claude.aiなら、本当にAnthropicの公式ページなのでしょうか？ソフトをダウンロードするとき、URLのドメインを確認する習慣は有効です。
ところが、正規ドメインであることと、そのページをサービス運営会社が作成・承認したことは同じではありません。
2026年7月、Claudeの正規ドメイン上で一般公開されていたArtifactが、Claude Desktopの配布ページを装うために悪用されました。
検索結果にはclaude.aiと表示され、ページのデザインもClaude公式に似ていたため、利用者が警戒を解きやすい状況が作られていました。
ただし、Anthropicがマルウェアを配布したわけではありません。Claude本体や正規のClaude Desktopが感染していたわけでもなく、公開Artifactを開いただけで必ず感染する事件でもありません。
攻撃者が作成したユーザー生成ページが信用の入口に使われ、そこから外部サイトへ移動し、偽インストーラーをダウンロードして実行した端末で被害が発生しました。
この事件は、Claudeに限った特殊な問題として片づけられません。
GitHub、クラウドストレージ、オンライン文書、Webサイト作成サービスなど、利用者がコンテンツを公開できる正規サービスでは、「ホスティング元」と「内容の作成者」を分けて見る必要があります。
セキュリティ企業Huntressによると、2026年7月21日から22日にかけて、同社の監視範囲にある少なくとも29組織で、不審な実行ファイルの導入、Microsoft Defenderの除外設定、異常な永続化などが検知されました。
共通していたのは、利用者がBingで「CLAUDE DESKTOP APP」などと検索し、検索広告から偽の配布ページへ進んでいたことです。
Bingのスポンサー枠には複数の悪意ある広告が並び、その中に正規のclaude.aiドメインを表示する広告が混ざっていました。
リンク先はAnthropicが制作した製品ページではなく、一般公開されたClaude Artifactです。
ページはClaude Desktop／Coworkの公式ダウンロード画面に似せて作られていました。
Artifact内の「Download」ボタンを押すと、利用者は攻撃者が管理する外部ドメインへ移動します。
そこでClaudeDesktop.exeというもっともらしい名前のファイルが配布され、実行した端末には最終的にSectopRATとみられるリモートアクセス型マルウェアが導入されました。
Huntressは悪意あるArtifactをAnthropicへ報告し、Anthropicはページを削除しました。
削除前の表示回数は約7,100回でしたが、これはページビューであり、感染者数ではありません。
また、29組織という数字もHuntressが観測できた範囲です。被害全体の上限や下限を示すものではありません。
claude.ai上にある公開Artifactが表示されるClaudeDesktop.exeをダウンロードして実行する
claude.aiから外部ドメインへ移る境目を赤い点線で示し、Artifact内にマルウェア本体が保存されていたように見せない。
Claude Artifactは、Claudeとの会話で作成したWebページ、アプリ、文書、グラフなどを別画面で表示し、共有できる機能です。
Anthropicのヘルプによると、Free・Pro・MaxプランではArtifactを「Publish」すると一般公開され、リンクを知っている人はClaudeアカウントがなくても閲覧し、基本機能を操作できます。
一方、Team・Enterpriseの「Share」は組織内共有で、閲覧者にも同じ組織のアカウントによる認証が必要です。
つまり、claude.ai/public/artifacts/以下にあるページはClaudeの基盤上で表示されますが、その内容までAnthropicが制作した公式案内とは限りません。
今回のページにも、ユーザー生成かつ未検証のコンテンツであることを知らせる表示がありました。
それでも、利用者が小さな警告よりもアドレスバーのclaude.aiや公式風のデザインを重視すれば、正規ページだと思い込む余地が残ります。
なお、公開Artifactは本来、制作物を手軽に見せたり、他者が操作できる形で共有したりするための機能です。
機能そのものがマルウェアという意味ではなく、公開Webページを作れる仕組みがなりすましに転用された事件と捉えるのが正確です。
また、Artifactにマルウェア本体が直接保存されていたわけではありません。
Huntressの調査では、Artifactは偽の入口として使われ、ダウンロード操作の後に攻撃者管理の外部ドメインへ誘導されました。
安全性を判断する際は、最初に開いたページだけでなく、クリック後の移動先まで追う必要があります。
今回の手口が見分けにくかった理由は、一つの巧妙な偽装ではなく、利用者が日常的に頼っている三つの判断材料が重なったことにあります。
検索結果の上部にあるスポンサー枠は目に入りやすく、目的のソフトを急いでいる人ほど最初の候補を選びがちです。
しかし、広告枠は検索エンジンによる安全性の保証ではありません。
攻撃者が広告審査をすり抜けたり、表示先を切り替えたりする「マルバタイジング」は、以前からソフトウェア配布に使われています。
今回、Bingがマルウェアを作ったわけではありません。
悪意ある広告がBingの広告枠を誘導経路に利用した、という関係です。
