근거가 없다”고 밝혔다. 통상 이런 악성코드는 불법 다운로드나 악성 앱을 통해 유입되며, 설치되고 나면 브라우저에 저장된 비밀번호와 로그인 쿠키, 다른 여러 앱·서비스의 인증정보까지 로컬에 저장된 정보를 광범위하게 수집한다. 클로드 세션 역시 이렇게 수집된 방대한 정보 중 하나였을 뿐이며, 공격자가 최근에서야 그중 클로드 세션을 골라내 악용하기 시작한 것으로 앤트로픽은 파악하고 있다. 실제로 레딧에 이메일을 공개한 이용자는 침해 직전 불법 복제 게임을 내려받은 사실을 확인했다고 밝혀, 감염 경로를 짐작하게 했다.

확인된 악성코드와 사용량 도난 패턴

앤트로픽은 공격에 연관된 악성코드로 윈도우에서는 Vidar, LummaC2, StealC, RedLine, Acreed 등 5종을, 맥에서는 소수 이용자를 대상으로 한 Atomic Stealer(AMOS)를 지목했다. 피해 여부를 스스로 짐작할 수 있는 단서도 이메일에 담겼다. 앤트로픽은 “사용량 한도가 다시 채워졌다가 클로드를 쓰지 않는 사이에 줄어드는 것처럼 보였다면, 이것이 원인이었을 가능성이 크다”고 설명했다.

News18 보도에 따르면 이번 위협은 클로드 이용자 전체를 겨냥한 것은 아니며, 앤트로픽은 영향을 받은 계정만 선별해 로그아웃시키고 있다. 같은 보도는 앤트로픽이 “폰과 태블릿은 관련되지 않은 것으로 보인다”고 밝혔다고 전하면서, PC와 맥이 이번 악성코드의 주요 표적이라는 점을 확인했다.

로그아웃·환불로 대응했지만 근본 해결책은 아니다

앤트로픽은 침해가 확인된 계정에 대해 클로드에서 강제 로그아웃시키고 탈취된 세션을 무효화했다. 저장된 결제수단도 계정에서 제거했으며, 무단 결제로 확인된 청구 건은 환불 조치했다. 시큐리티위크(SecurityWeek)에 따르면 결제수단이 제거된 이용자는 이후 갱신이나 추가 구매를 위해 결제수단을 다시 등록해야 하며, 앤트로픽은 컴퓨터의 악성코드를 모두 제거한 뒤에만 결제수단을 재등록하라고 안내했다.

다만 앤트로픽은 이런 조치가 근본적인 해결책이 아니라는 점을 분명히 했다. 회사는 “로그아웃은 탈취된 세션의 사용을 막지만 악성코드 자체를 제거하지는 못한다”며 “컴퓨터에 악성코드가 여전히 남아 있다면 다음 로그인 세션도 같은 방식으로 탈취될 수 있다”고 경고했다. 계정 접근을 일시적으로 차단하는 것과 감염 자체를 치료하는 것은 전혀 다른 문제라는 뜻이다.

이용자가 직접 챙겨야 할 후속 조치

앤트로픽은 자사가 취할 수 있는 조치 이외에 이용자들도 기본적인 보안 조치를 직접 취해야 한다고 당부했다. 계정 비밀번호 등 자격정보 변경, 계정에 연결된 다른 활성 세션 취소, 감염된 컴퓨터에서 악성코드를 철저히 제거한 뒤 재로그인할 것을 권고했다. 앤트로픽은 조사가 여전히 진행 중이라고 밝혔으며, 이번 사태가 클로드 플랫폼 자체의 결함이 아니라 이용자 개인 기기에 있던 범용 악성코드 감염에서 비롯됐다는 점을 재차 강조했다.

이번 경고는 AI 서비스 계정 역시 일반 온라인 계정과 마찬가지로 인포스틸러의 표적이 될 수 있다는 점을 보여준다. 비밀번호나 2단계인증만으로는 이미 탈취된 브라우저 세션 자체를 막을 수 없다는 점에서, 출처가 불분명한 프로그램이나 불법 다운로드 파일을 실행하지 않는 기본적인 보안 습관이 여전히 가장 확실한 방어선이라는 사실을 다시 확인시켜준다.