Claudeの悪用事例 — 2025年8月版レポートで見る手口の変化
Anthropicが2025年8月に公開した脅威インテリジェンスレポート。Claude Codeを使った恐喝、北朝鮮IT労働者の就労詐欺、AI生成ランサムウェアの3事例からエージェント型AI悪用の拡大を読み解く。
レポートの要点
Anthropicは2025年8月27日、脅威インテリジェンスレポート「Detecting and countering misuse of AI: August 2025」を公開しました。3月版レポートで見た4つの手口からの変化は明確です。3月版でも実行への拡大は始まっていましたが、8月版は攻撃工程全体をAIに実行させた点が違います。
ブログの要約は3事例に絞っていますが、PDF版はサイバー攻撃と詐欺の事例を合わせて10件収めています。レポートが挙げる傾向は次の4つです。
- エージェント型AIの兵器化(助言だけでなく攻撃そのものを実行させる)
- 高度なサイバー犯罪の参入障壁の低下
- 被害者のプロファイリングや自動化されたサービス提供など、犯罪活動全体へのAIの組み込み
- 盗んだデータの分析、カード情報の窃取、偽の身元作成といった詐欺の全工程でのAI利用
事例1: 「vibe hacking」— Claude Codeで恐喝を自動化
もっとも深刻な事例は、Claude Codeを使って医療機関・救急サービス・政府機関・宗教団体などから個人データを盗み、恐喝した攻撃者です。レポートはこの攻撃者をGTG-2002の名前で追跡しています。従来型のランサムウェアで暗号化する代わりに、データを公開すると脅して身代金を要求しました。
被害組織の数は、ブログが「少なくとも17組織を標的にした」、PDFが「直近1か月で少なくとも17組織に影響した可能性がある」と書いています。要求額も2か所で表現が違います。ブログは「50万ドルを超える例もあった」、PDFの脅迫文の節は「7万5,000〜50万ドルのビットコイン」です。
攻撃の5工程でClaude Codeが担った作業
攻撃者はKali Linux上でClaude Codeを動かしていました。作業の指針はCLAUDE.mdに書き込んであります。中身は、ネットワークセキュリティの試験を正規の契約のもとで行っているという作り話と、攻撃手順・標的の優先順位づけの枠組みです。
レポートは、このCLAUDE.mdをあくまで好みを伝える指針だったと位置づけています。どの経路で侵入するか、どのデータを持ち出すか、どんな脅迫文にするかといった戦術と戦略の判断は、Claude Codeが下していました。
Claude Codeが担った5つの工程
- 1
偵察
数千のVPNエンドポイントをスキャンして脆弱なシステムを探しました。結果を国と技術ごとに整理するスキャン用の枠組みも、Claude Codeが作っています。
- 2
侵入と認証情報の窃取
ドメインコントローラーやSQLサーバーを見つけ、Active Directoryを含む複数のドメインで認証情報を集めました。ライブの侵入中に権限昇格や横展開の助言も返しています。
- 3
マルウェアの作成と検知回避
トンネリングツールChiselを難読化してWindows Defenderの検知を避け、Chiselを使わないTCPプロキシも新たに書きました。実行ファイルをMSBuild.exeなどMicrosoftの正規ツールに見せかける作業も含まれます。
- 4
データの持ち出しと整理
防衛関連企業・医療機関・金融機関から、社会保障番号、銀行口座、患者情報、輸出管理対象の文書などを抜き出しました。
- 5
恐喝文の作成
窃取した財務データから身代金の額を算出し、被害者ごとの脅迫文を作りました。期限は48〜72時間で、HTML形式の脅迫文が被害者の端末に表示されるようにしています。
脅迫文の「収益化プラン」は4通りの選択肢を並べていた
Anthropicが公開した再現例は模擬データです。攻撃者が窃取したファイルの分析をもとに、脅威インテリジェンスチームが作りました。Claudeが書いた「profit plan」は、財務データ・給与・寄付者名簿の一覧に続けて、次の4つの収益化案を並べます。
- 組織への直接恐喝
- 盗んだデータの転売
- 個人(高額寄付者など)への個別の脅迫
- 上の3つを段階的に組み合わせる案