claude.aiになっている偽サイト対策では「ドメインを確認する」と教えられることが多いため、正規ドメインは強い安心材料になります。
ところが、ユーザー生成ページを公開できるサービスでは、同じドメイン内に公式コンテンツと利用者の制作物が共存します。
アドレスバーの鍵アイコンやHTTPSも、通信がそのドメインとの間で暗号化されていることを示すものです。
ページの作者や内容の正当性、リンク先の安全性までは証明しません。
ロゴ、色、ボタン、製品名を公式サイトに似せれば、ページの見た目にも一貫性が生まれます。
特にArtifactはWebページとして表示できるため、一般的なフィッシングメールよりも「製品サイトらしい画面」を作りやすい側面があります。
三つの要素を別々に見れば、どれも決定的な証拠ではありません。
しかし「広告の上位」「正規ドメイン」「公式風デザイン」が同時にそろうと、それぞれが互いを補強し、警告表示やリンク先の違和感が見落とされやすくなります。
SectopRATは、Remote Access Trojan（RAT）と呼ばれるマルウェアの一種です。
RATは、攻撃者が感染したパソコンを外部から操作し、情報を持ち出したり、追加の処理を実行したりするために使われます。
Huntressが解析した.NETペイロードには、ブラウザのログイン情報、Cookie、自動入力データ、クレジットカード情報、ファイル、FTPやメッセージングサービスなどを狙う機能を示す文字列や挙動がありました。
同社は、遠隔操作機能を含む調査結果からSectopRAT、またはその亜種と判断しています。
偽インストーラーは、最初の侵入だけで終わらないよう、タスクを使って再び不正な処理を動かす永続化も試みていました。
さらに、仮想環境や解析用サンドボックスを見分けて動作を変える処理、解析を難しくする難読化・保護機能も組み込まれていました。
利用者が理解しておくべきなのは、実行後に画面上で目立った異常がなくても安全とは限らない点です。
RATは情報窃取や遠隔操作を裏で進める可能性があるため、「アプリが起動しなかったので削除した」で終わらせず、感染を前提に初動対応へ移る必要があります。
ドメインだけで白黒を判断せず、「どの種類のページか」「ボタンを押した後にどこへ移るか」「ファイルを誰が署名したか」を順番に確認します。
Windowsでは、ダウンロードした実行ファイルを右クリックし、「プロパティ」から「デジタル署名」タブを開きます。
署名を選択して「詳細」を押し、署名が有効か、署名者が配布元として妥当かを確認してください。
ただし、デジタル署名も単独で安全を保証するものではありません。
今回の攻撃では、正規に署名された別企業の実行ファイルと改ざんされたDLLを組み合わせるDLLサイドローディングが使われました。
署名欄に何らかの企業名が表示されたというだけで信用せず、公式サイトから取得したか、署名者が製品の提供元と一致するかまで見ます。
ブラウザのダウンロード警告、Windows SmartScreen、Microsoft DefenderやEDRの検知を解除して進むよう求められた場合は、その時点で中止してください。
「AIツールは誤検知されやすいから除外設定が必要」と説明されても、公式ドキュメントに同じ案内があるかを別経路で確認するまでは実行しない方が安全です。
2026年7月29日時点で、Anthropicの公式ダウンロードページはhttps://claude.com/downloadです。
このページにはmacOS、Windows、Windows Arm64などの正規導線が用意されています。
個々の配布URLは将来変更される可能性があるため、インストーラーの直リンクを保存するより、毎回この公式ページから入る方法が確実です。
Claude Desktopを検索した場合でも、スポンサー枠のダウンロードボタンは押しません。
検索結果は公式ページの所在を知るための参考にとどめ、アドレスバーへhttps://claude.com/を直接入力します。
Claude公式サイト内の「Download app」などのナビゲーションからhttps://claude.com/downloadへ移動し、使用しているOSに合うボタンを選びます。
URLの綴りだけでなく、claude.comの末尾が別の文字列へ続いていないかも確認してください。
公式ページのボタンを押した後、ブラウザが示すダウンロード元を見ます。
今回のように、最初のページが正規ドメインでも、クリック後に無関係な外部ドメインへ移る場合があります。
見慣れない配布元へ変わったら、ダウンロードを中止して公式ページへ戻ります。
ダウンロード後すぐに実行せず、ファイルを右クリックして「プロパティ」→「デジタル署名」へ進みます。
署名が有効か、発行先がAnthropicの提供するClaude Desktopとして妥当かを確認します。
署名がない、無効、別企業の名前になっている、または判断できない場合は実行しません。
SmartScreenやDefenderが警告した際に、「詳細情報」から無理に実行したり、フォルダを除外設定へ追加したりしないでください。
会社PCでは、利用者自身で例外を作らずIT担当へ確認します。
この四項目はClaude Desktopだけでなく、ComfyUIの拡張機能、GitHubで配布されるAIアプリ、画像・音声生成ソフトのインストーラーにも応用できます。
GitHubのリポジトリが本物でも、READMEから案内された外部バイナリの安全性まで自動的に保証されるわけではありません。
