Claude Code開発者は確認を
入れただけでPCに裏口を作られた
偽Claude CodeCursorのストアに改ざん版、約11時間(最大5,000人)
1何が起きた?
Cursorのストアに改ざん版
- いつ?
- 日本時間10月29日18時27分〜30日5時35分ごろの約11時間
- 何人?
- 影響は最大5,000人とCursorが説明したと報道
何が起きたか
AIコードエディタのCursorは10月29日、自社の拡張機能ストアに、Anthropicの「Claude Code」拡張を改ざんしたものが置かれていたと発表しました。対象はWindowsとmacOS向けの2.1.312と2.1.313で、配布されたのは太平洋時間の10月29日2時27分から13時35分ごろ(日本時間で29日18時27分から30日5時35分ごろ)です。Cursorはストアを止めて鍵を交換し、作り直してから再開しました。ほかの拡張に改ざんはなかったとしています。
なぜ大事か
拡張機能は名前と発行元を信じて入れるものなので、公式と同じ名前で配られると、利用者には見分けがつきません。Cursorは「この改ざん版はAnthropicが作ったものではない」と説明しています。影響は最大5,000人とされ、拡張全体の利用者数とは別の数字です。
日本への影響
日本の被害は報じられていません。ただし時間帯は日本の夜から早朝にあたります。この間にCursorで拡張が入った、または更新された人は確認が必要です。
2何をされる?
知らないうちにSSHの裏口、拡張が読み込まれるだけで動き、Claude Codeを使わなくても実行された
- どう動く?
- 攻撃者のSSH鍵をPCに登録し、外部のサーバーへトンネルをつなごうとする
- 何を送る?
- PC名、Gitのメール、公開IP、KEYやTOKENを含む環境変数の名前など
何が起きたか
セキュリティ企業Phorionなどの分析によると、改ざん版は拡張の本体ファイルの先頭に不正なコードを足したものです。拡張が読み込まれると自動で動き、攻撃者のSSH鍵を authorized_keys に追加し、外部サーバーへの逆向きのトンネルを約60秒ごとに試します。PC名、ユーザー名、OS、Gitのメールアドレス、公開IPのほか、鍵やトークンに見える環境変数の名前も送ります。
なぜ大事か
SSHの鍵が登録されると、パスワードなしで外からそのPCに入れる状態になります。macOSでは「リモートログイン」が元々オンの場合に裏口が使える状態になると報じられています。環境変数は名前だけが送られますが、どんな鍵を持っているかが攻撃者に伝わります。
日本への影響
仕組みは国を問いません。報道では、攻撃者のサーバーはすでに止まっているとされています。
3誰が対象?
CursorのMac・Windows
- 対象は?
- CursorのストアからMac・Windows向け2.1.312か2.1.313が入った人
- 入口は?
- どう登録されたかは未公表。Anthropicは自社の侵害を否定と報道
何が起きたか
Cursorの発表が対象としているのは、WindowsとmacOS向けの2.1.312と2.1.313です。最初の報道では npm、Open VSX、Microsoftの VS Code Marketplace も対象とされましたが、BleepingComputerは、配っていたのはCursorだけだと後に確認されたと伝えています。Claude CodeのCLI(ターミナル版)が改ざんされたという報告はありません。
なぜ大事か
どうやって公式の名前で登録できたのかは、Cursorからも説明がありません。報道では、Phorionが「公式アカウント経由で出た」と主張する一方、Anthropic側の担当者は「Cursorのストアへのアクセスが使われた」と述べたとされ、見方が割れています。版の番号も、報道によっては2.1.313だけで、Cursorは10月30日に対象の版を更新しました。
日本への影響
VS Code本体のストアから入れた人は、現時点の報道では対象外です。Cursorを使っている人は、自分の拡張の入手先と時間帯を確かめる必要があります。
4心配な点・やること
更新しても裏口は残る、拡張を消すだけでは足りない可能性があるとCursorが注意
- 確認は?
- authorized_keysに「svc-telemetry」の鍵がないか探す
- 見つかったら?
- Cursorの除去スクリプトを実行し、別のPCからトークンやSSH鍵を交換
何が起きたか
Cursorは「拡張をアンインストールするだけでは足りない場合がある」としています。自動起動の仕組みが拡張のフォルダの外に作られるためです。確認は authorized_keys で svc-telemetry という名前の鍵を探します。Macでは LaunchAgents の com.apple.sysmond.plist、Windowsでは SysMon という予約タスクも目印です。Cursorは macOS と Windows 用の除去スクリプトを公開し、影響を受けたPCの隔離、不正な鍵と自動起動の削除、作り直しの検討、信頼できる別の端末からの認証情報の交換を求めています。
なぜ大事か
AIのコーディング道具は、GitHubやクラウドの権限を持ったPCで動きます。交換の対象は、GitHub、CI、クラウド、パッケージ配布のトークンと、そのPCで使っていたSSH鍵です。
日本への影響
企業で開発者がCursorを使っている場合は、個人の確認だけでなく、会社のPC全体で同じ確認が必要です。
海外の報道や各社の発表をもとに、ai.1min.news が日本語でまとめました。AIの使い方と編集方針