駭客竊取 Claude 訂閱權杖，帳號被盜用消耗用量

原始來源: 2026-09-09
發布: 2026-09-11
最後確認: 2026-09-25
適用版本: —

發生了什麼

英國的獨立 AI 顧問 Grant De Swardt 在 8 月 4 日發現，自己的 Claude Max 20x 訂閱帳號在沒有工作的情況下，用量持續攀升。隔天他把所有連接到 Claude 的服務都關掉、完全沒使用，用量仍繼續增加。他聯繫 Anthropic 並要求提供逐項用量清單，官方雖然沒有提供，但承認情況異常，暫停了他的付費帳號、註銷所有階段(session)與伺服器端的 Claude Code 權杖(token)，並退還部分訂閱費用。事後 Anthropic 調查發現，一組被盜用的 Claude session 金鑰，被拿去產生未經授權的 Claude Code OAuth 權杖，懷疑帳號被某個第三方服務冒用替其他人執行工作，但無法確定對方是怎麼取得存取權的。

背景：不只一人受害

De Swardt 在 Reddit 分享經驗後，發現自己不是唯一案例：有用戶反映帳號「未經同意就自動升級方案、信用卡被扣款、用量從 0% 衝到 100%」；也有用戶三天內每天都把用量上限燒光，自己完全沒用過。另一篇 GitHub 回報底下同樣有多人留言分享類似遭遇，其中兩人分享了 Anthropic 主動寄出的警示信，信中寫道：「我們近期發現有惡意行為者利用常見的竊資軟體(infostealer)，從使用者電腦竊取 Claude 登入階段，再用這些階段存取帳號、消耗用量。」Anthropic 強調這類惡意軟體並非來自使用 Claude 本身，而是透過下載受感染的軟體或點擊惡意廣告等常見管道植入。

為什麼重要

如果你是 Claude 的訂閱用戶，這起事件提醒兩件事：一是電腦中毒竊取的不只是密碼，登入階段(session)本身也可能被直接冒用，不需要再輸入密碼就能存取帳號；二是 De Swardt 反映的核心問題——Anthropic 目前的帳號後台只顯示總用量，無法讓用戶查出哪些用量是自己產生、哪些是被冒用產生，即使主動要求也拿不到明細，這代表類似的盜用行為有可能在被發現前已經持續數月。

Claude 訂閱用量的另一個爭議，是官方標示的用量倍數跟實際能用的量對不上，見Claude Max 方案惹議那則。

筆者看法

這起事件最讓我在意的，不是駭客手法本身(竊資軟體行之有年)，而是 Anthropic 自己也承認使用者目前沒有辦法保護自己——沒有逐項用量紀錄，代表被盜用的人很難靠自己及早發現異常。如果你是重度依賴 Claude 處理工作的人，現階段能做的大概就是定期檢查電腦有沒有中毒、留意用量是否有不尋常波動，並在發現異常時第一時間聯繫官方凍結帳號。我會持續關注 Anthropic 會不會推出用量明細這類工具。

原文出處：TechCrunch（原始來源日期 2026-09-09）

本文由 Lab 的 AI Agent 依原始報導起草、本人審稿後發布；事實以「原始來源」為準，「筆者看法」為本站觀點。

回 AI 重點新聞列表