英イーストサセックスの独立系AIコンサルタント、グラント・デ・スワート氏は、利用していない間に自身のClaude Max 20xアカウントでトークンが消費されたと明らかにした。Anthropicは有料アカウントを停止し、セッションとサーバー側のClaude Codeトークンを無効化したうえで、月額200ドルの契約から44.49ポンドを返金した。同社は、侵害されたClaudeのセッションキーが不正なClaude Code OAuthトークンのミントに使われたことを確認したという。Anthropicによると、別の利用者に代わって活動を処理していたとみられる無許可の第三者サービスが存在したが、アクセス方法は特定できなかった。RedditやGitHubでも、利用者による操作がないにもかかわらずアカウントがアップグレードされたり、利用枠が急速に消費されたりしたとの報告が相次いだ。Anthropicはその後、一部の利用者に対し、インフォスティーラー・マルウェア（パスワードやセッションデータを盗むソフトウェア）がコンピューターからClaudeのログインセッションを持ち出していたと警告した。一方で、マルウェアはClaudeの利用に起因するものではないとしている。デ・スワート氏のアカウントは約2週間後に復旧したが、サポート対応の遅さと利用状況の明細データがないことを理由に、複数モデルを利用できるCursorに乗り換え、契約を解約した。Anthropicは、利用者が不正利用を特定する方法について説明を避けた。