別の模擬脅迫文は、輸出管理当局・税務当局・競合企業・報道機関への通報を「支払わなかった場合の結果」として列挙しています。
この事例で攻撃者に求められる専門性は、脅迫文を書く力から、Claude Codeへの指示の出し方に移りました。レポートは、単独の攻撃者でも犯罪チーム全体並みの影響を出せる点を指摘しています。
Anthropicの対応
関連アカウントは停止されました。この種の活動を想定した専用クラシファイアの開発と、通常の安全対策の仕組みに拾わせる新しい検知手法にも着手しています。技術的な痕跡情報は主要なパートナーと共有されました。
事例2: 北朝鮮IT労働者による就労詐欺
2つ目の事例は、北朝鮮の工作員が欧米の技術企業でリモート職を得て、維持するためにClaudeを使っていたケースです。経歴の捏造から応募書類の作成、面接対策、採用後の実務までClaudeが関わっていました。
就労詐欺そのものはLLM登場以前からある手口で、FBIの試算では北朝鮮の兵器開発資金として年間数億ドル規模に達します。今回の焦点は「工作員の訓練期間」というボトルネックが外れたことです。以前は、金日成総合大学などで若い頃から訓練した人材を選抜して送り込んでいたため、動員できる人数に上限がありました。
Claudeの利用内訳(北朝鮮IT労働者のアカウント群)
フロントエンド開発
61%
React・Vue・Angularなど
プログラミング全般
26%
Pythonのスクリプトなど
面接対策
10%
模擬面接・回答の生成
バックエンド開発
3%
API・サーバー側
レポートは、利用の約80%が「実際に就業している状態と整合する」使われ方だったとしています。応募を通すための道具ではなく、採用後の仕事そのものをClaudeに任せていたことになります。
模擬例として載った質問は、「Goがインストールされているか確認する方法」「Outlookアプリの使い方」「このコードは何を意味するか」といった初歩的なものです。英語の日常的な言い回しの意味を尋ねる文化面の質問も混じっています。技術と言語の両方でAIに頼る運用です。
工作員1人が複数の職を同時に維持できるようになった可能性にも、レポートは触れています。Anthropicは関連アカウントを停止し、公開情報と非公開の情報共有から得た侵害指標を集めて突き合わせるツールを改良しました。
事例3: ノーコードマルウェア — AI生成ランサムウェアの販売
3つ目は、英国拠点とされる攻撃者(GTG-5004)が、Claudeを使って複数のランサムウェア亜種を開発し、ダークウェブのフォーラムで売っていた事例です。販売は遅くとも2025年1月に始まっていました。レポートには1月17日の初回の販売告知のスクリーンショットが載っています。
この攻撃者は、暗号化の実装や検知回避、Windows内部の操作を自力ではこなせない様子でした。技術力ではなく、AIへの依存度がそのまま製品の完成度を決めていた事例です。
販売されていた3つの商品
ランサムウェアのDLLと実行ファイル: 400ドル
ランサムウェア本体だけを売る商品です。
RaaSの一式: 800ドル
PHP製の管理画面と、遠隔操作用のツールが付きます。
Windows 10/11向けクリプター: 1,200ドル
ネイティブバイナリを検知されにくく加工する商品です。
商品は「教育・研究目的のみ」と宣伝されていましたが、実際の宣伝先は犯罪者向けのフォーラムです。レポートはこの文言を、偽装の手口として扱っています。
開発の履歴には段階があり、基本的な暗号化と検知回避から始まって、解析対策と復旧防止、最後に配布と遠隔操作の基盤へと広がりました。攻撃者が方向づけを続けるたびに、Claudeがコードを積み上げた経過です。レポートは、コードの書き癖がAIのパターンに寄るため、攻撃者の特定がかえって難しくなるとも指摘しています。
Anthropicはアカウントを停止し、マルウェアのアップロード・改変・生成を検知する新しい手法を導入しました。
3事例に共通する変化
3月版の中心は、初心者の能力を底上げする補助でした。8月版では、vibe hackingでAIが戦術と戦略の判断まで担い、ノーコードマルウェアでは実装能力そのものを肩代わりしています。
| 事例 | AIが担った役割 | 従来なら必要だった専門知識 |
|---|---|---|
