ผู้ใช้ Claude ร้องถูกแฮกขโมยโทเคน พบมัลแวร์ Infostealer ดูดเซสชันไปใช้โดยไม่ได้รับอนุญาต

สำนักข่าวบริคอินโฟ – ผู้ใช้งาน Claude แพลตฟอร์มปัญญาประดิษฐ์จาก Anthropic กำลังเผชิญปัญหาโควตาโทเคนถูกสูบใช้งานอย่างผิดปกติโดยไม่ทราบสาเหตุ ก่อนพบว่าเซสชันล็อกอินถูกผู้ไม่หวังดีขโมยไปสร้างโทเคนเพื่อให้บริการบุคคลภายนอก ส่งผลกระทบต่อผู้ใช้งานระดับมืออาชีพและธุรกิจขนาดย่อมที่ต้องพึ่งพาระบบในการทำงานอย่างหนัก

แกรนต์ เด สวาร์ดต์ (Grant De Swardt) ที่ปรึกษาอิสระด้าน AI ในอีสต์ซัสเซกซ์ สหราชอาณาจักร เปิดเผยว่า ตนเองสังเกตเห็นความผิดปกติในบัญชี Claude Max 20x ที่มีค่าบริการเดือนละ 200 ดอลลาร์สหรัฐ โดยอัตราการใช้โทเคนพุ่งสูงขึ้นอย่างต่อเนื่อง ทั้งที่ไม่ได้เปิดใช้งานระบบหรือรันงานใดๆ แม้จะตัดการเชื่อมต่อและปิดระบบอัตโนมัติทั้งหมดแล้ว ปริมาณการใช้งานก็ยังขยับขึ้นจาก 45% เป็น 55% เมื่อติดต่อสอบถามไปยังผู้ให้บริการเพื่อขอรายงานการใช้งานอย่างละเอียด ทางบริษัทยืนยันว่าไม่สามารถจัดทำรายการแจกแจงการใช้งานได้ แต่ยอมรับว่ามีความผิดปกติเกิดขึ้น จึงดำเนินการระงับบัญชี ยกเลิกโทเคนฝั่งเซิร์ฟเวอร์ทั้งหมด และคืนเงินค่าบริการตามสัดส่วนที่เหลือจำนวน 44.49 ปอนด์ ซึ่งการระงับระบบกะทันหันดังกล่าวส่งผลกระทบโดยตรงต่อธุรกิจที่ต้องใช้ AI ในการเขียนโค้ดและจัดการงานระบบให้ลูกค้า

จากการตรวจสอบในเวลาต่อมา Anthropic แจ้งต่อ เด สวาร์ดต์ ว่า สาเหตุเกิดจากกุญแจเซสชัน (Session Key) ถูกเข้าถึงโดยไม่ได้รับอนุญาต และถูกนำไปสร้าง OAuth Token สำหรับ Claude Code เพื่อให้บุคคลภายนอกนำไปประมวลผลงานของผู้อื่น โดยข้อมูลบ่งชี้ว่าอาจเกิดจากการที่ข้อมูลประจำตัวหรือเซสชันถูกขโมยออกไป หรือมีการเชื่อมต่อบัญชีเข้ากับบริการภายนอก ซึ่งลักษณะการติดตามปริมาณการใช้งานในระบบปัจจุบันที่มีเพียงตัวเลขรวม แต่ไม่มีรายการแจกแจงแบบระบุช่วงเวลาและกิจกรรม ทำให้การลักลอบใช้งานในลักษณะนี้สามารถดำเนินไปได้อย่างแนบเนียนและยากต่อการตรวจพบ

หลังจากการเผยแพร่เรื่องราวดังกล่าวลงบนกระดานสนทนา Reddit และแพลตฟอร์ม GitHub พบว่ามีผู้ใช้งานรายอื่นประสบปัญหาในลักษณะเดียวกัน เช่น บัญชีถูกตัดเงินและถูกปรับระดับแพ็กเกจโดยไม่รู้ตัว รวมถึงอัตราการใช้งานพุ่งขึ้นเต็ม 100% ตลอดทั้งวันโดยไม่ได้เปิดใช้งาน ทั้งนี้ ผู้ใช้งานบางรายได้รับอีเมลแจ้งเตือนจากทางบริษัทว่า ตรวจพบผู้ไม่หวังดีใช้มัลแวร์ประเภท Infostealer ในการขโมยข้อมูลเซสชันล็อกอินจากคอมพิวเตอร์ของผู้ใช้เพื่อนำไปใช้โควตาของระบบ โดยมัลแวร์ดังกล่าวไม่ได้มีต้นตอมาจากตัวระบบของบริษัท แต่ติดมาจากการดาวน์โหลดโปรแกรมไม่พึงประสงค์หรือการคลิกโฆษณาที่มีการแฝงโค้ดอันตราย

แม้บัญชีของ เด สวาร์ดต์ จะได้รับการกู้คืนหลังผ่านไปราวสองสัปดาห์ แต่ความล่าช้าในการให้ความช่วยเหลือ ประกอบกับการขาดเครื่องมือสำหรับตรวจสอบรายละเอียดการใช้โทเคน ทำให้เขาตัดสินใจยกเลิกการสมัครสมาชิกและเปลี่ยนไปใช้แพลตฟอร์มอื่นแทน พร้อมสะท้อนความกังวลว่า หากทางผู้พัฒนายังไม่มีระบบตรวจสอบและแจกแจงกิจกรรมการใช้งานโทเคนที่โปร่งใส ผู้ใช้งานย่อมไม่สามารถป้องกันตนเองจากการสูญเสียทรัพยากรและการถูกสวมสิทธิ์ในลักษณะนี้ได้ ซึ่งทางบริษัทยังคงปฏิเสธที่จะให้ข้อมูลเพิ่มเติมเกี่ยวกับแนวทางป้องกันสำหรับผู้ใช้งานทั่วไป