ShinyHunters系ハッカーや国家型ハッカーがClaudeを悪用：アンソロピック

佐々山 Tacos

2026.09.14

ShinyHunters系ハッカーや国家型ハッカーがClaudeを悪用：アンソロピック

BleepingComputer – September 11, 2026

アンソロピック（Anthropic）によれば、金銭的動機を持つグループやロシア／中国との繋がりが疑われる国家支援型グループなど複数の脅威グループが、悪意ある目的のためにClaude AIを不正に利用しようとしていたという。

アンソロピックによると、2025年12月から2026年8月にかけて、同社はさまざまなタイプのAI不正利用を観測。これには、サイバー工作、影響工作、偵察、詐欺、生物兵器を含む兵器開発、モデル蒸留などが含まれるとされる。

その一例が、サイバー犯罪集団ShinyHuntersと関連する複数の活動。同グループのフランス語話者メンバーとされる「frkoo」は、10台のAWS EC2ワーカーを使った認証情報収集パイプラインを運用していたとされる。このパイプラインは、複数のアプリストアから約180万種類のAndroid APKを大量ダウンロードし、逆コンパイルしたうえで、TruffleHogを使ってハードコードされたシークレットを探索するというもの。検証を終えた認証情報は、Telegramグループなどへ送られていたとされる。

frkooはまた、別の自動化されたプロセスを使ってGitHub Organization（組織）のメールアドレスを収集。集めたアドレスを使ってGitHub個人用アクセストークン（PAT）を取得していたという。

これら2つのパイプラインから提供された初期アクセス用認証情報は、frkooの関与が確認された侵害事例の大部分において使用されていたとアンソロピックは述べている。

同社はまた、frkooがフランス国家警察になりすましたドメイン「policenationale[.]cc」を使ってカーディングショップを立ち上げていたことも報告。ここで、盗難ペイメントカードレコードやカード所有者情報、被害者アドレスのインタラクティブなマップといった情報を販売していたとされる。

frkoo以外にも、ShinyHuntersのメンバーとされるアクターらがAI APIキーを盗み、このキーを他組織の侵害や偵察活動に使っていたこともアンソロピックにより報告されている。ある攻撃では、同グループのメンバーとされるアクターがSaaSプロバイダーを侵害し、200ほどの下流顧客のデータを窃取。Claude AIを使い、34時間ほどで40の異なるコーポレートMicrosoftテナントに紐づくAzure AD認証トークン2,100セット超を入手したとされる。この攻撃では、AIエージェントがほぼすべての作業を行ったとアンソロピックは述べている。

このほかにも、ShinyHuntersの関連グループによるものとされるその他の悪意ある活動には、テクノロジープロバイダーへの侵入、1TBのデータの窃取、航空会社のシステムへの侵入、およびエネルギー企業のシステムへのアクセスなどが含まれるという。

アンソロピックはこのほか、ロシア、中国関連のハッカーによるものとされる不正利用事例も紹介。ロシア関連スパイグループMidnight Blizzardに関連づけられた事例では、マルウェア開発やリサーチ、インフラ獲得、フィッシング、永続化、C2操作、データ抜き出しにClaudeが使われたとされる。

Midnight Blizzardは、デバイスコードフィッシング、ClickFix、侵害されたホテルWi-Fiプロバイダーを通じたDNSハイジャッキング、WhatsAppアカウントの乗っ取り、クラウドメールの窃取、Windows・Android・iOSマルウェアといった手法・ツールを使って20を超える政府・防衛・外交・重宝・外務関連の組織を標的にしたという。アンソロピックは、攻撃の各段階でClaudeが使用されていたと報告。Midnight BlizzardはClaude Codeのスキルを基盤としたAI駆動のワークフローを通じて作業を自動化し、人間のオペレーターは主に、微調整が必要な場合にのみそれらのスキルを修正していたとされる。

一方でアンソロピックが観測した中国関連グループ（GTG-10007）の不正利用事例では、Claudeが以下を含む多様なタスクを含む協調的な攻撃プログラムの「エンジニアリングおよび調整層」として使われていたという。