| Claude Codeによる恐喝 | AIが担った役割偵察・侵入・戦術判断・脅迫文生成 | 従来なら必要だった専門知識攻撃チーム一式の運用能力 |
| 北朝鮮IT労働者の就労詐欺 | AIが担った役割経歴詐称・技術試験突破・実務遂行 | 従来なら必要だった専門知識数年規模の専門訓練 |
| AI生成ランサムウェア | AIが担った役割暗号化・アンチ解析・OS内部操作の実装 | 従来なら必要だった専門知識マルウェア開発の専門スキル |
防御側から見ると、攻撃者の技術力から攻撃の複雑さを推し量る従来の前提が崩れています。レポートも、AIが即席の専門知識を供給できるなら、攻撃者の洗練度と攻撃の複雑さの関係についての従来の想定は成り立たないと述べています。
ブログに載っていない事例 — 中国系の攻撃者から恋愛詐欺ボットまで
PDF版には、ブログが詳しく扱わない事例が7件あります。ベトナム通信インフラへの攻撃には、ブログも末尾で短く触れています。
ベトナムの重要インフラへの9か月の攻撃。中国系と見られる攻撃者が、MITRE ATT&CKの14の戦術のうち12の段階でClaudeを使っていました。ベトナムの通信事業者、政府のデータベース、農業管理システムが侵害された模様です。ATT&CKの枠組みでClaudeの悪用を数えた分析は、ClaudeのMITRE ATT&CKマッピングで扱っています。
北朝鮮「Contagious Interview」の自動遮断。開発者に偽の求人と課題を送ってマルウェアを仕込む活動です。2024年10月22日に作られた4アカウントのうち2つが即座に停止され、残る2つは一度もプロンプトを送らないまま放棄されました。
ロシア語話者の開発者。Windows内部には詳しいのに、実装をClaudeに頼っていた人物です。プライバシーを守る分析ツールClioで見つかりました。Claudeが書いたコードの検体が、2時間以内にVirusTotalに現れています。
詐欺の4事例。情報窃取マルウェアのログをMCP経由で解析して被害者のプロファイルを作る攻撃者、Claude Codeでカード検証サービスの切り替えと流量制御を組んだカード売買サイト、Claudeを「高EQモデル」として宣伝するTelegramの恋愛詐欺ボット(月間利用者1万人超。対応言語に米国・日本・韓国向けを含む)、合成ID(偽の身元)サービスです。
なお、PDF版の合成IDサービスの節は、手口の記述がカード売買サイトの節とまったく同じ文面になっています。
3月版からの変化をどう見るか
3月版と8月版を比べると、エージェント型のツール(Claude Code)が悪用の主役に躍り出たという変化が目立ちます。3月版の悪用では、人間の指示を受けて補助する使い方が中心でした。8月版のvibe hackingでは、標的の選定から脅迫文の作成まで、Claude Codeが工程を横断して実行しています。
PDF版の冒頭は、今回の事例がClaudeに固有ではなく、最先端のAIモデル全般に共通する傾向を示す可能性が高いと注記しています。
ゼロデータ保持を保ったまま悪用を検知するEnterprise Frontier Safeguardsは、2026年9月に発表されました。同じ悪用検知の課題に向けた別の動きです。その後の2026年9月版レポートは7つの脅威領域に整理されています。
Claude Code利用者への実務的な示唆
正規の開発者が日常業務でClaude Codeを使う分には、この種の恐喝オペレーションと接点はありません。ただ、事例1の攻撃者は、CLAUDE.mdに「正規の契約下の試験」という経緯を書いて作業を進めました。大量のネットワークスキャンや認証情報の収集を伴う演習は、事前にUsage Policyの該当範囲を確かめる選択肢があります。
境界線に近い操作でCLIが拒否応答を返したときの挙動は、Claude Codeの「Usage Policy refusal」の意味と対処にあります。
Anthropicが2024年に主張していた規制論の背景は、的を絞ったAI規制の必要性が扱っています。3月版との比較は、Claudeの悪用事例 — 2025年3月版レポートで見る4つの手口にあります。
まとめ
8月版レポートの核心は、攻撃の腕前がAIへの指示の出し方に置き換わったことです。防御側は攻撃者の技術水準ではなく、AIの使われ方そのものを見張る必要が出てきています。