偽のClaudeDesktop.exeを実行した可能性がある場合、ファイルを削除するだけで通常業務へ戻らないでください。
Huntressは永続化や認証情報の窃取につながる挙動を確認しているため、端末だけでなく、その端末から利用したアカウントも調査対象になります。
Wi-Fiをオフにし、有線LANケーブルを抜きます。
外部への通信や他端末への影響を抑えるための隔離です。
IPAの「中小企業のためのセキュリティインシデント対応の手引き」も、感染した端末の利用を停止し、ネットワークから切り離すことを初動として挙げています。
会社の端末では、証拠となるメモリやログが失われる可能性があるため、IT担当から指示される前に電源を切ったり、初期化したりしない方がよい場合があります。
ネットワーク切断後は、そのまま担当者へ連絡してください。
その端末からメール、クラウド、オンラインバンキングなどへログインしたり、パスワードを変更したりすると、新しい認証情報まで盗まれるおそれがあります。
検索、相談、パスワード変更は別の安全な端末で行います。
実行した時刻、検索に使った語句、開いたページ、保存したファイル名、表示された警告、行った操作を分かる範囲で伝えます。
恥ずかしさから報告を遅らせると、影響範囲の確認や封じ込めが難しくなります。
履歴やログを自己判断で削除せず、画面の写真やダウンロード履歴も残してください。
メール、クラウドストレージ、パスワード管理サービス、SNS、金融サービスなど、感染が疑われる端末で利用した重要アカウントのパスワードを変更します。
多要素認証を有効にし、「ログイン中の端末」「最近のアクティビティ」「連携アプリ」を確認して、不審なセッションを終了してください。
会社のアカウントは管理者側で強制サインアウト、トークン失効、パスワードリセットが必要になる場合があります。
個人の判断で順番を決めず、IT担当の指示を優先します。
Microsoftは、Windowsが起動していない回復環境から検査するMicrosoft Defender Offlineを案内しています。
「Windows セキュリティ」→「ウイルスと脅威の防止」→「スキャンのオプション」からオフラインスキャンを選択すると、PCが再起動して検査が行われます。
ただし、スキャンで何も検出されなかったことは、情報流出がなかった証明にも、完全な駆除の保証にもなりません。
今回のように解析回避や永続化を備えるマルウェアが疑われる場合、組織ではEDRの記録、認証ログ、ネットワーク通信、他端末への波及まで専門家が調べる必要があります。
端末の初期化や再構築を含む対応は、調査結果に基づいて判断します。
AIツールは、一般的な業務ソフトよりも導入経路が分散しています。
公式サイトだけでなく、GitHub、モデル共有サイト、コミュニティ、公開Artifact、動画の概要欄などからファイルやコマンドが案内されるため、社員個人の目利きだけに任せると判断が揺れます。
まず、インストールを認めるAIツールと公式入手先を一覧化します。
Claude Desktopのようなデスクトップアプリは公式ダウンロードページを登録し、検索広告やまとめサイトからの導入を禁止します。
ComfyUIのカスタムノードやGitHub製ツールについては、リポジトリの所有者、更新履歴、配布物、必要な権限、外部通信、ライセンスまで確認する担当者を決めておくと運用しやすくなります。
管理者権限での自由なインストールを制限し、未承認ソフトが必要な場合の申請手順も用意します。
全面禁止だけでは、利用者が私物端末や非公式な回避策へ流れる可能性があるため、「何を確認すれば承認されるか」を明示することが大切です。
技術面では、DefenderやEDRの警告、改ざん防止、Webフィルタリングを利用者が無効化できない構成にします。
実行ファイルのデジタル署名を確認する手順を標準化し、署名なし・無効・想定外の発行元だった場合の問い合わせ先を決めます。
さらに、誤って実行した社員がすぐ報告できる連絡先と、報告時に伝える項目を周知します。
「怒られるから黙る」状態は封じ込めを遅らせます。
誰が、いつ、どの端末で、どのURLから、何を実行したかを早く集める方が、被害を小さくできます。
企業ルールへ入れておきたい項目は次の通りです。
今回、正規のclaude.aiドメインは偽のClaude Desktop配布ページを信用させる入口に使われました。
しかし、Anthropicがマルウェアを配布したわけでも、Claude公式アプリがマルウェアだったわけでもありません。
公開Artifactを作成した攻撃者が、ボタンから外部サイトへ誘導し、そこで偽インストーラーを配布した事件です。
正規ドメインは、接続しているサービスを確かめる重要な手掛かりです。
ただし、そのページを運営会社が制作・承認したことや、ページ内の外部リンクが安全であることまでは保証しません。
ユーザー生成コンテンツを公開できるサービスでは、URLのパスや警告表示からページ種別を見分ける視点が加わります。
AIツールを導入するときは、ドメイン、ページ種別、ダウンロードボタンのリンク先、デジタル署名の四点を一続きで確認してください。
Claude Desktopは検索広告から探さず、https://claude.com/downloadを直接開く。
この小さな手順変更が、公式風の偽ページに対する現実的な防御になります。
.png){kind=logo}
