내 사용량이 혼자 올라간다면

무엇이 있었나

확인 보도에 인용된 앤트로픽 메일 문구에 따르면, "흔한 인포스틸러 악성코드를 이용해 사람들의 컴퓨터에서 클로드 로그인 세션을 훔친 뒤, 그 세션으로 클로드 계정에 접근해 사용량을 소비하는 악의적 행위자를 인지했다"고 한다. 확인된 악성코드 종류는 Vidar·Lumma·StealC·RedLine·Acreed(윈도) 와 Atomic Stealer(일부 맥) 다. 로그인 세션은 비밀번호나 2단계 인증을 다시 묻지 않는 "이미 로그인된 상태"라서, 이걸 훔치면 2단계 인증도 그냥 우회된다.

확인 앤트로픽은 이 악성코드가 "클로드를 쓰다가 걸리는 것이 아니"라고 분명히 밝혔다. 감염된 프로그램을 내려받거나 악성 광고를 눌러서 걸리는, 클로드와 무관한 경로다.

추정 드 스와르트의 경우 앤트로픽이 원인을 "탈취된 세션 키로 무단 클로드 코드 OAuth 토큰이 발급됐다"고 알려줬다고 한다. 다만 그는 자기 컴퓨터가 감염됐다는 증거를 못 찾았다고 했으니, 모든 피해 경로가 인포스틸러 하나로 설명되는 건 아닐 수 있다.

왜 중요한가

이 사이트 교육 과정 L0·04 토큰 · 컨텍스트 · 환각에서 토큰은 내가 시킨 만큼 깎인다고 적었다. 이 사건은 그 전제가 깨질 수 있다는 걸 보여준다 — 내가 아무것도 안 시켜도, 세션만 훔치면 남이 내 토큰을 쓸 수 있다. 게다가 사용량 화면은 총량만 보여줄 뿐 "어디에 썼는지"는 안 알려주니, 이상함을 알아채는 유일한 신호가 총 사용량이 이유 없이 오르는 것 하나뿐이다.

직접 확인해 보기 — 5분

1. 활성 세션 목록을 연다. claude.ai에서 프로필 아이콘 → Settings → Account → Active sessions. 기기·브라우저, 대략의 위치, 마지막 사용 시각이 세션별로 나온다.
2. 낯선 것을 찾는다. 안 쓰는 브라우저, 안 가 본 지역, 오래전에 로그아웃했어야 할 기기가 보이면 의심할 것.
3. 의심 가는 세션을 끝낸다. 해당 세션의 메뉴에서 "Terminate". 지금 쓰고 있는 기기가 아니라면 주저 없이 끊는다.
4. 사용량 화면도 같이 본다. 최근에 시킨 적 없는데 사용량이 크게 뛴 구간이 있는지 훑어본다. 항목별 내역은 안 나오니 구간만이라도 눈에 담아 둔다.
5. 낯선 세션을 봤다면 계정 이메일 비밀번호부터 바꾸고 2단계 인증을 켠다. 그리고 컴퓨터 백신 검사도 한다 — 로그아웃은 훔쳐 간 세션을 끊을 뿐, 컴퓨터에 남은 악성코드까지 지워 주지는 않는다.

한 줄 정리

1. 8월 말~9월 초, 인포스틸러 악성코드로 클로드 로그인 세션을 훔쳐 사용량을 몰래 쓰는 사건이 보도됐다.
2. 2단계 인증도 로그인 세션을 훔치면 그냥 우회된다. 방어는 세션 목록 점검부터다.
3. 항목별 사용 내역이 없어 총 사용량이 이유 없이 오르는 것이 유일한 신호다.